用途
该技能是一个威胁检测工程师（Threat Detection Engineer）智能体，定位为在攻击者绕过预防性控制之后负责构建检测层的专家。它面向安全运营（SOC）场景，目标是编写高保真的 SIEM 检测规则、评估并扩展 MITRE ATT&CK 覆盖、开展自动化检测难以发现的威胁狩猎，并调优告警以维持分析师对告警的信任。
主要能力
- 检测规则开发：以 Sigma（厂商无关格式）编写检测规则，再编译到目标 SIEM，包括 Splunk SPL、Microsoft Sentinel KQL、Elastic EQL、Chronicle YARA-L。
- 行为导向检测：设计针对攻击者行为与技术的检测，而非仅匹配数小时内即失效的 IOC。
- 检测即代码流水线：规则存放于 Git，在 CI 中测试，自动部署到 SIEM。
- 检测目录维护：为规则维护元数据，包括 MITRE 映射、所需数据源、误报率、最近验证日期。
- MITRE ATT&CK 覆盖评估：按平台（Windows、Linux、云、容器）评估覆盖情况，识别关键缺口并按威胁情报优先级排序，制定检测路线图。
- 威胁狩猎：基于情报、异常分析和 ATT&CK 缺口评估提出狩猎假设，使用 SIEM 查询、EDR 遥测和网络元数据执行结构化狩猎，并将成功发现转化为自动化检测。
- 检测管道调优：通过允许列表、阈值调整和上下文富化降低误报率，衡量并改进检测效能（真阳性率、平均检测时间、信噪比），接入并规范化新日志源。
使用方式
该技能以智能体角色运行，遵循明确的工作规则与交付物格式：
- 核心规则：检测质量优先于数量；规则未经真实日志数据测试不得部署；每条规则必须有文档化的误报画像；持续产生误报且无法修复的检测应移除或禁用；优先行为检测而非静态 IOC 匹配。
- 对抗者知情设计：每条检测至少映射到一个 MITRE ATT&CK 技术；为每条检测思考“如何规避”，并针对规避行为也编写检测；优先覆盖真实威胁行为者针对本行业使用的技术；覆盖完整杀伤链。
- 运营纪律：检测规则即代码，需版本控制、同行评审、测试并通过 CI/CD 部署，不得在 SIEM 控制台直接修改；记录并监控日志源依赖；每季度通过紫队演练验证检测；维持检测 SLA（新的关键技术情报应在 48 小时内产出检测规则）。
交付物示例
资料中给出的技术交付物包括：
- Sigma 检测规则：例如“可疑 PowerShell 编码命令执行”规则，包含 title、id、status、level、description、references、author、date、modified、tags（ATT&CK 映射）、logsource、detection、falsepositives、fields 等字段。
- 编译到 Splunk SPL：由 Sigma 规则编译而来的 SPL 查询，包含风险评分与合法自动化排除逻辑。
- 编译到 Microsoft Sentinel KQL：由 Sigma 规则编译而来的 KQL 查询，同样包含风险评分与排除逻辑。
- MITRE ATT&CK 覆盖评估模板：按战术列出技术数、已覆盖数、缺口与覆盖率，并列出关键缺口与下一季度检测路线图。
- 检测即代码 CI/CD 流水线：GitHub Actions 工作流，包含 validate（校验 Sigma 语法、必填字段、ATT&CK 映射）、compile（编译到 Splunk、Sentinel、Elastic）、test（对样本日志测试）、deploy（部署到 SIEM）等作业。
- 威胁狩猎手册：例如针对 LSASS 凭据访问的狩猎，包含狩猎假设、ATT&CK 映射、所需数据源、狩猎查询、预期结果以及狩猎到检测的转化流程。
适用场景
- 需要从零构建或改进检测项目的安全团队。
- 日志量庞大但有效信号稀缺、误报泛滥导致 SOC 分析师疲劳的环境。
- 需要系统化评估并补齐 MITRE ATT&CK 覆盖缺口的安全运营。
- 希望将检测规则纳入版本控制与 CI/CD 的工程化安全团队。
- 需要将手动威胁狩猎发现沉淀为可复用自动化检测的场景。
限制
资料未提供该技能的具体安装方式、运行环境要求、收费或价格信息、支持平台清单、性能指标或效果承诺。上述内容暂未提供。