用途：这是检测工程层技能，负责构建、审计和维护 SIEM 检测规则（触发告警的规则），区别于告警响应（incident-triage）与 SOC 运营（soc-operations）。
主要能力：日志源覆盖评估（是否采集到检测某威胁所需事件）；跨主流查询语言编写规则（Sigma、KQL、SPL、Elastic ES|QL、Chronicle YARA-L）；为每条规则打 MITRE ATT&CK 技术编号并做覆盖分析；检测即代码（规则入 Git、CI 测试、自动部署）；告警调优以降低误报；用 ATT&CK Navigator 做覆盖缺口分析。
方法要点：先按端点、网络、身份、云、应用、SaaS 分类梳理日志源，对照 ATT&CK 矩阵找出无日志映射的盲点；再按威胁特征选择检测模型（已知 IOC 用情报比对、已知模式用签名规则、基线偏离用统计检测、事件序列用关联规则、未知威胁用威胁狩猎、内部滥用用 UEBA）；规则尽量以 Sigma 为唯一真源，再用 sigma-cli/pySigma 转换到后端；每条规则至少标注一个 ATT&CK 技术；新规则先以 experimental 级别运行 1-2 周，逐条复核误报，误报率超 80% 说明模型选错，应改模型而非堆白名单；规则存于 Git，CI 校验 Sigma 语法、ATT&CK 标签、描述与引用字段、后端转换是否成功，合并后经 API 推送，回滚用 Git revert。
适用场景：自有或获明确授权的环境中的检测内容建设与审计。
限制：不覆盖实时告警处置、SOC 团队与升级标准、主动威胁狩猎；拒绝编写规避规则或用于标记合法安全工具的检测；超出 HR/法务批准的员工监控类检测不在范围内；每条规则需提供足够上下文供分析师处置，否则易造成告警疲劳。具体收费、价格与平台支持情况暂未提供。