用途：为 Elastic Security 生成示例安全数据，包括符合 ECS 的安全事件、多步攻击场景和合成告警文档，用于演示、填充仪表盘、测试检测规则以及模拟实时 SOC 环境。
主要能力：覆盖 system、endpoint、windows、aws、okta 五个数据包，提供四类攻击场景（Windows 凭据窃取、AWS 云权限提升、Okta 身份接管、完整勒索软件杀伤链）。合成告警写入 .alerts-security.alerts-default，带 MITRE ATT&CK 映射、严重级别和风险评分。所有事件使用 RFC 5737 / RFC 2606 安全地址。
使用方式：先设置环境变量 ELASTICSEARCH_URL、ELASTICSEARCH_USERNAME、ELASTICSEARCH_PASSWORD、KIBANA_URL。快速体验可运行 node skills/security/generate-security-sample-data/scripts/demo-walkthrough.js。生成数据示例：node skills/security/generate-security-sample-data/scripts/sample-data.js system endpoint okta aws windows --scenarios --alerts。仅生成事件加 --count 100；仅场景用 --scenarios；仅告警用 --alerts；清理用 --cleanup；持续模式用 --continuous --interval 15。
适用场景：向干系人演示 Attack Discovery、针对特定场景测试检测规则、演示期间保持仪表盘活跃、演示后清理数据。
限制：Attack Discovery 需在 Kibana 配置 LLM 连接器（OpenAI、Anthropic、Google Gemini 等），且需 Complete 项目层级。所有文档带 tags: ["elastic-security-sample-data"] 便于清理；若标记字段未索引，清理回退扫描最近 14 天的 _source.tags。写操作默认需确认，可用 --yes 跳过。--cleanup 执行 deleteByQuery，运行前需确认环境变量指向目标集群。--continuous 会持续写入直到 Ctrl+C。除非有意注入合成数据，否则不要对生产集群运行。