killvxk/cybersecurity-skills-zh - 第 9 页

analyzing-network-flow-data-with-netflow

解析 NetFlow v9 和 IPFIX 记录，检测容量异常（volumetric anomalies）、端口扫描（port scanning）、数据外泄（data exfiltration）和 C2 信标模式（C2 beaconing patterns）。使用 Python netflow 库解码流记录， 构建流量基线，并应用统计分析识别字节数异常、连接时长异常和周期性定时模式的流量。

analyzing-network-packets-with-scapy

使用 Scapy 构造、发送、嗅探和解析网络数据包，用于协议分析（protocol analysis）、网络侦察（network reconnaissance）以及在授权安全测试中进行流量异常检测

analyzing-network-traffic-for-incidents

分析网络流量捕获和流量数据，以识别安全事件期间的攻击者活动，包括命令与控制（C2）通信、横向移动（lateral movement）、数据外泄（exfiltration）和漏洞利用尝试。使用 Wireshark、Zeek 和 NetFlow 分析技术。适用于网络流量分析、数据包捕获调查、PCAP 分析、网络取证、C2 流量检测或数据外泄检测等场景。

analyzing-network-traffic-of-malware

分析恶意软件在沙箱执行或实时事件响应期间生成的网络流量， 使用 Wireshark、Zeek 和 Suricata 识别 C2 协议、数据泄露信道、 载荷下载和横向移动模式。适用于恶意软件网络分析、C2 流量解码、 恶意软件 PCAP 分析或基于网络的恶意软件检测相关请求。

analyzing-network-traffic-with-wireshark

使用 Wireshark 和 tshark 捕获并分析网络数据包，识别恶意流量模式、诊断协议问题、提取工件， 并支持对授权网络分段进行事件响应调查。

analyzing-office365-audit-logs-for-compromise

通过 Microsoft Graph API 解析 Office 365 统一审计日志，检测邮件转发规则创建、收件箱委托、可疑 OAuth 应用授权以及其他账户失陷指标。

analyzing-outlook-pst-for-email-forensics

分析 Microsoft Outlook PST 和 OST 文件，提取电子邮件取证证据，包括邮件内容、邮件头、附件、已删除邮件及元数据，使用 libpff、pst-utils 和取证电子邮件分析工具，适用于法律调查和事件响应。

analyzing-packed-malware-with-upx-unpacker

识别并解包 UPX 加壳及其他加壳恶意软件样本，以暴露原始可执行代码供静态分析使用。 涵盖标准 UPX 解包及处理阻止自动解压缩的修改版 UPX 头部。 适用于恶意软件解包、UPX 解压缩、去除加壳保护或为分析准备加壳样本等请求。

analyzing-pdf-malware-with-pdfid

使用 PDFiD、pdf-parser 和 peepdf 分析恶意 PDF 文件，在不打开文档的情况下 识别嵌入的 JavaScript、shellcode、漏洞利用代码和可疑对象。 确定攻击向量并提取嵌入的载荷以进行进一步分析。 适用于 PDF 恶意软件分析、恶意文档分析、PDF 漏洞利用调查或可疑附件分类等请求。

analyzing-persistence-mechanisms-in-linux

检测和分析 Linux 持久化机制，包括 crontab 条目、systemd 服务单元、LD_PRELOAD 劫持、bashrc 修改和 authorized_keys 后门，使用 auditd 和文件完整性监控

analyzing-powershell-empire-artifacts

通过识别 Base64 编码的启动器模式、默认 User-Agent、暂存 URL 结构、stager IOC 以及脚本块日志事件中已知的 Empire 模块签名，检测 Windows 事件日志中的 PowerShell Empire 框架工件。

analyzing-powershell-script-block-logging

从 EVTX 文件中解析 Windows PowerShell 脚本块日志（事件 ID 4104），以检测混淆命令、编码载荷和离地攻击技术（living-off-the-land）。使用 python-evtx 提取并重建多块脚本，通过熵分析和模式匹配检测 Base64 编码命令、Invoke-Expression 滥用、下载植入器（download cradles）和 AMSI 绕过尝试。

