使用移动安全框架（Mobile Security Framework，MobSF）对 Android 应用程序执行自动化静态分析， 在不运行程序的情况下识别硬编码密钥、不安全权限、存在漏洞的组件、弱加密算法 和代码层面的安全缺陷。适用于在部署前对 Android APK/AAB 文件进行安全评估、 渗透测试期间，或作为 CI/CD 安全门禁的一部分。当请求涉及 Android 静态分析、 MobSF 扫描、APK 安全评估或移动应用代码审查时触发。

在 Elastic Security SIEM 中执行系统化的告警分诊，快速分类、优先排序和调查安全告警，以支持 SOC 运营。

配置并执行无代理漏洞扫描（agentless vulnerability scanning），利用网络协议、云快照分析和基于 API 的发现方式评估系统安全，无需在端点安装 Agent。

检测和响应中间人（AiTM）钓鱼攻击，这类攻击使用 EvilProxy、Evilginx 和 Tycoon 2FA 等反向代理工具包绕过 MFA 并窃取会话令牌。

使用 PingCastle、BloodHound 和 Purple Knight 评估 Active Directory 安全态势，识别错误配置、权限提升路径和攻击向量。

使用 impacket 枚举和审计 Active Directory 林信任关系，进行 SID 过滤分析、信任密钥提取、跨林 SID 历史滥用检测和跨域 Kerberos 票据评估。

通过分析认证日志、复制元数据、组策略变更和 Kerberos 票据异常，调查 Active Directory 攻陷事件，识别攻击者持久化机制和横向移动路径。

使用 BloodHound 和 SharpHound 枚举活动目录（Active Directory）关系，从已控制的用户识别到域管理员的攻击路径。

开展系统性的访问审查和认证，确保用户拥有与其角色相符的访问权限。涵盖审查活动设计、审查员选择、基于风险的优先级排序、微认证策略，以及满足 SOX、HIPAA 和 PCI DSS 要求的整改跟踪。

在 Saviynt Enterprise Identity Cloud 中配置和执行访问重认证活动，以验证用户权限、撤销多余的访问权限，并维持对 SOX、SOC2 和 HIPAA 的合规性。

监控暗网论坛、市场、粘贴站点和勒索软件泄露站点，寻找组织资产提及、泄露凭据、威胁攻击和威胁行为者通信，提供早期预警情报。当建立暗网监控覆盖、调查特定数据泄露声明，或用暗网背景丰富事件调查时使用。适用于涉及暗网 OSINT、泄露站点监控、凭据暴露、Recorded Future 暗网或 Tor 隐藏服务情报的请求。

将观察到的对手行为、安全告警和检测规则映射到 MITRE ATT&CK 技术和子技术，以量化检测覆盖率并指导控制优先级。当构建基于 ATT&CK 的覆盖热图、为 SIEM 告警标记技术 ID、将安全控制与对手攻击手册对齐，或向高层报告威胁暴露时使用。适用于涉及 ATT&CK Navigator、Sigma 规则、MITRE D3FEND 或覆盖缺口分析的请求。

管理端到端网络威胁情报生命周期，从规划和指导，经过收集、处理、分析、传播到反馈，确保情报产品满足相关方需求并持续改进。当建立或成熟化 CTI 计划、与业务相关方定义情报需求，或在情报消费者和生产者之间建立反馈循环时使用。适用于涉及 CTI 计划成熟度、情报需求、PIR 或情报生命周期管理的请求。

本技能涵盖将 Okta 部署为云环境集中身份提供商，配置与 AWS、Azure 和 GCP 的 SSO 集成，使用 Okta FastPass 部署抗钓鱼 MFA，管理用户预配置和取消配置的生命周期自动化，以及基于设备态势和风险信号实施自适应访问策略。

识别、收集和分析勒索软件攻击制品，以确定变种、初始访问向量、加密范围和恢复选项。

调查钓鱼（Phishing）邮件事件，从初始用户举报开始，经过邮件头分析、URL/附件引爆、 受影响用户识别和遏制行动，使用 Splunk、Microsoft Defender 和沙箱分析平台等 SOC 工具。 适用于收到的钓鱼邮件举报需要进行完整事件调查以确定范围和影响时。

调查内部威胁（Insider Threat）指标，包括数据渗漏（Data Exfiltration）尝试、未授权访问模式、 策略违规和离职前行为，结合 SIEM 分析、DLP 告警和 HR 数据关联进行调查。 适用于 SOC 团队收到 HR 内部威胁转介、检测到员工异常数据移动， 或需要为潜在内部威胁建立调查时间线时。

使用 Burp Suite 代理拦截和分析移动应用的 HTTP/HTTPS 流量，以识别不安全的 API 通信、 认证缺陷、数据泄露和服务器端漏洞。适用于移动应用渗透测试、API 安全评估或 评估客户端-服务器通信模式。适合移动流量拦截、Burp Suite 移动代理、API 安全测试 或移动 HTTPS 分析相关请求。

本技能涵盖将静态应用安全测试（SAST）工具 CodeQL 和 Semgrep 集成到 GitHub Actions CI/CD 管道中。 内容包括配置对 pull request 和推送的自动代码扫描、调整规则以减少误报、将 SARIF 结果上传到 GitHub Advanced Security，以及建立在检测到高严重性漏洞时阻止合并的质量门禁。

本技能涵盖在 CI/CD 管道中集成 OWASP ZAP（Zed Attack Proxy）进行动态应用安全测试。 内容包括配置基线、完整和 API 扫描以针对运行中的应用程序，解读 ZAP 发现，调整扫描策略， 以及在 GitHub Actions 和 GitLab CI 中建立 DAST 质量门禁。

使用 HashiCorp Boundary 实现具备动态凭据代理、会话录制和 Vault 集成的身份感知零信任基础设施访问管理。

使用身份感知代理（IAP，Identity-Aware Proxy）、上下文感知访问策略、设备信任验证和 Access Context Manager，部署 Google BeyondCorp Enterprise 零信任访问控制，对 GCP 资源和内部应用强制执行基于身份和安全态势的访问。

通过配置身份感知代理、微分段、基于条件访问策略的持续验证，以及在 AWS、Azure 和 GCP 环境中以 BeyondCorp 风格的架构替代传统 VPN 访问，在云环境中实施零信任网络访问（ZTNA）。

使用 Zscaler 实施零信任网络访问（Zero Trust Network Access，ZTNA），通过 Zscaler Private Access（ZPA）配置应用分段、访问策略和连接器，替代传统 VPN 架构