（1686期）A SecOps expert to handle security issues, ensure that protections are in place and collect evidence for security analysis. The Skill also contains skill integrity checks. – Windows终端SecOps自动化巡检专家

Windows终端SecOps自动化巡检专家 专为Windows终端设计的SecOps安全巡检技能，集成EDR检测、Sysmon日志、漏洞评估、凭证保护及技能完整性校验，适合安全运营团队自动化主机态势感知。 使用说明 核心用法 Security Joes AI Analyst是一款面向Windows终端的综合性安全运营(SecOps)巡检技能，通过标准化PowerShell/WMI查询实现主机安全态势的自动化评估。其核心功能覆盖10大检查模块：EDR传感器检测（支持Defender、CrowdStrike等主流产品）、Sysmon日志状态验证、系统补丁时效性检查、基于EVTX的实时安全事件分析、最小权限原则审计、网络暴露面测绘（接口/ARP/域信任）、Kerberos/NTLM凭证加固检测、设备资产与已知漏洞关联分析、周期性周检报告，以及创新的技能自完整性校验机制。 显著优点 标准化与可复现：所有检查项均提供具体PowerShell命令和注册表路径，消除检测盲区 深度集成Windows生态：原生利用EVTX、WMI、Sysmon等Windows安全基础设施，无需额外代理 主动防御设计：凭证保护模块覆盖SMB签名、LDAP通道绑定、Credential Guard等纵深防御要点 自保护机制创新：通过SHA-256哈希+版本感知实现技能完整性校验，可识别未授权篡改 运营友好：周检报告模板与MoltSOC事件格式兼容，支持自动化告警流水线 潜在局限 平台锁定：仅针对Windows终端优化，Linux/macOS覆盖有限 权限依赖：网络可见性、LSA保护等深度检查需管理员权限 漏洞数据源：需外部CVE/NVD数据库支持，本技能未内置离线漏洞库 EVTX性能：高频心跳查询大量安全日志可能影响低端终端性能 技能校验边界：哈希存储文件(.skill-integrity.json)需妥善保护，否则自校验机制可被绕过 适合人群 企业SecOps团队负责终端安全基线核查 MSSP/安全运维外包商标准化客户主机评估 红队演练后的痕迹清理验证与蓝队常态化监控 合规审计场景下的自动证据收集（如ISO 27001、SOC 2主机控制项） 常规风险 | 风险类型 | 具体表现 | 缓解建议 ||---------|---------|---------|| 数据残留 | EVTX查询结果可能含敏感账户信息 | 输出限定为计数/摘要，禁止原始日志外发 || 网络扫描误报 | ARP/邻居发现可能触发NIDS告警 | 白名单化心跳源IP，或采用被动日志分析替代主动扫描 || 权限提升面 | 技能需高权限执行，被恶意调用可扩大攻击面 | 通过组策略限制技能执行上下文，启用Credential Guard保护凭证 || 版本混淆攻击 | 攻击者篡改技能后同步修改版本号 | 结合代码签名或独立渠道版本公告交叉验证 | 原始说明 Perform SecOps endpoint checks for EDR, Sysmon, updates, EVTX alerts, least privilege, network exposure, credential protection, vulnerabilities, weekly asses...