用途：假定防御终将失败，本技能专注构建和审计“发现层”——检测控制、SOC分诊、狩猎与事件响应（IR）。核心问题：真实攻击者行动时，是否有高保真信号触发、送达有人可行动的人员或自动化，并驱动有界响应。
主要能力（BUILD模式）：按检测生命周期循环推进——威胁假设→构建→测试→部署→调优→退役；先确认日志源存在，否则产出日志缺口而非规则；优先使用TTP/行为逻辑而非IOC；选择引擎：Sigma（日志）、YARA-X（文件/内存/恶意软件）、Suricata（网络）、Falco/Tetragon（eBPF/容器/K8s）、SIEM原生（KQL/SPL/EQL）；用Atomic Red Team、Stratus Red Team、Caldera做对抗模拟验证；用ATT&CK Navigator映射覆盖；持续调优并带过期时间抑制。
AUDIT模式：对抗性评估现有检测/SOC/IR姿态，抽样真实检测、告警与事件，按严重级别（Critical/High/Medium/Low/Info）生成发现，格式为file:line | rule | severity | effort | fix，并给出前三项ATT&CK技术的端到端判定（PRESENT/PARTIAL/ABSENT）。
规则索引覆盖检测工程纪律、遥测SIEM数据层、规则语言与引擎、告警分诊SOAR、狩猎情报欺骗、IR验证、AD攻击检测。
限制：资料未提供具体安装命令与定价信息。所有权边界上，遥测管道归sota-observability，设计期威胁建模归sota-threat-modeling。