Agent Skills
› SCStelz/security-investigator
SCStelz/security-investigator
GitHub用于调查Azure Conditional Access策略变更与登录失败（如53000、50074错误码）的关联，通过KQL查询分析策略状态转换，识别合法排障与安全控制绕过行为。
Install All Skills
npx skills add SCStelz/security-investigator --all -g -y
Skills in Collection (28)
用于调查Azure Conditional Access策略变更与登录失败（如53000、50074错误码）的关联，通过KQL查询分析策略状态转换，识别合法排障与安全控制绕过行为。
Conditional Access policy changes investigation
sign-in failures related to CA policies
suspected policy bypass or manipulation
npx skills add SCStelz/security-investigator --skill ca-policy-investigation -g -y
用于定期审查租户上下文记忆文件，比对最新扫描报告与发现日志，生成仅提议的变更文档供人工审核。核心原则是只读不写，确保上下文数据准确且经过验证。
review my context file
review tenant context
propose context updates
compact findings to memory
what should I add to my context memory
npx skills add SCStelz/security-investigator --skill context-memory-review -g -y
用于通过 Microsoft Graph API 在 Defender XDR 中创建、部署和管理自定义检测规则。支持 KQL 查询适配、单条及批量部署、生命周期管理及验证，解决权限与格式问题。
需要部署或更新 Microsoft Defender XDR 自定义检测规则
将 Sentinel KQL 查询转换为 Defender 格式并部署
管理 Defender 检测规则的启用、禁用或删除
npx skills add SCStelz/security-investigator --skill detection-authoring -g -y
基于Microsoft Sentinel数据生成交互式世界地图可视化，展示攻击来源、威胁地理分布及IP定位。支持通过KQL查询提取经纬度坐标，结合MCP工具渲染标记点，并可集成威胁情报数据进行深度钻取分析。
创建地理地图或世界地图可视化
展示攻击来源或地理位置数据
IP地址地理定位分析
包含经纬度坐标的数据可视化
npx skills add SCStelz/security-investigator --skill geomap-visualization -g -y
基于 Microsoft Sentinel 数据生成交互式热力图，用于可视化时间模式、活动网格及聚合数据矩阵。支持 KQL 查询、颜色缩放及威胁情报增强，帮助识别异常行为和活动分布。
创建热力图
可视化时间模式
显示活动网格
分析攻击模式或登录活动
按时间段展示事件分布
npx skills add SCStelz/security-investigator --skill heatmap-visualization -g -y
用于分析蜜罐服务器安全性的技能，涵盖攻击模式、威胁情报关联、IP 富化及漏洞评估。通过并行查询和标准化报告生成流程，提供全面的安全分析与执行效率追踪。
honeypot investigation
analyze honeypot
honeypot security
honeypot report
npx skills add SCStelz/security-investigator --skill honeypot-investigation -g -y
用于编写和生成 Microsoft Sentinel、Defender XDR 及 Azure Data Explorer 的 KQL 查询。通过 schema 验证、文档和社区示例，确保查询的生产就绪性与性能，支持从语法检查到实际执行测试的全流程辅助。
write KQL
create KQL query
help with KQL
query [table]
KQL for [scenario]
npx skills add SCStelz/security-investigator --skill kql-query-authoring -g -y
Threat Pulse 是一款面向 SOC 运营的快速安全扫描技能，覆盖事件、身份、端点等7大领域。通过并行执行12个查询生成威胁仪表盘，提供优先级发现及钻取建议，帮助用户快速评估整体安全态势并引导至专项调查。
用户询问从哪里开始或能做什么
需要每日安全概览或初步调查
npx skills add SCStelz/security-investigator --skill threat-pulse -g -y
用于调查AI代理运行时活动，包括使用量、工具调用、渠道、Token消耗及Prompt Shield安全检测结果。支持自动检测数据源并覆盖租户级或单用户/代理范围，是配置检查技能的运行时行为补充。
agent activity
AI agent usage
who is using agents
agent runtime
agent telemetry
agent tool usage
agent session
jailbreak activity
prompt injection activity
Agent 365 activity
UnifiedAgentObservability
CloudAppEvents agents
CopilotActivity
npx skills add SCStelz/security-investigator --skill ai-agent-activity -g -y
审计 AI 代理（如 Copilot Studio、M365 Copilot）的安全态势，包括库存、访问权限、工具暴露、凭证泄露及 XPIA 风险。基于 Defender XDR Advanced Hunting 的 AgentsInfo 表进行查询与分析。
AI agent posture
agent security audit
Copilot Studio agents
agent inventory
broadly accessible agents
agent tools
MCP tools on agents
XPIA risk
agent sprawl
agent governance
agent identity
dormant agents
ownerless agents
npx skills add SCStelz/security-investigator --skill ai-agent-posture -g -y
审计 Entra ID 应用注册和服务主体安全态势，结合 Graph API 状态清单与 KQL 攻击链检测，评估权限、所有者风险、凭证卫生及活跃滥用信号。
app registration posture
service principal permissions
dangerous app permissions
app ownership
app credential abuse
npx skills add SCStelz/security-investigator --skill app-registration-posture -g -y
用于追踪Entra ID认证流程，分析SessionId链、令牌复用与交互式MFA，评估地理位置异常。通过取证分析区分合法活动与凭证/令牌窃取，辅助安全调查。
trace authentication
SessionId analysis
token reuse
geographic anomaly
impossible travel
npx skills add SCStelz/security-investigator --skill authentication-tracing -g -y
用于对Windows、macOS和Linux设备进行安全调查，分析Defender告警、合规性、漏洞及网络活动。适用于恶意软件检测、异常行为排查及合规审查场景。
investigate computer
investigate device
check machine
device security
endpoint investigation
npx skills add SCStelz/security-investigator --skill computer-investigation -g -y
