使用自动化抓取和关键词匹配技术，监控 Pastebin 和 GitHub Gists 等粘贴站点上的泄露凭证、API 密钥和敏感数据转储，实现早期泄露检测

在授权安全评估中使用 Scapy、hping3 和 Nemesis 构造并注入自定义网络数据包， 测试防火墙规则、IDS 检测、协议处理能力以及网络协议栈对畸形和伪造流量的抵御能力。

使用被动监控、原生协议查询和经过精心控制的Tenable OT Security主动扫描，在OT/ICS环境中安全执行漏洞扫描，在不破坏工业过程或导致旧版控制器崩溃的情况下识别漏洞。

本技能涵盖使用Claroty xDome平台在OT环境中执行漏洞评估，实现全面资产发现、风险评分、漏洞关联和修复优先级排序。内容涉及通过流量分析进行被动漏洞识别、OT设备安全主动查询、与CVE数据库和ICS-CERT公告集成，以及考虑运营影响和补偿控制措施的基于风险的优先级排序。

本技能涵盖对运营技术（OT）网络（包括SCADA系统、DCS架构和工业控制系统通信路径）进行全面安全评估。内容涉及Purdue参考模型各层、识别IT/OT融合风险、评估区域间防火墙规则，以及映射工业协议流量（Modbus、DNP3、OPC UA、EtherNet/IP），以检测关键基础设施中的错误配置、未授权连接和攻击面。

使用 SpiderFoot REST API 和 CLI 自动化 OSINT 收集，用于目标画像、基于模块的侦察，以及跨 200+ 数据源的结构化结果分析

开源情报（OSINT）收集是红队演练的第一个主动阶段，操作员收集关于目标组织的公开可用信息，以识别攻击面、社会工程学目标、技术栈和凭据泄露情况。

本技能涵盖针对石油和天然气设施（包括上游探采、中游管道运输和下游炼化分销）进行网络安全评估。内容涉及控制管道运营的SCADA系统、炼厂过程控制DCS、危险工艺安全仪表系统、无人井口现场RTU，以及对API 1164、TSA管道安全指令、IEC 62443和NIST网络安全框架关键基础设施合规性评估。

执行 OAuth 2.0 权限范围最小化审查，识别过度授权的第三方应用集成、 过多的 API 范围、未使用的令牌授权以及跨身份提供商和 SaaS 平台的 高风险 OAuth 同意模式。 适用于 OAuth 范围审计、API 权限审查、第三方应用风险评估或同意授权最小化的请求。

NIST 网络安全框架（CSF）2.0 于 2024 年 2 月发布，通过六个核心功能提供管理网络安全风险的综合分类体系：治理、识别、保护、检测、响应和恢复。本技能涵盖对 CSF 进行成熟度评估。

部署 Zeek 网络安全监控器，捕获、解析和分析网络流量元数据，用于威胁检测、异常识别和取证调查。

使用 tshark 和 pyshark 自动化网络流量分析，进行协议统计、可疑流量检测、DNS 异常识别以及从 PCAP 文件中提取威胁指标（IOC）

使用 Wireshark、tshark 和 tcpdump 对网络数据包捕获（PCAP/PCAPNG）进行取证分析，重建网络通信、提取传输文件、识别恶意流量，并建立数据渗出或命令与控制活动的证据。

使用 Wireshark 和 tshark 捕获并分析网络流量，重建网络事件、提取制品并识别恶意通信。

使用 Cellebrite UFED 和开源工具获取和分析移动设备数据，提取通信记录、位置数据和应用程序制品。

在授权安全评估期间，绕过 Android 和 iOS 应用中的 SSL/TLS 证书固定实现，以启用流量拦截。 涵盖使用 Frida、Objection 和自定义脚本对 OkHttp、TrustManager、NSURLSession 及第三方固定库的绕过技术。适合证书固定绕过、SSL 固定破解、移动 TLS 拦截 或代理抗性应用测试相关请求。

使用 Volatility 3 分析易失性内存转储，以提取运行中的进程、网络连接、加载的模块以及恶意活动的证据。

使用 Volatility3 插件分析内存转储，检测 Windows、Linux 和 macOS 内存镜像中的注入代码、Rootkit、凭据窃取和恶意软件痕迹。

使用 YARA 规则对文件模式、字符串、字节序列和结构特征进行匹配，快速分级和分类恶意软件样本， 识别已知恶意软件家族及可疑指标。涵盖规则编写、扫描和与分析流程的集成。适用于 YARA 规则创建、 恶意软件分类、模式匹配、样本分级或基于签名的检测等请求场景。

系统性地调查 Windows 和 Linux 系统上的所有持久化机制，以识别恶意软件如何在重启后存活并维持访问。

恶意软件 IOC（失陷指标）提取是指通过分析恶意软件，识别可操作的失陷指标，包括文件哈希、网络指标（C2 域名、IP 地址、URL）、注册表修改、互斥体名称、嵌入字符串和行为产物。

使用 VirusTotal API 富化恶意软件文件哈希，获取检测率、行为分析、YARA 匹配和上下文威胁情报，用于事件分类和 IOC 验证。

在 SIEM 平台中执行结构化日志源接入，通过配置采集器、解析器、归一化和验证， 实现完整的安全可视化覆盖。

收集、解析和关联系统、应用程序及安全日志，以在取证调查期间重建事件并建立时间线。