用途：面向 SOC 与检测工程团队，将威胁检测需求转化为正式化、可测试、可维护的 SIEM 检测用例。流程包括覆盖缺口评估、用例规格设计、跨平台规则实现、攻击模拟验证、上线监控与生命周期管理。
主要能力：基于 MITRE ATT&CK 做覆盖与缺口分析；用标准化模板记录用例编号、ATT&CK 技术、日志源、严重度、误报来源、调优说明、SLA 与状态；在 Splunk ES、Elastic Security、Microsoft Sentinel 中分别用关联搜索、EQL、KQL 实现检测逻辑；用 Atomic Red Team 验证检测有效性并统计误报；监控触发频率、真实阳性率与检测延迟；维护从提出到废弃的用例库。
必要用法：需要生产 SIEM 平台与数据、ATT&CK Navigator、归一化到 CIM/ECS 的日志源、用例文档载体（wiki、Git 仓库或检测工程平台）以及带攻击模拟工具的测试环境。验证可执行 Invoke-AtomicTest T1003.001 等命令。
适用场景：从零建设检测库、事件后补检测、PCI DSS/HIPAA/SOX 等合规驱动、威胁情报驱动的 APT 检测、红队/紫队发现转化、SIEM 迁移时的用例转换验证。
限制：不适合临时狩猎查询；需要已具备日志与测试环境；文中未提供具体收费、平台版本要求或效果保证。