分析 Microsoft Purview DLP 和数据安全事件，涵盖敏感信息类型访问、标签审计及 Copilot 暴露风险。通过 KQL 查询生成用户下钻、文件清单和风险总结报告，适用于大型企业环境的安全态势分析与合规审计。
数据安全风险事件分析
敏感信息类型访问审计
DLP 事件排查
敏感度标签变更追踪
Copilot 数据暴露检查
npx skills add SCStelz/security-investigator --skill data-security-analysis -g -y
基于Microsoft Defender for Office 365遥测数据，生成电子邮件威胁防护态势报告。覆盖邮件流、威胁组成、钓鱼检测、身份验证及ZAP等维度，提供C级安全可见性。
email threat report
email security posture
phishing report
MDO report
Defender for Office 365 report
ZAP effectiveness
Safe Links report
DMARC report
spam report
email volume report
npx skills add SCStelz/security-investigator --skill email-threat-posture -g -y
生成全面的漏洞与暴露管理报告，评估组织或设备的安全态势。涵盖CVE、配置合规、终止支持软件、关键资产、攻击路径及证书状态，支持全组织或单设备范围分析。
vulnerability report
security posture
CVE assessment
exposure management
npx skills add SCStelz/security-investigator --skill exposure-investigation -g -y
审计组织身份安全态势，涵盖账户清单、特权账号、闲置/删除账号、密码策略及多提供商身份关联等。利用 Microsoft Defender XDR Advanced Hunting 数据进行统一评估与报告。
identity posture
identity security report
account hygiene
stale accounts
privileged accounts
npx skills add SCStelz/security-investigator --skill identity-posture -g -y
用于调查 Microsoft Defender XDR 和 Sentinel 中的安全事件。通过检索元数据、警报和资产，对选定实体进行深度调查，最终生成包含判定结论的安全事件分析报告。
investigate incident
incident ID
incident investigation
analyze incident
triage incident
npx skills add SCStelz/security-investigator --skill incident-investigation -g -y
用于调查IP、域名、URL或文件哈希等入侵指标(IoC)的安全技能。结合Microsoft Defender威胁情报和KQL查询，分析恶意行为、关联CVE并评估组织资产暴露情况。
investigate IP
check domain
IoC investigation
threat intel
is this malicious
suspicious URL
npx skills add SCStelz/security-investigator --skill ioc-investigation -g -y
用于监控和分析 Microsoft Sentinel 及 Defender XDR 环境中 MCP 服务器使用情况，涵盖遥测数据追踪、用户归属分析、敏感 API 检测及安全风险评估。
MCP usage
MCP server monitoring
MCP audit
tool usage monitoring
npx skills add SCStelz/security-investigator --skill mcp-usage-monitoring -g -y
生成MITRE ATT&CK覆盖报告，分析检测规则与ATT&CK框架的映射关系。通过自动化脚本收集Sentinel工作区数据，识别覆盖缺口并提供优化建议，评估检测能力态势。
需要评估安全检测规则对ATT&CK框架的覆盖情况
识别未标记或覆盖不足的检测规则并获取修复建议
npx skills add SCStelz/security-investigator --skill mitre-coverage-report -g -y
用于检测终端设备进程行为偏离基线的技能。通过构建配置窗口内的行为基线，对比近期活动并计算多维漂移分数，识别缓慢渗透的异常行为。支持单机深入调查和全舰队范围扫描两种模式。
device drift
process baseline deviation
endpoint behavioral change
npx skills add SCStelz/security-investigator --skill scope-drift-detection-device -g -y
用于检测 Entra ID 服务主体范围漂移，通过构建90天行为基线与近期活动对比，计算加权漂移分数，关联安全日志以发现权限或行为的渐进式异常扩张。
scope drift
service principal drift
SPN behavioral change
automation account drift
baseline deviation
access expansion
npx skills add SCStelz/security-investigator --skill scope-drift-detection-spn -g -y
检测Entra ID用户账号的范围漂移，通过对比90天基线与7天近期活动，计算加权漂移分数并关联安全告警、审计日志及云应用/邮件事件异常。
user drift
user behavioral change
user scope drift
investigating user account expansion
npx skills add SCStelz/security-investigator --skill scope-drift-detection-user -g -y
生成Azure Sentinel ingestion分析报告，涵盖数据量、表级细分、层级分类、异常检测及优化建议。通过YAML驱动PowerShell采集数据，LLM渲染报告。
需要分析Sentinel工作区数据摄入量和成本
检测数据摄入异常或识别优化机会
npx skills add SCStelz/security-investigator --skill sentinel-ingestion-report -g -y
根据技能报告或调查数据生成SVG数据可视化仪表板。支持基于YAML清单的结构化模式和基于上下文的自由形式自适应模式，提供多种图表组件。
generate SVG dashboard
create a visual dashboard
visualize this report
SVG from the report
visualize results
create SVG chart
SVG from this data
npx skills add SCStelz/security-investigator --skill svg-dashboard -g -y
将威胁情报文章转化为可测试的狩猎活动，生成KQL查询并自动验证。支持RSS/Atom feed批量处理或单篇文章模式，输出结构化结果供自动化调用，不涉及Git操作。
threat intel campaign
ingest threat intelligence
TI feed
write hunts from this article
threat intelligence blog
build a hunting campaign
npx skills add SCStelz/security-investigator --skill threat-intel-campaign -g -y
用于调查Entra ID用户账户的安全问题、可疑活动或合规审查。分析登录异常、MFA状态、设备合规性、审计日志及安全事件，并生成报告。
investigate user
security investigation
user investigation
check user activity
analyze sign-ins
npx skills add SCStelz/security-investigator --skill user-investigation -g -y
