用途：该技能用于按 Florian Roth 的检测工程方法论编写和维护检测规则，核心是 Sigma 与 YARA。Sigma 提供通用签名格式，让检测逻辑一次编写、转换为多种 SIEM 查询语言；YARA 用于二进制模式匹配与恶意软件检测。
主要能力：提供 Sigma 规则模板（含 title、id、status、description、references、author、date、tags、logsource、detection、falsepositives、level、fields 等字段），示例覆盖 PowerShell 下载木马等场景；提供 YARA 规则示例（如 Cobalt Strike Beacon、Mimikatz 内存字符串），包含 meta、strings、condition 结构；给出 Sigma 到 Splunk、Elastic、Sentinel 等格式的转换思路与字段映射；并提供规则质量评估框架，从准确性、覆盖率、性能、可维护性、文档五个维度打分。
使用方式：资料未提供具体安装命令或运行步骤。可参考的公开资源包括 Sigma（https://sigmahq.io/）、YARA（https://virustotal.github.io/yara/）、GitHub（https://github.com/Neo23x0）。
适用场景：安全检测工程、威胁狩猎、事件响应中的规则编写与调优。
限制：资料未说明收费、平台支持范围或实际效果；部分转换函数（如 QRadar）在示例中未实现。