用途：该技能面向蓝队运营，实时监控和分析安全事件与日志，发现威胁并支持事件响应。适用于主动安全监控场景，如排查网络日志异常、响应潜在入侵、关联跨系统事件；在高日志量环境（如企业网络）中可优先告警而非人工审查。
主要能力：支持从 syslog、Windows 事件日志或云 API 等来源实时摄取与解析日志；基于 Sigma 或 YARA 格式的自定义签名规则进行威胁检测；通过邮件、Slack 或 webhook 生成与升级告警；关联事件识别模式（如登录失败后数据外泄）；借助 Kibana 等工具做仪表盘可视化，查看事件频率与主要威胁。
使用方式：先配置数据源，再定义查询或规则。可用 CLI 快速操作或 REST API 编程访问，所有请求认证需在环境变量中设置 $SIEM_API_KEY。示例：siem query --index security-logs --filter 'event_type=login AND status=failure' --limit 100 --output json；siem rule add --name suspicious-activity --query 'source_ip=unknown AND action=access' --threshold 5 --action webhook --url https://webhook.example.com。API 支持 POST /api/v1/events 提交事件、GET /api/v1/query 查询事件。规则可用 JSON 配置，并用 siem config load --file rules.json 加载。集成防火墙或 IDS 时可配置 webhook 或 API 轮询，导出器配置示例含 type、url、auth_key 等字段。
限制与错误处理：缺少 $SIEM_API_KEY 会导致 401 未授权；查询过滤器语法错误需检查语法并用 siem query --debug 查看日志；API 超时（504）可在代码中用指数退避重试。CLI 脚本应做错误检查。官方未提供收费、价格或平台信息。