执行 DCSync 攻击以复制活动目录（Active Directory）凭据，通过提取 KRBTGT、域管理员和服务账户哈希来建立域持久化，并用于创建黄金票据（Golden Ticket）。

本 skill 概述了对 AWS、Azure 和 GCP 云环境进行授权渗透测试的方法论。 涵盖理解测试范围的共享责任模型、利用 Pacu 和 ScoutSuite 等云专用攻击工具、 利用 IAM 错误配置、测试针对云元数据服务的 SSRF， 以及按照 MITRE ATT&CK 云矩阵对发现进行报告。

针对 AWS、Azure 和 GCP 执行云基础设施渗透测试，使用 Pacu、ScoutSuite 和 Prowler 识别 IAM 错误配置、暴露的存储桶、不安全的无服务器函数和云原生攻击路径。

响应云环境（AWS、Azure、GCP）中的安全事件，执行基于身份的遏制、云原生日志分析、资源隔离和针对临时云基础设施的取证证据采集。适用于云事件响应、AWS 安全事件、Azure 受攻陷、GCP 泄露、云取证或云身份受攻陷相关请求。

对 REST、GraphQL 和 gRPC API 进行安全测试，识别认证、授权、速率限制、输入验证和业务逻辑中的漏洞。测试人员以 OWASP API 安全 Top 10 作为测试框架，结合 Burp Suite 拦截、Postman 集合和自定义脚本，在每个权限级别测试端点安全性。

按照易失性顺序从受攻陷系统收集易失性取证证据，在数据丢失前保全内存、网络连接、进程和系统状态。

MISP（恶意软件信息共享平台）是一个开源威胁情报平台，用于收集、共享、存储和关联定向攻击的失陷指标（IOC）、威胁情报、金融欺诈信息、漏洞信息或反恐信息。

使用公开可用的数据源、被动侦察工具和暗网监控，收集并综合关于威胁行为者、恶意基础设施和攻击活动的开源情报（OSINT）。适用于调查外部威胁行为者基础设施、为授权红队评估执行预参与侦察，或使用公开对手上下文丰富 CTI 报告。适用于涉及 Maltego、Shodan、OSINT framework、SpiderFoot 或基础设施侦察的请求。

在安全事件期间和之后，系统性地收集、分类和分发失陷指标（Indicators of Compromise，IOC），以支持检测、阻断和威胁情报共享。涵盖网络、主机、邮件和行为指标，使用 STIX/TAXII 格式和威胁情报平台。适用于 IOC 收集、指标提取、威胁指标共享、失陷指标、STIX 导出或 IOC 情报丰富化相关请求。

在授权安全评估中，通过枚举 URL 并绕过身份验证控制，发现和访问未受保护的页面、API 及管理界面。

使用 Nessus、Qualys 和 OpenVAS 等工具构建结构化的漏洞扫描工作流， 对基础设施中的安全漏洞进行发现、优先级排序和修复跟踪。适用于 SOC 团队 需要建立定期漏洞评估流程、将扫描结果与 SIEM 告警集成，以及构建 修复跟踪仪表盘的场景。

构建具有审批工作流、补偿控制文档和到期管理功能的漏洞例外与风险接受跟踪系统。

部署 DefectDojo 作为集中式漏洞管理仪表盘，支持扫描器集成、去重、指标跟踪和 Jira 工单工作流。

实施漏洞老化仪表盘和 SLA 跟踪系统，根据基于严重性的时间线衡量修复绩效，并推动问责制落地。

构建威胁情报平台（TIP）涉及将多个 CTI 工具部署和集成到统一系统中，用于收集、分析、富化和分发威胁情报，包括 MISP、OpenCTI、TheHive 和 Cortex 的开源工具集成。

构建自动化威胁情报（Threat Intelligence）源集成管道，将 STIX/TAXII 源、 开源威胁情报和商业 TI 平台接入 SIEM 和安全工具，实现实时 IOC 匹配和告警。 适用于 SOC 团队需要通过自动化源接入、标准化、评分和分发到检测系统来 将威胁情报付诸实践的场景。

使用查询表、模块化输入和威胁情报框架，在 Splunk Enterprise Security 中构建自动化威胁情报富化流水线

构建系统化的威胁狩猎假设框架，将威胁情报、攻击模式和环境数据转化为可测试的狩猎假设。

部署 MISP（恶意软件信息共享平台）来聚合、关联和分发来自多个来源的威胁情报推送，用于集中式 IOC 管理和自动化 SIEM 集成。

使用开源情报（OSINT）技术构建全面的威胁行为者档案，记录对手的动机、能力、基础设施和 TTP，用于主动防御。

构建结构化的 SOC 勒索软件攻击事件响应手册，涵盖检测、遏制、根除和恢复阶段， 包含特定的 SIEM 查询、隔离流程和决策树。适用于 SOC 团队需要符合 NIST SP 800-61 和 MITRE ATT&CK 勒索软件技术的规范化响应流程时。

构建 SOC 绩效指标和 KPI 跟踪仪表盘，使用 SIEM 数据衡量平均检测时间（MTTD）、 平均响应时间（MTTR）、告警质量比率、分析师生产力和检测覆盖率。适用于 SOC 领导层 需要运营可视化、持续改进跟踪或高管级安全运营效能报告的场景。

构建结构化的 SOC 升级矩阵，定义严重性分级、响应 SLA、升级路径和安全事件通知流程。

运用自底向上和自顶向下的角色挖掘技术，从现有用户-权限分配中发现最优 RBAC 角色，减少角色爆炸并强制执行最小权限原则。