对 SQLite 数据库执行取证分析，从空闲列表（Freelist）和 WAL 文件中恢复已删除记录，解码编码时间戳，并从浏览器历史、即时通讯应用和移动设备数据库中提取证据。

SOC 2 Type II 审计准备涉及在规定审计期间（通常为 6-12 个月）设计、实施并证明与 AICPA 信任服务标准（Trust Services Criteria，TSC）对齐的控制措施的运营有效性

为 SOC 团队执行桌面推演（Tabletop Exercise），通过基于讨论的场景模拟安全事件， 在不影响生产系统的前提下测试事件响应流程、沟通工作流和压力下的决策能力。 适用于组织需要验证 IR 剧本、培训分析师或满足事件响应测试合规要求的场景。

通过分析 WSDL 定义，测试 XML 注入（XML Injection）、XXE、WS-Security 绕过和 SOAPAction 欺骗，对 SOAP Web 服务执行安全测试。

跨 Active Directory、云平台和应用程序数据库自动化服务账户凭据轮换，消除陈旧密钥并降低泄露风险。

审计企业基础设施中的服务账户，识别孤立账户、过度特权账户和不合规账户。本技能涵盖在 Active Directory、云平台中发现服务账户，评估权限级别，识别缺失负责人，以及执行生命周期策略。

对 AWS Lambda、Azure Functions 和 GCP Cloud Functions 中的无服务器函数（Serverless Function）执行安全审查，识别过度宽松的执行角色（Execution Role）、不安全的环境变量、注入漏洞和缺失的运行时保护措施。

对 SCADA 人机界面（HMI, Human-Machine Interface）系统进行安全评估，识别基于 Web 的 HMI、瘦客户端配置、认证机制以及 HMI 与 PLC 之间通信信道中的漏洞，符合 IEC 62443 和 NIST SP 800-82 指南要求。

本技能涵盖使用 Snyk 实施软件成分分析（SCA, Software Composition Analysis），在 CI/CD 流水线中检测存在漏洞的开源依赖项。内容包括扫描包清单和锁文件、自动修复拉取请求生成、许可证合规检查、已部署应用程序的持续监控，以及与 GitHub、GitLab 和 Jenkins 流水线的集成。

对西门子SIMATIC S7 PLC使用的S7comm和S7CommPlus协议进行安全分析，识别漏洞，包括重放攻击、完整性绕过、未授权的CPU停止命令以及针对S7-300、S7-400、S7-1200和S7-1500控制器弱点的程序下载操控。

使用 Covenant C2 框架开展红队（Red Team）操作，用于授权的对手模拟，包括监听器设置、Grunt 部署、任务执行和横向移动（Lateral Movement）追踪。

使用 Python gophish 库自动化 GoPhish 钓鱼模拟活动。创建含追踪像素的邮件模板、 配置 SMTP 发送配置文件、从 CSV 构建目标组、发起活动，并分析结果， 包括打开率、点击率和凭据提交统计数据，用于安全意识评估。

规划并主持模拟勒索软件（Ransomware）事件的桌面推演，以测试组织的应急准备、决策能力和通信流程。基于当前勒索软件威胁行为者（LockBit、ALPHV/BlackCat、Cl0p）设计真实场景，涵盖双重勒索（Double Extortion）、备份销毁和法规通知要求等注入内容。依据 NIST CSF 和 CISA 指南评估参与者响应。适用于勒索软件桌面推演、事件响应演练或勒索软件应急准备演习等请求。

执行结构化的勒索软件事件响应，从初始检测到遏制、取证分析、解密评估、恢复和事后加固。 处理勒索谈判考量、备份完整性验证和法规通知要求。适用于勒索软件响应、 勒索软件恢复、加密勒索软件、数据加密攻击、赎金支付决策或勒索软件遏制等请求场景。

执行结构化的勒索软件事件响应，包括遏制、解密评估、从备份恢复以及根除勒索软件持久化机制。

执行紫队（Purple Team）演练，通过协调红队对抗模拟与蓝队检测验证， 使用 MITRE ATT&CK 映射的攻击场景、实时检测测试和协作差距修复。 适用于 SOC 团队需要验证检测能力、提升分析师技能并通过结构化攻防协作填补检测缺口时。

发现并清点企业基础设施中的所有特权账户，包括域管理员、本地管理员、服务账户、数据库管理员、云 IAM 角色和应用管理员账户。

对特权账户进行系统性审查，验证访问权限，识别过多权限，并在 PAM 基础设施中执行最小权限原则。

Linux 权限提升是指在已控制的系统上从低权限用户账户提升至 root 访问权限。红队通过利用错误配置、存在漏洞的服务、内核漏洞利用和弱权限来实现 root 访问。

在已入侵的 Linux 和 Windows 系统上执行权限提升评估，识别从低权限访问到 root 或 SYSTEM 级别控制的路径。 测试人员枚举错误配置、存在漏洞的服务、内核漏洞、SUID 二进制文件、未加引号的服务路径和凭据存储， 以演示初始入侵的完整影响。适用于权限提升测试、本地漏洞利用、后渗透提权或操作系统级安全评估等请求场景。

本技能涵盖对电力电网基础设施进行网络安全评估，包括发电设施、输电变电站、配电系统和能源管理系统（EMS）控制中心。涉及NERC CIP合规性验证、变电站自动化安全、IEC 61850协议分析、同步相量（PMU）网络安全，以及Industroyer/CrashOverride等攻击所展示的针对电网运营的独特威胁格局。

本技能涵盖分析可编程逻辑控制器（PLC）固件的安全漏洞，包括硬编码凭据、不安全的更新机制、后门功能、内存损坏缺陷和未记录的调试接口。涉及从常见PLC平台（西门子S7、Allen-Bradley、施耐德Modicon）提取固件、固件镜像静态分析、仿真环境中的动态分析，以及与已知良好基线的对比以检测篡改。

通过尾随、门禁卡克隆、锁具绕过和流氓设备部署，执行授权的物理渗透测试，以评估设施安全控制措施的有效性。

GoPhish 是一个开源钓鱼模拟框架，供安全团队开展授权的钓鱼意识培训活动，提供活动管理、邮件模板创建、着陆页克隆和综合报告功能。