PowerShell

detecting-misconfigured-azure-storage 是一款安全审计技能，用于检查 Azure Storage 账户是否存在 Blob 公共访问、加密薄弱、网络规则开放、SAS 使用不安全以及日志缺失等问题。它适合在多个订阅中进行可重复的云安全检查，并提供基于 Azure CLI 的操作指引。

extracting-windows-event-logs-artifacts 可帮助你提取、解析并分析 Windows Event Logs（EVTX），用于数字取证、事件响应和威胁狩猎。它支持对登录、进程创建、服务安装、计划任务、权限变更和日志清除等事件进行结构化审查，并可结合 Chainsaw、Hayabusa 和 EvtxECmd 使用。

exploiting-constrained-delegation-abuse 技能用于指导已授权的 Active Directory 测试，重点是 Kerberos 约束委派滥用。内容涵盖枚举、S4U2self 和 S4U2proxy 票据请求，以及通往横向移动或权限提升的实操路径。如果你需要的是可重复使用的渗透测试指南，而不是泛泛的 Kerberos 概览，这个技能会更合适。

eradicating-malware-from-infected-systems 是一项面向网络安全事件响应的技能，用于在隔离完成后清除恶意软件、后门和持久化机制。它提供工作流程指导、参考文件，以及用于 Windows 和 Linux 清理、凭据轮换、根因修复和验证的脚本。

detecting-mimikatz-execution-patterns 帮助分析人员通过命令行模式、LSASS 访问信号、二进制特征和内存痕迹来检测 Mimikatz 执行。适合在安全审计、威胁狩猎和事件响应中安装和使用该 detecting-mimikatz-execution-patterns 技能，配有模板、参考资料和工作流指引。

适用于安全审计、威胁狩猎和事件响应的 detecting-living-off-the-land-attacks 技能。通过进程创建、命令行和父子进程遥测，检测 certutil、mshta、rundll32、regsvr32 等合法 Windows 二进制文件被滥用的行为。该指南聚焦可落地的 LOLBin 检测模式，而不是泛泛的 Windows 加固。

detecting-fileless-malware-techniques 技能支持恶意软件分析工作流，用于调查通过 PowerShell、WMI、.NET reflection、注册表驻留 payload 以及 LOLBins 在内存中运行的 fileless malware。你可以借助它从可疑告警快速推进到有证据支撑的初步分诊、检测思路和后续狩猎方向。

detecting-fileless-attacks-on-endpoints 可帮助为 Windows 终端构建内存型攻击检测，包括 PowerShell 滥用、WMI 持久化、反射式加载和进程注入。可用于安全审计、威胁狩猎和检测工程，结合 Sysmon、AMSI 和 PowerShell 日志开展分析。

面向 Microsoft Defender for Endpoint 加固的 configuring-windows-defender-advanced-settings 技能。涵盖 ASR 规则、受控文件夹访问、网络防护、漏洞利用防护、部署规划，以及面向安全工程师、IT 管理员和 Security Audit 工作流的先审计后上线指导。

analyzing-windows-registry-for-artifacts 可帮助分析人员从 Windows Registry hive 中提取证据，用于识别用户活动、已安装软件、自动运行项、USB 历史和入侵迹象，支持事件响应或 Security Audit 工作流。

analyzing-windows-amcache-artifacts 技能会解析 Windows 的 Amcache.hve 数据，用于还原程序执行痕迹、已安装软件、设备活动和驱动加载信息，适合 DFIR 和安全审计流程。它结合 AmcacheParser 和基于 regipy 的指导，支持提取取证工件、做 SHA-1 关联分析以及时间线回溯。

analyzing-powershell-empire-artifacts 技能帮助安全审计团队借助 Script Block Logging、Base64 启动器特征、stager IOC、模块签名和检测参考，在 Windows 日志中识别 PowerShell Empire 相关痕迹，并用于初步研判和规则编写。

analyzing-powershell-script-block-logging 技能用于解析 Windows PowerShell Script Block Logging 的 Event ID 4104（来自 EVTX 文件），重建被拆分的脚本块，并标记混淆命令、编码载荷、Invoke-Expression 滥用、下载器手法以及 AMSI 绕过尝试，适合安全审计工作。