用途：创建新检测规则以覆盖新兴威胁与盲区，并调优现有规则以减少误报。所有操作通过 Kibana Detection Engine API 与 rule-manager.js 完成。
主要能力：rule-manager.js 提供 find、get、create、patch、enable、disable、delete、export、bulk-action、add-exception、list-exceptions、create-shared-list、noisy-rules、validate-query 等命令；Endpoint 行为规则调优使用 fetch-endpoint-rule-from-github.js、add-endpoint-exception.js、check-exclusion-best-practices.js。支持 query、eql、esql、threshold、threat_match、new_terms 等规则类型。
使用方式：先在 skills/security 目录执行 cd skills/security && npm install，并设置 ELASTICSEARCH_URL、ELASTICSEARCH_API_KEY、KIBANA_URL、KIBANA_API_KEY 环境变量。调优噪声规则流程为 noisy-rules/find → run_query 调查误报 → patch 或 add-exception；创建规则流程为 run_query 验证数据 → validate-query 校验 → create。写操作默认需确认，代理调用时传 --yes。
适用场景：SIEM 规则误报调优、Endpoint 行为规则例外、新检测规则创建、告警量调查。
限制：Endpoint 例外会全局抑制检测，必须用 rule.id 或 rule.name 限定范围；执行前需确认环境变量指向目标集群；bulk-action 可用 --dry-run 预览。仅报告工具实际输出，不得编造 ID、主机名、IP、分数等细节。