名称： Security Joes AI 分析师
描述： 端点安全运维检查：EDR、Sysmon、更新、心跳时EVTX、最小权限、网络可见性、凭据保护（Kerberos/NTLM/哈希传递）、设备清单与已知漏洞、每周评估、技能完整性（唤醒时哈希、版本感知）。适用于实施或审查主机安全态势、心跳逻辑、EDR/Sysmon/EVTX、权限、网络暴露、凭据加固、漏洞评估、每周安全运维审查或技能完整性检查。
版本： 1.0.0
作者： Security Joes
authorUrl: https://www.securityjoes.com
主页： https://www.securityjoes.com
许可证： MIT
元数据：
openclaw:
emoji: "🔒"
category: "security"
标签：
- security
- secops
- clawhub
- edr
- sysmon
- evtx
您负责指导并实施端点的安全运维检查。重点包括：EDR、Sysmon、系统更新、心跳时EVTX、最小权限、网络可见性、凭据保护（Kerberos/NTLM/哈希传递）、设备清单与已知漏洞以及每周评估。主要针对Windows系统；酌情使用PowerShell/WMI/注册表和EVTX。
Microsoft Defender
WinDefend (Get-Service WinDefend)。Get-MpComputerStatus（或 MpCmdRun.exe -GetStatus）用于检查签名版本和实时保护状态。HKLM\SOFTWARE\Microsoft\Windows Defender 及相关产品状态键。CrowdStrike Falcon
CsAgent (Get-Service CsAgent -ErrorAction SilentlyContinue)。HKLM\SYSTEM\CurrentControlSet\Services\CsAgent 或 HKLM\SOFTWARE\CrowdStrike 下的Falcon特定键。其他（SentinelOne、Carbon Black等）
输出
edr_present: true|false、edr_name: "Defender"|"CrowdStrike"|...，可选的 edr_healthy: true|false（例如服务运行、实时保护开启）。Sysmon64 或 Sysmon (Get-Service Sysmon64, Sysmon -ErrorAction SilentlyContinue)。C:\Windows\System32\winevt\Logs\ 下的 Microsoft-Windows-Sysmon%4Operational（路径：...\Microsoft-Windows-Sysmon%4Operational.evtx）。Sysmon64 -s 或已知配置路径）以确认日志记录范围。输出
sysmon_installed: true|false、sysmon_log_path: "..."（如果可用），可选的 sysmon_service_running: true|false。Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 1 获取最后补丁日期；或 (Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion").CurrentBuild（以及可选的UBR）获取内部版本。Win32_QuickFixEngineering 或COM Microsoft.Update.Session 查看最后安装时间/待重启状态。up_to_date: true|false 以及可选的 last_patch_date 或 build。在心跳时（或安排与心跳时间一致的计划检查）：
选择EVTX日志
C:\Windows\System32\winevt\Logs\Security.evtxMicrosoft-Windows-Sysmon%4Operational.evtx查找内容
实现选项
Get-WinEvent -FilterHashtable @{ LogName='Security'; StartTime=$since }（对Sysmon/Defender类似）。details 发出或触发告警。发出
details（例如 evtx_alert_count、evtx_summary[]），或在超出阈值时（例如 > N 次失败，或任何Defender检测）触发告警事件。检查设备/用户是否以最小权限运行（未过度授权）。
whoami /groups 查看组成员身份；通过 (Get-Process -Id $PID).StartInfo.Verb 或 WMI/CIM 查看令牌提升类型。对于提升：检查进程令牌是否具有提升（例如 [System.Security.Principal.WindowsIdentity]::GetCurrent().Groups 并查找 S-1-16-12288 = 高强制级别）。net localgroup Administrators（或 Get-LocalGroupMember -Group Administrators）– 报告当前用户或常见服务账户是否在管理员组中。HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA = 1（UAC开启）。可选：ConsentPromptBehaviorAdmin、PromptOnSecureDesktop。输出
least_privilege: true|false、current_user_elevated: true|false、in_local_admins: true|false，可选的 uac_enabled: true|false。评估设备可见的网络和邻居（暴露面和横向移动面）。
Get-NetAdapter、Get-NetIPAddress – 列出适配器、IP、网关。可选：Get-NetRoute。Get-NetNeighbor 或 arp -a – 设备最近与其他哪些主机通信过（L2/L3邻居）。netsh wlan show networks 或 Get-NetAdapter | Where-Object {$_.InterfaceDescription -match 'Wi-Fi'} 加上WLAN配置文件 – 设备可见或已配置的SSID。systeminfo、nltest /domain_trusts（或如果安装了RSAT则使用 Get-ADDomainTrust）– 域成员身份和信任关系。net view（浏览的共享）、net session（谁连接到此计算机）– 可选；可能需要管理员权限。用于查看“此设备能看到谁”以及“谁在使用此设备”。输出
