Windows

analyzing-usb-device-connection-history 可協助在 Windows 上利用登錄機碼、事件記錄與 setupapi.dev.log 來調查 USB 裝置連線歷史，適用於數位鑑識、內部威脅調查與事件回應。它支援時間軸重建、裝置關聯分析，以及可移除媒體證據分析。

configuring-host-based-intrusion-detection 指南，協助你使用 Wazuh、OSSEC 或 AIDE 建置 HIDS，用於監控檔案完整性、系統變更，以及以合規為導向的端點安全，適合 Security Audit 工作流程。

使用 windows-vm 技能，在 Docker 搭配 KVM 加速下建立、管理並透過 SSH 連入無頭的 Windows 11 VM。當你需要真實的 Windows 環境，但又不想手動透過 RDP 操作時，它很適合用於桌面自動化、Windows 應用程式安裝，以及可重複執行的代理工作流程。

extracting-windows-event-logs-artifacts 可協助你擷取、解析並分析 Windows Event Logs（EVTX），用於數位鑑識、事件回應與威脅狩獵。它支援以結構化方式檢視登入、程序建立、服務安裝、排程工作、權限變更與日誌清除，並可搭配 Chainsaw、Hayabusa 和 EvtxECmd 使用。

detecting-wmi-persistence 技能可協助威脅獵捕與 DFIR 分析師，使用 Sysmon Event IDs 19、20、21 在 Windows 遙測中偵測 WMI 事件訂閱持久化。可用來辨識惡意的 EventFilter、EventConsumer 與 FilterToConsumerBinding 活動、驗證調查結果，並區分攻擊者持久化與正常的系統管理自動化。

detecting-process-hollowing-technique 協助在 Windows 遙測中狩獵程序空洞化（T1055.012），透過關聯掛起啟動、記憶體竄改、父子程序異常與 API 證據來提升偵測命中率。它適合需要可落地的 detecting-process-hollowing-technique 來支援 Threat Hunting 工作流程的威脅獵捕者、偵測工程師與應變人員。

analyzing-memory-dumps-with-volatility 是一個 Volatility 3 技能，適用於記憶體鑑識、惡意程式初步篩查、隱藏程序、注入、網路活動，以及 Windows、Linux 或 macOS RAM dump 中的憑證分析。當你需要一份可重複使用的 analyzing-memory-dumps-with-volatility 指南，來支援事件應變與惡意程式分析時，就適合使用它。

detecting-lateral-movement-in-network 可協助企業網路在遭入侵後偵測橫向移動，結合 Windows 事件記錄、Zeek 遙測、SMB、RDP 與 SIEM 關聯分析。它特別適合威脅狩獵、事件回應，以及用於 Security Audit 檢視的 detecting-lateral-movement-in-network，並提供實用的偵測工作流程。

deploying-osquery-for-endpoint-monitoring 指南，說明如何部署與設定 osquery，以提升端點可視性、進行全機群監控，並用 SQL 進行威脅狩獵。可用來規劃安裝、閱讀工作流程與 API 參考，並在 Windows、macOS 與 Linux 端點上落實排程查詢、日誌蒐集與集中檢視。

deploying-edr-agent-with-crowdstrike 可協助規劃、安裝並驗證 CrowdStrike Falcon sensor 在 Windows、macOS 與 Linux 端點上的部署。若你需要安裝指引、政策設定、遙測串接 SIEM，以及 Incident Response 的就緒規劃，這個 deploying-edr-agent-with-crowdstrike 技能很適合用來參考。

這是一個用於 Microsoft Defender for Endpoint 強化設定的 configuring-windows-defender-advanced-settings 技能。涵蓋 ASR 規則、受控資料夾存取、網路防護、漏洞防護、部署規劃，以及以稽核優先的 rollout 指引，適合資安工程師、IT 管理員與 Security Audit 工作流程使用。

analyzing-windows-registry-for-artifacts 可協助分析人員從 Windows Registry hive 中擷取證據，用來辨識使用者活動、已安裝軟體、Autoruns、USB 歷史，以及入侵跡象，支援事件回應或 Security Audit 工作流程。

analyzing-windows-prefetch-with-python 會使用 windowsprefetch 解析 Windows Prefetch（.pf）檔案，重建執行歷史、找出重新命名或偽裝的二進位檔，並支援事件初步分流與惡意程式分析。

analyzing-windows-event-logs-in-splunk skill 協助 SOC 分析師在 Splunk 中調查 Windows Security、System 與 Sysmon 記錄，找出驗證攻擊、權限提升、持續化與橫向移動行為。適合用於事件初步研判、偵測工程與時間軸分析，並提供對應的 SPL 模式與 Event ID 指引。

analyzing-windows-amcache-artifacts 技能會解析 Windows 的 Amcache.hve 資料，用於還原程式執行、已安裝軟體、裝置活動與驅動程式載入的證據，支援 DFIR 與安全稽核流程。它結合 AmcacheParser 與基於 regipy 的操作指引，協助進行 artifact 擷取、SHA-1 關聯與時間軸檢視。

analyzing-powershell-empire-artifacts 技能可協助資安稽核團隊透過 Script Block Logging、Base64 啟動器樣式、stager IOC、模組特徵與偵測參考，在 Windows 日誌中找出 PowerShell Empire 相關工件，方便進行初步判讀與規則撰寫。

這個 analyzing-powershell-script-block-logging 技能可用來解析 Windows PowerShell Script Block Logging 的 Event ID 4104（來自 EVTX 檔案），重建被拆分的 script block，並標記混淆指令、編碼 payload、Invoke-Expression 濫用、download cradle，以及 AMSI bypass 嘗試，適合 Security Audit 工作。

winui-app 技能可協助你以 C# 與 Windows App SDK 啟動、建置與排查 WinUI 3 桌面應用程式。適合用於環境準備、新專案設定、Shell 與導覽選擇、XAML 控制項、主題樣式、無障礙設計、部署，以及啟動修復流程，特別適合 Frontend 開發。

這個 screenshot 技能可在你需要 OS 層級影像，而不是僅限瀏覽器擷取時，用來擷取全螢幕、應用程式視窗或像素區域。適用於 Workflow Automation 中的 screenshot 使用情境，包含儲存位置規則、macOS 權限處理，以及清楚的安裝指引，讓桌面擷取更可靠。