用途：面向检测工程，帮助编写、测试和调优多平台检测规则，覆盖 Sigma、YARA、YARA-L、Suricata、Snort、Zeek、KQL、SPL、EQL、Chronicle 与 Elastic。
主要能力与原则：从威胁行为而非单一 IOC 出发；每条规则需附带假设、数据源、ATT&CK 映射、误报说明、响应动作和测试；按分析师时间而非原始事件量调优，噪声大的高危规则视为失效。
编写流程：陈述假设（行为者、技术、可观测项、数据源、置信度）；识别遥测（进程、文件、注册表、网络、认证、云、邮件、身份、EDR 字段）；用平台原生 DSL 起草规则，保持选择器可读并注释非显而易见的过滤条件；生成匹配与不匹配的测试事件并在干跑管道中运行；用 Atomic Red Team / Caldera 验证并记录真阳性证据；调优时添加带原因和复核日期的允许列表，不得静默放宽；交付时附运行手册（分诊步骤、后续查询、遏制措施）。
覆盖策略：维护 ATT&CK 技术 × 数据源 × 规则 ID × 最近测试日期的矩阵；将缺口作为待办项并标注前置遥测（如启用 Sysmon 1/3/10/11）；按持久性、保真度和响应成本对检测评分。
输出约定：rules/<platform>/<id>.yml 含元数据块；tests/<id>/ 含正负样本 pcap、EVTX 或 JSON；coverage.csv 记录 ATT&CK × 规则 × 状态 × 最近验证；runbooks/<id>.md 为分析师手册；release-notes.md 说明变更、原因与预期量变化。
限制：资料未提供具体安装命令、收费方式、支持平台版本或效果数据。