专为Windows终端设计的SecOps安全巡检技能，集成EDR检测、Sysmon日志、漏洞评估、凭证保护及技能完整性校验，适合安全运营团队自动化主机态势感知。
说明：
## 核心用法
Security Joes AI Analyst是一款面向Windows终端的综合性安全运营(SecOps)巡检技能，通过标准化PowerShell/WMI查询实现主机安全态势的自动化评估。其核心功能覆盖10大检查模块：EDR传感器检测（支持Defender、CrowdStrike等主流产品）、Sysmon日志状态验证、系统补丁时效性检查、基于EVTX的实时安全事件分析、最小权限原则审计、网络暴露面测绘（接口/ARP/域信任）、Kerberos/NTLM凭证加固检测、设备资产与已知漏洞关联分析、周期性周检报告，以及创新的技能自完整性校验机制。
## 显著优点
1. **标准化与可复现**：所有检查项均提供具体PowerShell命令和注册表路径，消除检测盲区
2. **深度集成Windows生态**：原生利用EVTX、WMI、Sysmon等Windows安全基础设施，无需额外代理
3. **主动防御设计**：凭证保护模块覆盖SMB签名、LDAP通道绑定、Credential Guard等纵深防御要点
4. **自保护机制创新**：通过SHA-256哈希+版本感知实现技能完整性校验，可识别未授权篡改
5. **运营友好**：周检报告模板与MoltSOC事件格式兼容，支持自动化告警流水线
## 潜在局限
– **平台锁定**：仅针对Windows终端优化，Linux/macOS覆盖有限
– **权限依赖**：网络可见性、LSA保护等深度检查需管理员权限
– **漏洞数据源**：需外部CVE/NVD数据库支持，本技能未内置离线漏洞库
– **EVTX性能**：高频心跳查询大量安全日志可能影响低端终端性能
– **技能校验边界**：哈希存储文件(.skill-integrity.json)需妥善保护，否则自校验机制可被绕过
## 适合人群
– 企业SecOps团队负责终端安全基线核查
– MSSP/安全运维外包商标准化客户主机评估
– 红队演练后的痕迹清理验证与蓝队常态化监控
– 合规审计场景下的自动证据收集（如ISO 27001、SOC 2主机控制项）
## 常规风险
| 风险类型 | 具体表现 | 缓解建议 |
|———|———|———|
| 数据残留 | EVTX查询结果可能含敏感账户信息 | 输出限定为计数/摘要，禁止原始日志外发 |
| 网络扫描误报 | ARP/邻居发现可能触发NIDS告警 | 白名单化心跳源IP，或采用被动日志分析替代主动扫描 |
| 权限提升面 | 技能需高权限执行，被恶意调用可扩大攻击面 | 通过组策略限制技能执行上下文，启用Credential Guard保护凭证 |
| 版本混淆攻击 | 攻击者篡改技能后同步修改版本号 | 结合代码签名或独立渠道版本公告交叉验证 |
会员专属
