Detection Use Cases Skill 是一个面向安全检测用例的技能，目标是在所有攻击面上识别安全威胁，并支持规则创建、事件分析与威胁狩猎流程。
用途
该技能用于构建和运行安全检测逻辑，覆盖网络、终端、身份、云、应用和邮件等多个向量，帮助安全团队识别可疑活动并整理检测规则。
主要能力
网络检测
- 端口扫描：通过连接日志识别侦察行为，可设置阈值与时间窗口，输出源 IP、扫描端口数量与扫描类型（横向、纵向或块状）。
- DNS 隧道：分析 DNS 查询，识别通过 DNS 进行的数据外泄，输出隧道域名与指标（如高熵子域、异常查询类型、查询频率）。
- C2 信标：根据连接的时间间隔与抖动识别命令控制通信，输出目标、间隔秒数、抖动百分比与置信度。
- 横向移动：与基线连接对比，识别内部网络中新出现的目主机与协议。
- 数据外泄：结合基线流量与阈值倍数，检测异常数据传输，输出传输字节数、目标与异常评分。
终端检测
- 恶意软件行为：分析进程事件，输出进程、指标与 MITRE ATT&CK 技术。
- 勒索软件：分析文件事件，识别批量加密行为，输出受影响文件数、加密模式与勒索信路径。
- 凭据转储：识别 LSASS 转储、SAM 访问等凭据窃取技术，输出技术与工具指标。
- 持久化机制：检测注册表、计划任务、服务等持久化变更，列出机制类型与详情。
- LOLBin 滥用：检测 certutil.exe、mshta.exe 等合法二进制被滥用的情况，输出二进制名、可疑参数与 MITRE 技术。
身份检测
- 暴力破解：根据认证日志中的失败次数与时间窗口检测密码猜测，输出目标用户、失败次数、来源 IP 与是否已失陷。
- 不可能旅行：根据登录地理位置与时间计算所需速度，识别地理异常登录。
- Kerberoasting：检测 Kerberos 服务票据请求行为，输出请求用户、票据数量与目标服务。
云检测
- IAM 滥用：分析 CloudTrail 等事件，识别可疑 IAM 操作，输出操作者、可疑动作与风险等级。
- 挖矿：检测用于挖矿的资源滥用，输出 GPU 实例数量、预估每小时成本与区域。
应用检测
- SQL 注入：分析 Web 请求参数，识别 SQLi 尝试，输出载荷、模式与端点。
- Web Shell：检测 Web Shell 上传与访问，输出路径、执行命令与指标。
邮件检测
- 钓鱼：分析邮件内容、链接与附件，输出仿冒对象、可疑链接与紧急度评分。
检测规则管理与威胁狩猎
- 检测规则：可创建规则并添加条件，添加 MITRE 映射，导出为 SIGMA、KQL、Splunk SPL 等格式；支持规则集管理与导出目录。
- 威胁狩猎：可创建狩猎任务、定义假设、添加数据源并执行查询。
使用方式
通过 Python 导入 detection_utils，使用 NetworkDetector、EndpointDetector、IdentityDetector、CloudDetector、ApplicationDetector、EmailDetector、DetectionRule、ThreatHunter 等类。将连接日志、DNS 查询、进程事件、认证日志、云事件、Web 请求、邮件等数据传入对应检测方法，方法返回包含 detected 及具体字段的字典。示例：
from detection_utils import NetworkDetector
network = NetworkDetector()
result = network.detect_beaconing(conn_logs)
创建规则示例：
rule = DetectionRule(
name='Suspicious PowerShell Execution',
category='endpoint',
severity='High'
)
rule.add_condition('process_name', 'equals', 'powershell.exe')
rule.add_condition('command_line', 'contains', '-encodedcommand')
print(rule.to_sigma())
适用场景
- 安全运营中心构建多向量检测逻辑。
- 事件分析与告警调查。
- 通过 SIGMA、KQL、SPL 导出检测规则以适配不同平台。
- 主动威胁狩猎与假设验证。
限制
资料未说明该技能的运行环境、依赖安装方式、支持的数据源接入方式、检测准确率、性能上限、收费或许可信息，这些内容暂未提供。实际使用时应以技能文档中的最新说明为准。