analyzing-prefetch-files-for-execution-history

解析 Windows Prefetch 文件，确定程序执行历史，包括运行次数、时间戳和引用文件，用于取证调查。

analyzing-ransomware-encryption-mechanisms

分析勒索软件家族使用的加密算法、密钥管理和文件加密例程， 评估解密可行性、识别实现上的弱点并支持恢复工作。 涵盖 AES、RSA、ChaCha20 及混合加密方案。 适用于勒索软件密码分析、加密分析、密钥恢复评估或勒索软件解密可行性等请求。

analyzing-ransomware-leak-site-intelligence

监控和分析勒索软件组织的数据泄露站点（DLS），追踪受害者发布情况，提取组织战术的威胁情报，并评估特定行业的勒索软件风险以实现主动防御。

analyzing-ransomware-network-indicators

通过 Zeek conn.log 和 NetFlow 分析，识别勒索软件网络指标，包括 C2 信标模式、TOR 出口节点连接、数据外泄流量和加密密钥交换

analyzing-security-logs-with-splunk

利用 Splunk Enterprise Security 和 SPL（Search Processing Language，搜索处理语言），通过日志关联、时间线重建和异常检测来调查安全事件。涵盖 Windows 事件日志、防火墙日志、代理日志和认证数据分析。适用于 Splunk 调查、SPL 查询、SIEM 日志分析、安全事件关联或基于日志的事件调查相关请求。

analyzing-slack-space-and-file-system-artifacts

检查文件系统松弛空间（slack space）、MFT 条目、USN 日志和备用数据流，以恢复 NTFS 卷上的隐藏数据并重建文件活动。

analyzing-threat-actor-ttps-with-mitre-navigator

使用 ATT&CK Navigator 和 attackcti Python 库将高级持续性威胁（APT）组织的战术、技术和过程（TTP）映射到 MITRE ATT&CK 框架。分析人员查询 STIX/TAXII 数据以获取组织-技术关联，生成 Navigator 层文件进行可视化，并将防御覆盖与对手画像进行对比。

analyzing-threat-intelligence-feeds

分析结构化和非结构化威胁情报（CTI）推送，提取可操作的指标、对手战术和攻击活动上下文。适用于导入商业或开源 CTI 情报、评估情报质量、将数据规范化为 STIX 2.1 格式，或使用攻击活动溯源归因富化现有 IOC 时使用。

analyzing-threat-landscape-with-misp

使用 MISP（恶意软件信息共享平台）通过查询事件统计、属性分布、威胁行为者 galaxy 集群和标签趋势来分析威胁态势。使用 PyMISP 拉取事件数据、计算 IOC 类型分布、识别顶级威胁行为者和恶意软件家族，并生成含时序趋势的威胁态势报告。

analyzing-tls-certificate-transparency-logs

通过 crt.sh 和 pycrtsh 查询证书透明度（Certificate Transparency）日志，检测钓鱼域名、未授权证书签发和影子 IT。使用 Levenshtein 距离监控新签发证书中的仿域名和品牌仿冒行为。适用于主动检测钓鱼域名和证书监控。

analyzing-typosquatting-domains-with-dnstwist

使用 dnstwist 生成域名置换变体并识别针对您所在组织已注册的仿冒域名，从而检测域名抢注（Typosquatting）、同形字符钓鱼和品牌冒充域名。

analyzing-usb-device-connection-history

从 Windows 注册表、事件日志和 setupapi 日志调查 USB 设备连接历史，以追踪可移动存储设备的使用情况和潜在的数据外泄行为。

analyzing-web-server-logs-for-intrusion

解析 Apache 和 Nginx 访问日志，检测 SQL 注入（SQL Injection）尝试、本地文件包含（Local File Inclusion）、 目录遍历（Directory Traversal）、Web 扫描器指纹及暴力破解（Brute Force）模式。 使用基于正则表达式的模式匹配对照 OWASP 攻击签名、GeoIP 富化进行来源溯源， 以及针对请求频率和响应大小异常值的统计异常检测。

analyzing-windows-amcache-artifacts

解析并分析 Windows Amcache.hve 注册表配置单元（Registry Hive），提取程序执行证据、文件元数据、 SHA-1 哈希及设备连接历史，用于数字取证（Digital Forensics）和事件响应（Incident Response）调查。

