Agent Skills
› SCStelz/security-investigator
SCStelz/security-investigator
GitHub用于调查Azure Conditional Access策略变更与登录失败的关联，识别合法故障排除、安全控制绕过及权限滥用行为。
Install All Skills
npx skills add SCStelz/security-investigator --all -g -y
Skills in Collection (28)
用于调查Azure Conditional Access策略变更与登录失败的关联，识别合法故障排除、安全控制绕过及权限滥用行为。
Conditional Access policy changes
sign-in failures related to CA policies
error codes 53000, 50074, 530032
suspected policy bypass/manipulation
npx skills add SCStelz/security-investigator --skill ca-policy-investigation -g -y
用于定期审查租户上下文记忆文件，比对最新扫描报告与发现日志，生成仅提议的变更文档供人工审批。该技能严格只读，不修改原文件或提交代码，确保上下文数据的准确性与安全性。
review my context file
review tenant context
propose context updates
compact findings to memory
what should I add to my context memory
npx skills add SCStelz/security-investigator --skill context-memory-review -g -y
通过Microsoft Graph API在Defender XDR中创建、部署和管理自定义检测规则。支持KQL适配、单条/批量部署及生命周期管理，需使用PowerShell和特定API作用域。
部署自定义检测规则到Defender XDR
将Sentinel KQL查询转换为Defender格式并应用
管理检测规则的启用、禁用或删除
npx skills add SCStelz/security-investigator --skill detection-authoring -g -y
基于 Microsoft Sentinel 数据生成交互式世界地图可视化，展示攻击来源、地理分布及 IP 定位。支持 KQL 查询提取经纬度坐标，并集成威胁情报进行 IP 丰富和钻取分析。
创建地理地图或世界地图
可视化攻击来源
显示基于位置的数据
IP 地理定位
包含经纬度坐标的分析
npx skills add SCStelz/security-investigator --skill geomap-visualization -g -y
基于Microsoft Sentinel数据生成交互式热力图，通过行列网格展示聚合数据的颜色强度。适用于识别时间模式、实体对比及异常检测，支持KQL查询与威胁情报关联。
创建热力图
可视化随时间变化的模式
显示活动网格
以矩阵格式展示聚合数据
分析攻击模式或登录活动
npx skills add SCStelz/security-investigator --skill heatmap-visualization -g -y
用于分析蜜罐服务器的安全技能，涵盖攻击模式、威胁情报关联、IP丰富及漏洞评估，并生成执行报告。
honeypot investigation
analyze honeypot
honeypot security
honeypot report
npx skills add SCStelz/security-investigator --skill honeypot-investigation -g -y
用于编写和验证 Microsoft Sentinel、Defender XDR 及 Azure Data Explorer 的 KQL 查询。结合模式验证与官方文档，生成生产级查询代码。
write KQL
create KQL query
help with KQL
query [table]
KQL for [scenario]
npx skills add SCStelz/security-investigator --skill kql-query-authoring -g -y
Threat Pulse 是面向 SOC 日常运营的快速安全扫描技能，覆盖事件、身份、端点等7大领域。通过并行查询生成威胁仪表盘并提供下钻建议，适用于新用户引导及日常安全巡检场景。
新手引导问题如 'where do I start'
日常安全运营巡检需求
请求帮助调查或了解能力范围
npx skills add SCStelz/security-investigator --skill threat-pulse -g -y
调查AI代理运行时活动，涵盖Agent 365等平台的调用、工具使用、Token消耗及安全事件（如越狱）。自动适配数据源，支持租户级或单用户/代理范围分析。
agent activity
AI agent usage
who is using agents
agent runtime
agent telemetry
agent tool usage
agent session
jailbreak activity
prompt injection activity
Agent 365 activity
UnifiedAgentObservability
CloudAppEvents agents
CopilotActivity
npx skills add SCStelz/security-investigator --skill ai-agent-activity -g -y
审计AI代理（Copilot、Foundry等）的安全态势，包括资产盘点、访问控制、工具权限、凭证泄露及XPIA风险。通过查询Defender XDR的AgentsInfo表，评估代理配置、身份治理及外部端点风险，识别滥用与 sprawl。
AI agent security audit
agent inventory
agent governance
Copilot Studio agents
XPIA risk
credential exposure
npx skills add SCStelz/security-investigator --skill ai-agent-posture -g -y
审计Entra ID应用注册和服务主体的安全态势，结合Graph API权限清单与KQL攻击链检测，评估权限、所有者风险、凭证卫生及活跃滥用信号。
app registration posture
service principal permissions
dangerous app permissions
app ownership
app credential abuse
SPN lateral movement
app consent grant
overprivileged apps
cross-tenant SPN
app registration kill chain
app persistence
credential add chain
Graph API permissions audit
npx skills add SCStelz/security-investigator --skill app-registration-posture -g -y
用于追踪 Entra ID 认证流程，分析 SessionId、令牌复用及地理异常，区分合法活动与凭证窃取。
trace authentication
SessionId analysis
token reuse
geographic anomaly
npx skills add SCStelz/security-investigator --skill authentication-tracing -g -y
用于对Windows、macOS和Linux设备进行安全调查，分析Defender告警、漏洞、合规性及网络活动。支持Entra ID设备，提供KQL/Graph查询及报告生成。
investigate computer
check machine
device security
endpoint investigation
npx skills add SCStelz/security-investigator --skill computer-investigation -g -y
