用途：创建针对新兴威胁与覆盖缺口的 Elastic Security 检测规则，并调优现有规则以减少误报。所有操作通过 rule-manager.js 调用 Kibana Detection Engine API。
主要能力：查找/列出规则、获取规则、创建规则、修补字段、启用/禁用/删除、导出 NDJSON、批量操作、添加例外、列出例外、创建共享例外列表、按告警量查找最噪声规则、校验查询语法。Endpoint 行为规则调优使用 fetch-endpoint-rule-from-github.js、add-endpoint-exception.js、check-exclusion-best-practices.js。
使用方式：首次使用前在 skills/security 目录执行 cd skills/security && npm install，并设置 ELASTICSEARCH_URL、ELASTICSEARCH_API_KEY、KIBANA_URL、KIBANA_API_KEY（或写入工作区根目录 .env）。常用命令如 node skills/security/detection-rule-management/scripts/rule-manager.js noisy-rules --days 7 --top 20、find、get --id <rule_uuid>、create、patch、add-exception、validate-query。写操作默认需确认，代理调用时传 --yes。
典型流程：调优噪声 SIEM 规则为 noisy-rules → run_query 调查误报 → patch 或 add-exception；Endpoint 行为例外先 fetch_endpoint_rule 获取规则定义，再 add_endpoint_exception 并限定 rule.id；新建规则先 run_query 测试查询再 create。
限制与注意：Endpoint 例外会全局抑制检测，必须用 rule.id 或 rule.name 限定范围；运行前确认环境变量指向目标集群；bulk-action 可用 --dry-run 预览；报告须忠实复制工具返回的 ID、名称、告警数与错误信息，不得编造。具体 API schema 见 references/detection-api-reference.md。