用途：该技能面向检测工程（detection-as-code），用于用 Sigma 通用日志签名格式编写、校验和管理安全检测规则，并将其转换为多种 SIEM/EDR 平台可用的查询。
主要能力：创建 Sigma 检测规则；转换到 25+ 个 SIEM/EDR 后端（如 Splunk、Elasticsearch、QRadar、Microsoft Sentinel）；校验规则语法与逻辑；将检测映射到 MITRE ATT&CK；构建威胁狩猎查询；实现基于合规（如 PCI-DSS、NIST、ISO 27001）的监控。
使用方式：先安装依赖 pip install pysigma pysigma-backend-splunk pysigma-backend-elasticsearch pyyaml。规则以 YAML 编写，包含 title、id、status、description、logsource、detection、level 等字段，detection 中用 selection、filter 与 condition 组合，并可使用 |contains、|endswith、|startswith、|re、|all、|base64 等字段修饰符。校验规则：python scripts/sigma_validate.py rule.yml；转换：python scripts/sigma_convert.py rule.yml --backend splunk（或 elasticsearch、sentinel）；批量校验：python scripts/sigma_validate.py --directory rules/ --report validation-report.json；批量转换：python scripts/sigma_convert.py --directory rules/ --backend splunk --output converted/。合规覆盖检查：python scripts/compliance_coverage.py --framework pci-dss。也可在 CI/CD 中自动校验与转换。
适用场景：检测规则开发、SIEM 平台迁移、威胁狩猎、合规监控、将社区 SigmaHQ 规则作为基础进行调优。
限制与注意事项：部分后端存在字段映射限制，转换可能需要手动调整；规则可能产生误报，需用历史数据测试并调优，生产环境建议先用保守过滤并以 experimental 状态起步；规则仓库应设访问控制并记录部署、修改、删除的审计日志；示例中的 UUID、日期等需按实际替换。