analyzing-windows-event-logs-in-splunk

在 Splunk 中分析 Windows Security、System 和 Sysmon 事件日志，使用映射到 MITRE ATT&CK 技术的 SPL 查询检测身份验证攻击、权限提升（Privilege Escalation）、持久化（Persistence）机制和横向移动 （Lateral Movement）。适用于 SOC 分析师调查基于 Windows 的威胁、构建检测查询，或对 Windows 终端和域控制器执行取证时间线分析。

analyzing-windows-lnk-files-for-artifacts

解析 Windows LNK 快捷方式文件，提取目标路径、时间戳、卷信息和机器标识符，用于取证时间线重建。

analyzing-windows-prefetch-with-python

使用 windowsprefetch Python 库解析 Windows Prefetch 文件，重建应用程序执行历史，检测重命名或伪装的二进制文件，并识别可疑的程序执行模式。

analyzing-windows-registry-for-artifacts

提取并分析 Windows 注册表配置单元，以发现用户活动、已安装软件、自启动条目及系统入侵证据。

auditing-aws-s3-bucket-permissions

使用 AWS CLI、S3audit 和 Prowler，系统性审计 AWS S3 存储桶权限，识别可公开访问的存储桶、 过度宽松的 ACL、错误配置的存储桶策略和缺失的加密设置，以强制执行最小权限数据访问控制。

auditing-azure-active-directory-configuration

审计 Microsoft Entra ID（Azure Active Directory）配置，使用 AzureAD PowerShell、Microsoft Graph API 和 ScoutSuite 识别高风险身份验证策略、过度宽松的角色分配、过期账户、条件访问缺口和来宾用户风险。

auditing-cloud-with-cis-benchmarks

本 skill 详细介绍如何使用互联网安全中心（Center for Internet Security）基准对 AWS、Azure 和 GCP 进行云安全审计。 涵盖解读 CIS Foundations Benchmark 控制项、使用 Prowler 和 ScoutSuite 等工具运行自动化评估、 修复未通过的控制项，以及针对 CIS AWS v5、Azure v4 和 GCP v4 维持持续合规监控。

auditing-gcp-iam-permissions

使用 gcloud CLI、Policy Analyzer 和 IAM Recommender，审计 Google Cloud Platform IAM 权限， 识别过度宽松的绑定、原始角色使用、服务账户密钥泛滥和跨项目访问风险。

auditing-kubernetes-cluster-rbac

使用 kubectl、rbac-tool、KubiScan 和 Kubeaudit，审计 Kubernetes 集群 RBAC 配置， 识别过度宽松的角色、通配符权限、危险的 ClusterRoleBindings、服务账户滥用和权限提升路径。

auditing-terraform-infrastructure-for-security

使用 Checkov、tfsec、Terrascan 和 OPA/Rego 策略，审计 Terraform 基础设施即代码中的安全错误配置， 在云部署前检测过度宽松的 IAM 策略、公开资源暴露、缺失加密和不安全的默认设置。

automating-ioc-enrichment

使用 SOAR 平台、Python 流水线或 TIP Playbook 自动化对原始失陷指标（IOC）进行多源威胁情报上下文富化，以减少分析师分诊时间并标准化富化输出。适用于构建与 SIEM 告警、邮件提交流水线或威胁情报批量 IOC 处理集成的自动化富化工作流时使用。

building-adversary-infrastructure-tracking-system

构建自动化系统，利用被动 DNS、证书透明度、WHOIS 数据和 IP 富化来映射和监控威胁行为者的命令与控制（C2）网络，追踪对手基础设施。

building-attack-pattern-library-from-cti-reports

从网络威胁情报报告中提取和归类攻击模式，构建基于 STIX 的结构化库，映射到 MITRE ATT&CK，用于检测工程和以威胁为导向的防御。

building-automated-malware-submission-pipeline

构建自动化恶意软件提交和分析流水线，从终端和邮件网关收集可疑文件， 将其提交至沙箱环境和多引擎扫描器，并生成带有失陷指标（IOC）的研判结论以集成到 SIEM。 适用于 SOC 团队需要将恶意软件分析扩展到高容量告警分诊的场景，超越手动沙箱提交的限制。