用途：为 Elastic Security 生成示例安全数据，用于演示、填充仪表盘、测试检测规则。可生成符合 ECS 的安全事件、多步攻击场景和合成告警文档，填充 Security 仪表盘、Alerts 标签页与 Attack Discovery。
主要能力：覆盖 system、endpoint、windows、aws、okta 五个数据包，以及 Windows 凭据窃取、AWS 云权限提升、Okta 身份接管、完整勒索软件杀伤链四类攻击场景。合成告警写入 .alerts-security.alerts-default，带 MITRE ATT&CK 映射、严重级别与风险评分。所有事件使用 RFC 5737 / RFC 2606 安全地址。
使用方式：先设置环境变量 ELASTICSEARCH_URL、ELASTICSEARCH_USERNAME、ELASTICSEARCH_PASSWORD、KIBANA_URL。快速体验可运行 node skills/security/generate-security-sample-data/scripts/demo-walkthrough.js。生成数据示例：node skills/security/generate-security-sample-data/scripts/sample-data.js system endpoint okta aws windows --scenarios --alerts。仅生成事件加 --count 100；仅场景用 --scenarios；仅告警用 --alerts。清理用 --cleanup。持续模式用 --continuous --interval 15，每 5 批含攻击场景，每 10 批加合成告警，Ctrl+C 停止。
适用场景：向干系人演示 Attack Discovery、针对特定场景测试检测规则、模拟实时 SOC 保持仪表盘活跃、演示后清理。
限制：所有文档带 tags: ["elastic-security-sample-data"] 便于清理，清理仅删除带此标记的文档；若标记字段未索引，则回退扫描最近 14 天的 _source.tags。合成告警无需安装或启用检测规则。Attack Discovery 需在 Kibana 配置 LLM 连接器（OpenAI、Anthropic、Google Gemini 等），Complete 项目层级解锁该功能但连接器需单独设置。不要对生产集群运行，除非有意注入合成数据；所有写操作会提示确认，可用 --yes 或 -y 跳过；--cleanup 会跨所有示例数据索引执行 deleteByQuery，运行前请确认环境变量指向目标集群；--continuous 会无限索引事件直到手动停止。Elasticsearch 需 API key 或用户名/密码之一。