本 skill 教导安全团队如何检测和响应云环境中未授权的加密货币挖矿活动。内容涵盖通过计算使用异常、挖矿池网络流量模式、GuardDuty 加密货币发现以及 EC2、ECS、EKS 和 Azure Automation 工作负载上的运行时进程监控来识别挖矿指标。

使用 EDR 遥测和 Sysmon 日志检测操作系统凭据转储技术，包括 LSASS 访问、SAM 提取和 DCSync。

使用 Sysmon 事件 ID 10、Windows 安全日志和 SIEM 关联规则检测 LSASS 凭据转储、SAM 数据库提取和 NTDS.dit 盗窃

使用 Falco 运行时安全规则实时检测容器逃逸尝试，监控系统调用、文件访问和权限提升。

容器逃逸是一种严重攻击技术，攻击者突破容器隔离以访问主机系统或其他容器。检测涉及使用 Falco、Sysdig 和自定义 seccomp/审计规则监控逃逸指标，包括命名空间操纵、能力滥用、内核漏洞利用、敏感路径挂载和异常系统调用模式。

通过监控二进制执行偏移、文件系统变更以及与原始容器镜像的配置偏差，检测对运行中容器的未授权修改。

通过分析异常 API 活动、不可能旅行模式、未授权资源配置以及凭据滥用指标，使用 GuardDuty、Defender for Identity 和 SCC 事件威胁检测，检测 AWS、Azure 和 GCP 中被盗用的云凭据。

本 skill 教导安全团队如何部署和运营 Amazon GuardDuty，实现对 AWS 账户和工作负载的持续威胁检测。内容涵盖为 S3、EKS、EC2 运行时监控和 Lambda 启用保护计划、解读发现严重级别，以及使用 EventBridge 和 Lambda 构建自动化响应工作流。

通过分析计算使用异常、到挖矿池的网络流量、GuardDuty 发现以及使用 AWS、Azure 和 GCP 原生安全服务检测容器工作负载行为，检测云环境中的未授权加密货币挖矿活动。

商业邮件欺诈（BEC）是一种复杂的欺诈方案，攻击者冒充高管、供应商或可信合作伙伴，诱骗员工转账、共享敏感数据或更改付款信息。本技能涵盖使用邮件网关规则、行为分析和财务流程控制进行 BEC 检测。

部署 AI 和 NLP 驱动的检测系统，通过分析写作风格、行为模式和上下文异常来识别规避传统基于规则的过滤器的商业邮件欺诈（BEC）攻击。

检测和测试OWASP API3:2023对象属性级授权失效（BOPLA）漏洞，包括过度数据暴露和批量赋值攻击。

对 Zeek conn.log 连接间隔进行统计分析，检测 C2 信标（Beaconing）模式。使用 ZAT 库将 Zeek 日志加载到 Pandas DataFrame，计算到达时间间隔标准差，标记具有低抖动（Low Jitter）的周期性连接。适用于在网络数据中狩猎命令与控制（C2）回调行为。

使用 azure-mgmt-storage Python SDK 审计 Azure Blob 和 ADLS 存储账户的公开访问暴露、弱或长期 SAS 令牌、缺失的静态加密、禁用的仅 HTTPS 流量以及过时的 TLS 版本。

在 Microsoft Entra ID 环境中检测和调查 Azure 服务主体滥用，包括权限提升、凭据入侵、管理员同意绕过和未授权枚举。

使用 Microsoft Graph API 审计日志、Azure Sentinel KQL 狩猎查询和登录异常关联，检测 Azure AD/Entra ID 环境中的横向移动，以识别权限提升、令牌窃取和跨租户转移。

使用 boto3 和 Cloudsplaining 策略分析检测 AWS IAM 权限提升路径，识别过度宽松的策略、危险权限组合和最小权限违规。

使用 EventBridge 和 Lambda 自动化处理 AWS GuardDuty 威胁检测发现，实现实时事件响应、自动隔离受损资源和安全通知工作流。

使用 TruffleHog、git-secrets 和 AWS 原生检测机制，检测源代码仓库、CI/CD 流水线和 配置文件中暴露的 AWS 凭据，以防止凭据窃取和未授权账户访问。

使用 boto3、统计基线和行为分析检测 AWS CloudTrail 日志中的异常 API 调用模式，以识别凭据入侵、权限提升和未授权资源访问。

本技能涵盖检测针对数据采集与监控（SCADA）系统的网络攻击，包括工业协议的中间人攻击、向PLC注入未授权命令、HMI入侵、历史数据操纵以及对控制系统通信的拒绝服务攻击。它利用OT专用入侵检测系统、工业协议异常检测和过程数据分析来识别传统IT安全工具无法发现的攻击。

检测针对OT历史数据服务器（OSIsoft PI、Ignition、Wonderware）的网络攻击，这些服务器位于IT/OT边界，是攻击者在企业网络和控制网络之间进行横向移动的跳板，包括数据篡改、未授权查询以及利用历史数据服务器特定漏洞的攻击。

使用 ARPWatch、动态 ARP 检测（Dynamic ARP Inspection）、Wireshark 分析和自定义监控脚本检测和防止 ARP 欺骗（ARP spoofing）攻击，防御中间人（man-in-the-middle）拦截。

通过监控顺序标识符访问模式和授权失败，检测和防止API枚举攻击，包括BOLA（越权对象访问）和IDOR（不安全的直接对象引用）利用。