用途：在安全运营环境中部署或配置针对 APT 横向移动的 SIEM 关联检测能力，用于建立符合合规要求的安全控制、改进安全架构，以及开展需要此类实现的安全评估。
主要能力：编写跨主机串联多类事件的多事件关联规则；构建表达多步检测逻辑的 Sigma YAML 规则，覆盖 RDP 登录（4624 LogonType=10）后 15 分钟内同目标出现服务安装（7045）、Pass-the-Hash（NTLM 登录 4624 LogonType=3 后出现管理工具进程创建 4688）、PsExec 式行为（命名管道创建 Sysmon 17/18 与远程服务创建 7045 关联）等模式；使用 sigma-cli convert 将 Sigma 规则转换为 Splunk SPL；通过 REST API 将关联搜索部署到 Splunk ES；运行代理生成并安装关联规则，并审计现有规则的覆盖缺口。
使用方式：先安装依赖 pip install requests pyyaml sigma-cli；连接 Splunk REST API 定义关联搜索；编写 Sigma 规则并转换；部署到 Splunk ES；运行 python scripts/agent.py --splunk-url https://localhost:8089 --username admin --password changeme --output correlation_report.json。
适用场景：安全运营中心检测 APT 横向移动、合规安全控制建设、安全架构改进与安全评估。
限制：需熟悉安全运营概念与工具，具备测试或实验环境，Python 3.8+ 及依赖，且任何测试活动须获得适当授权。其他细节暂未提供。