分析Microsoft Purview数据安全事件，查询敏感信息类型(SIT)和敏感度标签访问记录。用于DLP匹配、内部风险排查及Copilot数据暴露检测，提供KQL查询与多维分析报告。
data security
sensitive information type
SIT access
DLP events
insider risk activity
Purview data security
sensitivity label
label downgrade
Copilot label exposure
npx skills add SCStelz/security-investigator --skill data-security-analysis -g -y
基于MDO遥测数据生成邮件威胁防护报告，评估安全态势。覆盖邮件流、威胁构成、钓鱼防护、认证、ZAP修复及检测有效性等，提供C级可见性。
email threat report
email security posture
phishing report
MDO report
npx skills add SCStelz/security-investigator --skill email-threat-posture -g -y
生成漏洞与暴露管理报告，评估组织或设备的安全态势。涵盖CVE、配置合规、终止支持软件、关键资产、攻击路径及证书状态，支持全组织或单设备范围查询。
vulnerability report
security posture
CVE assessment
exposure management
npx skills add SCStelz/security-investigator --skill exposure-investigation -g -y
审计组织身份安全态势，涵盖账户清单、特权账号、闲置/已删除账号卫生、密码策略、风险分布及多提供商身份关联等维度。
identity posture
identity security report
account hygiene
stale accounts
privileged accounts
npx skills add SCStelz/security-investigator --skill identity-posture -g -y
用于调查 Microsoft Defender XDR 和 Sentinel 的安全事件。通过检索元数据、警报和资产，对选定实体进行深度调查，最终生成包含判决门控的调查报告。
investigate incident
incident ID
incident investigation
analyze incident
triage incident
npx skills add SCStelz/security-investigator --skill incident-investigation -g -y
用于调查网络威胁指标（IoC），如IP、域名、URL和文件哈希。结合Microsoft Defender威胁情报，执行关联分析、漏洞匹配及受影响资产枚举，提供全面的安全调查结果。
investigate IP
check domain
IoC investigation
threat intel
is this malicious
suspicious URL
npx skills add SCStelz/security-investigator --skill ioc-investigation -g -y
用于监控和审计 Microsoft Sentinel 及 Defender XDR 环境中 MCP 服务器使用情况，涵盖遥测分析、用户归因、敏感 API 检测及安全风险评估。
MCP usage
MCP server monitoring
MCP audit
tool usage monitoring
npx skills add SCStelz/security-investigator --skill mcp-usage-monitoring -g -y
生成MITRE ATT&CK覆盖报告，分析检测规则对ATT&CK框架的覆盖情况。通过自动化脚本收集分析规则、自定义检测及告警数据，识别覆盖缺口并提供优化建议，最终由LLM渲染为详细报告。
需要评估安全检测规则对攻击技法的覆盖程度时
生成MITRE ATT&CK战术与技术矩阵分析报告时
识别未标记或覆盖不足的检测规则以进行补救时
npx skills add SCStelz/security-investigator --skill mitre-coverage-report -g -y
用于检测终端设备进程执行行为的范围漂移，通过对比基线与近期活动计算加权漂移分数，识别异常扩展、新进程链及潜在安全威胁，支持单台或全网设备分析。
device drift
endpoint drift
process baseline
investigate process drift
npx skills add SCStelz/security-investigator --skill scope-drift-detection-device -g -y
检测 Entra ID 服务主体范围漂移，通过构建90天行为基线并与近期活动对比，计算加权漂移分数，关联安全告警以发现权限或行为的渐进式异常扩张。
scope drift
service principal drift
SPN behavioral change
automation account drift
baseline deviation
access expansion
npx skills add SCStelz/security-investigator --skill scope-drift-detection-spn -g -y
用于检测 Entra ID 用户账号的范围漂移，通过构建90天行为基线并与近期活动对比，计算加权漂移分数，关联安全告警与审计日志，识别渐进式权限或行为异常扩张。
用户范围漂移检测
用户行为变化调查
用户基线偏差分析
访问权限逐渐扩大排查
npx skills add SCStelz/security-investigator --skill scope-drift-detection-user -g -y
生成Azure Sentinel数据摄入分析报告，涵盖容量、层级分类、异常检测及优化建议。通过YAML驱动PowerShell自动采集KQL和API数据，LLM渲染最终报告。
需要分析Sentinel工作区的数据摄入量和成本结构
检测数据摄入异常或评估安全规则覆盖情况
生成Sentinel优化建议和迁移候选项
npx skills add SCStelz/security-investigator --skill sentinel-ingestion-report -g -y
用于根据技能报告或调查数据生成SVG可视化仪表板。支持基于YAML清单的结构化模式和自由形式的自适应可视化，包含多种图表组件。
generate SVG dashboard
create a visual dashboard
visualize this report
SVG from the report
visualize results
create SVG chart
npx skills add SCStelz/security-investigator --skill svg-dashboard -g -y
将威胁情报文章转化为可测试的狩猎活动。通过解析RSS/Atom源，评估相关性，编写并调试KQL查询，最终生成狩猎文件及结构报告，不涉及Git操作。
threat intel campaign
ingest threat intelligence
TI feed
write hunts from this article
threat intelligence blog
build a hunting campaign
npx skills add SCStelz/security-investigator --skill threat-intel-campaign -g -y
用于 Entra ID 用户账户安全调查的 Skill，分析登录异常、MFA 状态及审计日志，支持生成 HTML/Markdown 报告。
investigate user
security investigation
user investigation
check user activity
analyze sign-ins
npx skills add SCStelz/security-investigator --skill user-investigation -g -y
