用途：该技能用于超越静态规则的内部威胁检测。它对用户、主机和应用建模正常行为，再标记可能指示内部威胁的统计显著偏差，适用于安全事件调查、检测规则或威胁狩猎查询构建、SOC 分析流程，以及验证相关攻击技术的监控覆盖。
主要能力：以 Elasticsearch 为分析后端，从认证日志、文件访问事件和网络活动中建立行为基线；使用统计偏差和同组对比计算风险分数；将多个低置信指标关联为高置信内部威胁告警。步骤包括：摄入并规范化活动日志，配置日志管道，将认证、文件访问、邮件和网络日志送入 Elasticsearch，并统一用户身份字段；建立行为基线，用 Elasticsearch 聚合在滚动 30 天窗口内计算每用户登录时间、数据量、应用使用和访问模式基线；计算异常分数，用 z-score 偏差和同组对比生成每用户风险分数；关联与告警，将多个异常指标（异常时段、大量下载、新系统访问）组合成复合风险分数，触发 SOC 调查流程。
预期输出：JSON 报告，含每用户风险分数、异常活动详情、同组偏差和建议的调查动作。
前置条件：Elasticsearch 8.x 或 OpenSearch 2.x 集群及安全审计数据；日志来源包括 Active Directory 认证、VPN、DLP、文件服务器访问和邮件；Python 3.9+ 及 elasticsearch 客户端库；30 天以上正常用户活动数据的基线期；按部门、角色或职能定义的同组。
限制：资料未提供具体命令、代码示例、收费或价格信息、部署平台细节及效果保证，这些事实暂未提供。