building-detection-rule-with-splunk-spl
本技能介绍如何使用 Splunk 搜索处理语言(SPL)构建有效的检测规则,通过关联搜索在 SOC 环境中识别安全威胁。内容涵盖阈值检测、序列检测、基线对比异常检测、横向移动检测、数据外泄检测和 PowerShell 可疑执行检测等核心 SPL 模式,并说明在 Splunk Enterprise Security 中配置关联搜索的步骤、上下文富化最佳实践、性能优化方法以及测试验证流程,同时提供 MITRE ATT&CK 技术映射参考。