通过规则调优、阈值调整、关联细化和威胁情报丰富化，系统性地减少 SIEM 中的误报，以应对告警疲劳。

依照 PTES 方法论，通过侦察、扫描、漏洞利用和报告等阶段，对面向互联网的基础设施执行全面的外部网络渗透测试，识别可利用漏洞。

使用 SailPoint IdentityIQ 执行权限审查和访问认证活动， 包括经理认证、定向权限审查、基于角色的访问验证、 SoD 违规整改和自动化撤销工作流。 适用于访问审查、权限认证、SailPoint IIQ 治理或定期用户访问重认证相关请求。

通过基于风险评分对 CVE 进行优先级排序、部署补丁、应用配置变更和验证修复 来执行端点漏洞修复。适用于修复漏洞扫描发现的问题、响应严重 CVE 公告 或维护端点合规性与补丁管理 SLA 的场景。适用于涉及漏洞修复、CVE 补丁、 端点漏洞管理或安全修复部署的请求。

对受损端点执行数字取证调查，包括内存获取、磁盘镜像、工件分析和时间线重建。 适用于调查安全事件、为法律诉讼收集证据或分析端点受损范围的场景。 适用于涉及端点取证、内存分析、磁盘取证或事件调查的请求。

使用 ANY.RUN 云沙箱进行交互式动态恶意软件分析，实时观察执行行为、与恶意软件提示进行交互， 并捕获进程树、网络流量和系统变化。适用于交互式沙箱分析、基于云的恶意软件引爆、 实时行为观察或 ANY.RUN 使用等请求场景。

使用 Frida、Objection 和 Android Debug Bridge 对 Android 应用进行运行时动态分析， 在执行过程中观察应用行为、拦截函数调用、修改运行时值，并识别静态分析遗漏的漏洞。 适用于测试 Android 应用的运行时安全缺陷、Hook 敏感方法、绕过客户端保护措施 或分析混淆应用。适合 Android 动态分析、运行时 Hook、Frida Android 插桩或实时应用行为分析相关请求。

Docker Bench for Security 是一个开源脚本，用于检查生产环境中部署 Docker 容器的数十项常见最佳实践。基于 CIS Docker Benchmark，审计宿主机配置，生成包含通过/失败/警告结果的合规报告。

通过计算 DNS 查询名称的香农熵（Shannon Entropy）、分析查询长度分布、检测 TXT 记录载荷以及 识别高子域名基数，检测 DNS 隧道（DNS Tunneling）攻击。使用 scapy 进行数据包捕获分析， 结合统计方法区分合法 DNS 流量和隐蔽信道。适用于数据泄露猎威场景。

在授权侦察期间枚举 DNS 记录、尝试区域传输（Zone Transfer）、暴力枚举子域名， 并绘制 DNS 基础架构图，以识别目标域名中的攻击面、错误配置和信息泄露。

执行从 p=none 监控到 p=quarantine 再到 p=reject 执行的分阶段 DMARC 推进，确保所有合法邮件来源在封锁未授权发件人之前完成认证。

使用取证镜像、文件系统分析、产物恢复和时间线重建进行磁盘取证调查，以支持事件响应案例。 使用 FTK Imager、Autopsy 和 The Sleuth Kit 等工具进行证据采集、已删除文件恢复和产物检查。 适用于磁盘取证、硬盘分析、取证镜像、文件恢复、证据采集或数字取证调查等请求场景。

通过操控文件路径参数，测试 Web 应用程序中允许读取或写入服务器任意文件的路径遍历漏洞。

部署欺骗技术（Deception Technology），包括蜜罐（Honeypot）、诱饵令牌（Honeytoken）和诱饵系统（Decoy System）， 用于检测已绕过外围防御的攻击者，提供极低误报率的高置信度告警。适用于 SOC 团队需要提前预警横向移动（Lateral Movement）、 凭据滥用（Credential Abuse）或内部侦察（Internal Reconnaissance）的场景，通过在网络中部署逼真陷阱实现检测。

暗网威胁监控涉及系统性扫描 Tor 隐藏服务、地下论坛、粘贴站点和暗网市场，以识别针对组织的威胁，包括泄露凭据、数据泄露、威胁行为者讨论、漏洞利用工具和预谋攻击。

结合 CISA 已知被利用漏洞（KEV）目录、EPSS 和 CVSS，基于真实世界的漏洞利用证据对 CVE 修复工作进行优先级排序。

在授权安全评估中，通过构造利用已认证用户会话的伪造请求，测试 Web 应用程序的跨站请求伪造（CSRF）漏洞。

密码学审计（Cryptographic Audit）系统性地审查应用程序对密码学原语、协议和密钥管理的使用，以识别弱算法、不安全模式、硬编码密钥、熵不足和协议配置错误等漏洞。本技能涵盖构建自动化密码学审计工具，扫描 Python 和配置文件中的常见密码学弱点。

在授权红队行动中，使用 LaZagne 后渗透工具从已控制的终端提取存储的凭据，从浏览器、数据库、系统密钥库和应用程序中恢复密码。

通过利用错误配置、JSONP 端点、不安全指令和策略注入技术，分析并绕过内容安全策略（CSP）实现，以实现跨站脚本攻击。

使用 Aqua Security Trivy 扫描容器镜像、文件系统和 Kubernetes 清单，检测漏洞（Vulnerability）、错误配置、暴露的密钥和许可证合规问题，并生成 SBOM（Software Bill of Materials，软件物料清单）及集成到 CI/CD 流水线。

本技能涵盖通过最小化攻击面、移除不必要软件包、实施多阶段构建、配置非 root 用户， 以及应用 CIS Docker 基准建议来加固容器镜像，生成安全的生产就绪镜像。

通过分析命名空间配置、特权容器检查、危险能力分配和宿主机路径挂载，使用 kubernetes Python 客户端检测容器逃逸尝试。识别通过 cgroup 滥用的 CVE-2022-0492 类型逃逸。 适用于审计容器安全态势或调查逃逸尝试。

通过收集 API 远程数据和端点设备本地同步客户端制品，对 Google Drive、OneDrive、Dropbox 和 Box 等云存储服务执行取证获取和分析。