PowerShell

extracting-windows-event-logs-artifacts 可協助你擷取、解析並分析 Windows Event Logs（EVTX），用於數位鑑識、事件回應與威脅狩獵。它支援以結構化方式檢視登入、程序建立、服務安裝、排程工作、權限變更與日誌清除，並可搭配 Chainsaw、Hayabusa 和 EvtxECmd 使用。

exploiting-constrained-delegation-abuse 技能用於授權的 Active Directory 測試，聚焦 Kerberos constrained delegation abuse。內容涵蓋枚舉、S4U2self 與 S4U2proxy 票證請求，以及實際可行的橫向移動或權限提升路徑。當你需要一份可重複執行的滲透測試指南，而不是泛泛的 Kerberos 概述時，這項技能就很適合。

eradicating-malware-from-infected-systems 是一項資安事件應變技能，用於在完成遏制後移除惡意軟體、後門與持久化機制。內容涵蓋工作流程指引、參考檔案，以及用於 Windows 和 Linux 清理、憑證輪替、根因修補與驗證的腳本。

detecting-mimikatz-execution-patterns 可協助分析人員透過命令列樣式、LSASS 存取訊號、二進位指標與記憶體痕跡來偵測 Mimikatz 執行。若你要用這個 detecting-mimikatz-execution-patterns 技能進行安裝，可用於安全稽核、威脅狩獵與事件回應，並搭配範本、參考資料與工作流程指引。

detecting-living-off-the-land-attacks 技能，適用於 Security Audit、威脅狩獵與事件回應。透過程序建立、命令列與父子程序關聯遙測，偵測 certutil、mshta、rundll32、regsvr32 等合法 Windows 二進位檔遭濫用的情況。本指南聚焦可直接落地的 LOLBin 偵測模式，而非廣泛的 Windows 強化。

detecting-fileless-malware-techniques 技能支援惡意程式分析工作流程，用來調查透過 PowerShell、WMI、.NET reflection、登錄檔常駐 payload 與 LOLBins 在記憶體中執行的無檔案惡意程式。適合用來把可疑警示轉成有證據支撐的初步分流、偵測構想與後續狩獵方向。

detecting-fileless-attacks-on-endpoints 可協助建立針對 Windows 端點記憶體內攻擊的偵測，包括 PowerShell 濫用、WMI 持久化、反射式載入與程序注入。適合用於安全稽核、威脅狩獵與偵測工程，並搭配 Sysmon、AMSI 與 PowerShell 記錄來使用。

這是一個用於 Microsoft Defender for Endpoint 強化設定的 configuring-windows-defender-advanced-settings 技能。涵蓋 ASR 規則、受控資料夾存取、網路防護、漏洞防護、部署規劃，以及以稽核優先的 rollout 指引，適合資安工程師、IT 管理員與 Security Audit 工作流程使用。

analyzing-windows-registry-for-artifacts 可協助分析人員從 Windows Registry hive 中擷取證據，用來辨識使用者活動、已安裝軟體、Autoruns、USB 歷史，以及入侵跡象，支援事件回應或 Security Audit 工作流程。

analyzing-windows-amcache-artifacts 技能會解析 Windows 的 Amcache.hve 資料，用於還原程式執行、已安裝軟體、裝置活動與驅動程式載入的證據，支援 DFIR 與安全稽核流程。它結合 AmcacheParser 與基於 regipy 的操作指引，協助進行 artifact 擷取、SHA-1 關聯與時間軸檢視。

analyzing-powershell-empire-artifacts 技能可協助資安稽核團隊透過 Script Block Logging、Base64 啟動器樣式、stager IOC、模組特徵與偵測參考，在 Windows 日誌中找出 PowerShell Empire 相關工件，方便進行初步判讀與規則撰寫。

這個 analyzing-powershell-script-block-logging 技能可用來解析 Windows PowerShell Script Block Logging 的 Event ID 4104（來自 EVTX 檔案），重建被拆分的 script block，並標記混淆指令、編碼 payload、Invoke-Expression 濫用、download cradle，以及 AMSI bypass 嘗試，適合 Security Audit 工作。