interfaces[]（名称、IP、网关）、arp_count 或 neighbors_count，可选的 wifi_ssids[]、domain_member: true|false、domain_name、trusts[]，可选的 net_view_count / net_session_count。检查网络层面的凭据加固，以抵御Kerberos/NTLM滥用和哈希传递攻击。
Get-SmbClientConfiguration (RequireSecuritySignature) 和 Get-SmbServerConfiguration (RequireSecuritySignature, EnableSecuritySignature)。尽可能在服务器和客户端上要求签名，以缓解NTLM中继攻击。HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\LDAPServerIntegrity）、LDAP通道绑定。客户端：检查环境是否强制要求签名LDAP。HKLM\SYSTEM\CurrentControlSet\Control\Lsa：LmCompatibilityLevel（例如5+以避免NTLMv1）、RestrictNTLMInDomain / RestrictNTLMOutbound（如果可用）。NTLM审核或阻止策略（RestrictNTLMInDomain = 1, 2, 3）。Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard 或注册表 HKLM\SYSTEM\CurrentControlSet\Control\Lsa\LsaCfgFlags – 凭据防护（1）和/或LSA作为受保护进程轻量级运行，以保护内存中的哈希。输出
smb_signing_required_client: true|false、smb_signing_required_server: true|false，可选的 ldap_signing、lm_compat_level、credential_guard: true|false、lsa_protected: true|false、credential_protection_summary: "strong|partial|weak"。清点设备并与已知漏洞关联进行评估。
Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion" – ProductName、CurrentBuild、UBR、DisplayVersion。可选：Get-ComputerInfo。Get-HotFix 或 WMI Win32_QuickFixEngineering – 列出KB号和InstalledOn日期。用于“最后补丁日期”以及与CVE数据交叉引用。Get-ItemProperty HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*、HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\* – DisplayName、DisplayVersion、Publisher。避免使用 Get-WmiObject Win32_Product（速度慢且会触发重新配置）。用于易受攻击软件清单。输出
os_name、os_build、last_patch_date、hotfix_count，可选的 installed_products[]（名称、版本）、known_vuln_count，可选的 known_vulns[]（cve_id、严重性、产品）。执行每周安全运维评估：运行完整检查清单并生成报告（可选地发出事件）。
检查清单（每周运行）
工作流程
type: 'weekly_assessment'（或 config_change 附带 details.assessment = true），包含摘要和聚合结果的 details（计数、布尔值、无PII）。仪表板或规则可以展示“上次每周评估”和失败项。计划
在首次唤醒时（当此技能首次应用或没有存储的哈希值时），哈希计算此技能及所有其他已知技能；存储哈希值。在每次唤醒时，重新计算哈希并与存储的哈希值比较。利用技能前言中的版本来区分升级（有意的版本变更）和潜在篡改（哈希值改变但版本未变或缺失）。
范围
.cursor/skills/（项目）或 ~/.cursor/skills/（个人）下的每个已知技能目录。每个技能：SKILL.md（必需），以及可选的 reference.md、examples.md（如果存在）。除非明确包含，否则不哈希 scripts/ 目录内容；首选 SKILL.md + 可选的 reference/examples 作为稳定基线。存储
.cursor/skills/.skill-integrity.json。个人范围：~/.cursor/skills/.skill-integrity.json（或一个同时列出项目和个人路径的文件）。如果 .skill-integrity.json 包含机器特定或敏感元数据，则不要提交到版本控制；添加到 .gitignore 或仅保留在本地。{
"skills": {
"security-joes-ai-analyst": {
"version": "1.0",
"fileHashes": {
"SKILL.md": "sha256hex...",
"reference.md": "sha256hex..."
},
"lastChecked": "ISO8601"
}
},
"firstRun": "ISO8601"
}
首次唤醒
.cursor/skills/*，可选个人 ~/.cursor/skills/*）。version（如果存在）。计算SKILL.md以及任何reference.md/examples.md的SHA-256。