部署和配置 Havoc C2 框架，包括团队服务器、HTTPS 监听器、重定向器和 Demon 代理，适用于授权红队（Red Team）行动。

在电子邮件客户端中实现网络钓鱼（Phishing）举报按钮，配合自动化分类工作流，对用户举报的可疑电子邮件进行分析并向举报人反馈结果。

建立结构化的运营流程，以基于风险的修复 SLA 对 Microsoft 补丁星期二（Patch Tuesday）安全更新进行分类、测试和部署。

构建恶意软件事件的结构化通信模板，包括利益相关者通知、高管简报、技术通告和监管披露，以及基于严重性的升级程序。

OpenCTI 是一个以 STIX 2.1 为原生数据模型的开源网络威胁情报知识管理平台。本技能涵盖使用 OpenCTI 连接器生态系统构建自动化 IOC 富化流水线，通过 VirusTotal、Shodan、AbuseIPDB、GreyNoise 等来源对指标进行富化。

构建自动化流水线，对失陷指标（URL、IP、域名、邮件）进行去危化处理以便安全共享，并通过 TAXII 推送和威胁情报平台以 STIX 格式分发。

使用 Timesketch 构建协作式取证事件时间线，对多源事件数据进行摄入、规范化和分析，用于攻击链重建和调查文档化。

设计并记录结构化的事件响应手册（Incident Response Playbook），定义与 NIST SP 800-61r3 和 SANS PICERL 框架对齐的特定事件类型逐步处理程序。涵盖手册结构、决策树、升级标准、RACI 矩阵和与 SOAR 平台的集成。适用于 IR 手册创建、事件响应程序文档、响应运行手册（Runbook）开发或 SOAR 手册设计等请求。

在 Splunk、Elastic 或 Grafana 中构建实时事件响应（Incident Response）仪表盘，为安全运营中心（SOC）分析师和领导层提供主动事件处理过程中的态势感知（Situational Awareness），追踪受影响系统、遏制状态、失陷指标（IOC）扩散和响应时间线。适用于 IR 团队在事件协调和事后报告期间需要统一可见性的场景。

构建全面的身份治理（Identity Governance）与生命周期管理流程，包括入职-调岗-离职（Joiner-Mover-Leaver）自动化、角色挖掘、访问申请工作流、定期重新认证以及孤立账户修复，使用 IGA 平台实现。 适用于身份生命周期管理、JML 流程、基于角色的访问配置或身份治理程序设计等相关请求。

使用 Sigma 规则格式构建与供应商无关的检测规则，用于跨 SIEM 平台（包括 Splunk、Elastic 和 Microsoft Sentinel）的威胁检测。适用于从威胁情报创建可移植检测逻辑、将规则映射到 MITRE ATT&CK 技术，或使用 sigmac 或 pySigma 后端将社区 Sigma 规则转换为平台特定查询。

使用 Splunk 搜索处理语言（SPL）关联搜索构建有效的检测规则，在 SOC 环境中识别安全威胁。

本 skill 涵盖将 Microsoft Sentinel 部署为云原生 SIEM 和 SOAR 平台以实现集中安全运营。 详细介绍为多云日志摄入配置数据连接器、编写 KQL 检测查询、使用 Logic Apps 构建自动化响应手册， 以及利用 Sentinel 数据湖对 AWS、Azure 和 GCP 安全遥测进行 PB 级威胁狩猎。

本 skill 指导安全架构师设计和实施云安全态势管理（CSPM）计划，持续监控 AWS、Azure 和 GCP 的基础设施配置。涵盖选择 Wiz、Prisma Cloud 或原生服务等 CSPM 工具、定义策略基线、 自动化漂移检测，以及将态势发现集成到 SOC 工作流。

使用 BishopFox 的 Sliver C2 框架构建和配置具备韧性的命令与控制（Command-and-Control）基础设施，包含重定向器（redirector）、HTTPS 监听器和多操作员支持，适用于授权红队（Red Team）演练。

构建自动化恶意软件提交和分析流水线，从终端和邮件网关收集可疑文件， 将其提交至沙箱环境和多引擎扫描器，并生成带有失陷指标（IOC）的研判结论以集成到 SIEM。 适用于 SOC 团队需要将恶意软件分析扩展到高容量告警分诊的场景，超越手动沙箱提交的限制。

从网络威胁情报报告中提取和归类攻击模式，构建基于 STIX 的结构化库，映射到 MITRE ATT&CK，用于检测工程和以威胁为导向的防御。

构建自动化系统，利用被动 DNS、证书透明度、WHOIS 数据和 IP 富化来映射和监控威胁行为者的命令与控制（C2）网络，追踪对手基础设施。

使用 SOAR 平台、Python 流水线或 TIP Playbook 自动化对原始失陷指标（IOC）进行多源威胁情报上下文富化，以减少分析师分诊时间并标准化富化输出。适用于构建与 SIEM 告警、邮件提交流水线或威胁情报批量 IOC 处理集成的自动化富化工作流时使用。

使用 Checkov、tfsec、Terrascan 和 OPA/Rego 策略，审计 Terraform 基础设施即代码中的安全错误配置， 在云部署前检测过度宽松的 IAM 策略、公开资源暴露、缺失加密和不安全的默认设置。

Kubernetes 基于角色的访问控制（RBAC）审计，系统性地审查角色、集群角色、绑定关系及服务账户权限，以识别过度宽松的访问配置、权限提升路径及违反最小权限原则的情况。

使用 kubectl、rbac-tool、KubiScan 和 Kubeaudit，审计 Kubernetes 集群 RBAC 配置， 识别过度宽松的角色、通配符权限、危险的 ClusterRoleBindings、服务账户滥用和权限提升路径。

使用 gcloud CLI、Policy Analyzer 和 IAM Recommender，审计 Google Cloud Platform IAM 权限， 识别过度宽松的绑定、原始角色使用、服务账户密钥泛滥和跨项目访问风险。

本 skill 详细介绍如何使用互联网安全中心（Center for Internet Security）基准对 AWS、Azure 和 GCP 进行云安全审计。 涵盖解读 CIS Foundations Benchmark 控制项、使用 Prowler 和 ScoutSuite 等工具运行自动化评估、 修复未通过的控制项，以及针对 CIS AWS v5、Azure v4 和 GCP v4 维持持续合规监控。