用途：Threat Detection 技能面向安全运营（Security Operations），用于对日志文件做自动化威胁信号分析，帮助安全团队对日志数据做初步研判，在威胁升级前发现可疑活动。
主要能力：可检测同源重复登录失败（暴力破解）、请求中的 SQL 注入／XSS／命令注入、异常访问时间与禁路径及管理员探测、sudo 滥用与角色及权限变更等提权迹象、请求洪泛类拒绝服务模式，以及扫描器、机器人、TOR 等已知可疑特征。
使用方式：核心脚本为 threat_signal_analyzer.py。示例命令：python scripts/threat_signal_analyzer.py --file /var/log/auth.log；指定类别：--category injection；输出 JSON 供 SIEM 集成：--format json；设置最低严重程度：--min-severity high。分析前应确认日志文件与来源类型、威胁类别、最低严重程度三项输入；若信息缺失应询问而非假设，用户要求直接起草时可继续并在产物顶部列出假设。
适用场景：日志分析与研判、事件调查（界定时间窗与受影响系统、扫描相关日志、构建时间线、评估影响、遏制与修补）、持续监控（如每小时分析 auth 日志的 cron 任务，或在部署时扫描应用日志的 CI/CD 流程）。
限制：资料未提供安装方式、价格、许可与支持平台等信息；检测基于模式匹配，可能产生误报，低严重度多为信息性结果，需人工复核；响应动作（封禁 IP、重置凭据、升级上报等）需由使用者自行执行。