用途
该技能用于指导基于检测工程（Detection Engineering）方法创建检测规则。其引用的框架包括：MITRE ATT&CK v16、Sigma 规则规范（sigmahq.io）、Palantir 告警与检测策略（ADS）框架。目标角色为 SOC 分析师与安全工程师，单个检测任务耗时约 30-60 分钟，输出物为 Sigma 检测规则、ADS 文档与 ATT&CK 覆盖映射。若通过参数提供目标，则聚焦于该目标进行评审。
适用时机
在满足以下任一条件时可调用该技能：新威胁情报（威胁报告、通告或战役分析识别出需要在环境中建立检测覆盖的 TTP）；ATT&CK 覆盖差距分析（评估哪些 MITRE ATT&CK 技术已有检测规则、哪些没有）；检测规则编写（为特定技术、日志源或行为模式编写新的 Sigma 规则）；检测即代码流水线（检测规则纳入版本控制并需遵循标准化格式以集成 CI/CD）；事件后检测改进（在事件或紫队演练后为未被捕获的技术创建新检测）；检测规则评审（按当前 ATT&CK 映射、日志源可用性或 Sigma 规范合规性验证现有规则）。
不适用情形：对活动告警进行分诊（应使用 alert-triage）；在不使用 Sigma 抽象层的情况下编写特定 SIEM 查询语法（应使用 siem-rules）；执行事件响应取证（应使用 ir-playbook）。
开始前需收集的上下文
目标 ATT&CK 技术（如 T1059.001 PowerShell）；可用日志源（Windows 事件日志、Sysmon、EDR、云审计日志、代理日志、DNS 日志、防火墙日志）；目标 SIEM 平台（Microsoft Sentinel、Splunk、Elastic、Chronicle、QRadar，用于确定 Sigma 后端转换目标）；环境上下文（操作系统、域结构、云服务商、关键应用）；现有检测覆盖（当前规则、已知缺口、类似检测的历史误报情况）；检测优先级（已知活跃威胁、主动扩展覆盖或合规要求）；组织命名规范（规则 ID 格式、严重性分类、标记标准）。若仅提供 ATT&CK 技术而缺少其他上下文，则采用保守假设（Windows 企业环境、具备 Sysmon 与 Windows 安全日志）并在输出中注明假设。
流程
步骤 1：ATT&CK 技术分析
拆解目标技术以理解需要检测的内容：识别该技术所属的战术；查阅该技术的程序示例以了解真实使用模式；识别 ATT&CK 映射到该技术的数据源与数据组件（如进程创建、命令执行、脚本执行）；确定环境中哪些日志源可提供所需数据组件；识别子技术并确定检测应宽泛覆盖父技术还是针对特定子技术。
步骤 2：检测逻辑设计
在编写规则前设计检测逻辑。检测方法按可靠性排序包括：精确匹配（已知恶意指标，如哈希、命令字符串）、行为模式（该技术特征性的动作序列）、基线异常（偏离已建立的正常行为）、基于阈值（数量或频率超出预期）、关联（多个低置信信号组合为高置信）。在编写规则前需枚举：会匹配检测逻辑的已知合法用例（预期误报）、攻击者可能用于规避检测的规避技术（已知盲点）、可在不产生盲点的前提下减少误报的调优参数。
步骤 3：编写 Sigma 规则
按照 Sigma 规范编写检测规则。规则结构包含标题、id（UUIDv4）、status、description、references、author、date、modified、tags（使用 attack.tXXXX.XXX 格式的 ATT&CK 映射）、logsource、detection、falsepositives、level、fields。Sigma 检测逻辑运算符包括 contains、endswith、startswith、re、cidr、all、base64offset 以及 condition 布尔逻辑。
步骤 4：构建 ADS 文档
使用 Palantir ADS 框架记录检测，确保每个检测在规则本身之外具备运营上下文。ADS 组件包括：目标（用一两句话说明检测目标）、分类（映射到 MITRE ATT&CK 战术与技术、Kill Chain 阶段、数据源）、策略摘要（不涉及实现细节的高层描述）、技术上下文（分析师理解告警所需的技术细节）、盲点与假设、误报（已知误报来源与推荐调优动作）、优先级（告警优先级及其理由）、验证（如何测试检测是否正确工作，含真阳性测试、真阴性测试、过滤器验证、ATT&CK 技术覆盖验证）、响应（告警触发时的分析师响应流程）。
步骤 5：检测覆盖热图方法
将检测覆盖映射到 ATT&CK 矩阵以识别缺口。覆盖级别包括：无（不存在该技术的检测规则）、理论（规则存在但未验证或测试）、已测试（规则已用合成测试数据验证）、运营（规则已部署至生产、已调优并产生可行动告警）、健壮（多个互补规则覆盖不同程序示例，规则已捕获真实活动）。热图构建流程：从 ATT&CK Navigator 导出相关平台的当前 ATT&CK 矩阵；评估每项技术的当前检测覆盖级别；分配 0-4 的覆盖分数；结合威胁情报优先关闭缺口；使用 ATT&CK Navigator 层文件格式（JSON）将覆盖可视化为热图；每季度或在重大检测工程冲刺后 review 并更新热图。缺口优先级因素包括威胁情报相关性（高权重）、日志源可用性（高权重）、攻击链位置（中权重，早期阶段技术可更早捕获攻击）、检测难易度（中权重）、合规要求（中权重）。
步骤 6：检测即代码实践
将检测规则作为代码制品在版本控制中管理。仓库结构按 sigma/（按战术分类）、tests/、config/（sigma 配置）、coverage/（ATT&CK Navigator 层文件）、docs/ads/、pipelines/ 组织。CI/CD 流水线阶段包括：Lint（验证 Sigma YAML 语法与必填字段）、Test（用已知正常与已知恶意样本日志运行 Sigma 规则）、Convert（使用 sigma-cli 将 Sigma 转换为目标 SIEM 查询语言）、Review（合并前要求同级评审）、Deploy（通过 API 推送转换后的规则至 SIEM）、Monitor（跟踪规则性能指标，如触发率、TP 率、MTTD）。
发现分级
P1 严重：针对组织所属行业的活跃被利用技术存在检测缺口且无补偿检测，需在 24 小时内创建并部署检测。P2 高：对具有已知程序示例与可用日志源的技术存在检测缺口，威胁情报表明相关威胁组织正在活跃使用，需在 7 天内创建并部署检测。P3 中：资料中该级别定义在原文中被截断，暂未提供完整内容。
限制
该技能不用于对活动告警进行分诊、在不使用 Sigma 抽象层的情况下编写特定 SIEM 查询语法，也不用于事件响应取证。原文中 P3 分级的完整定义、SLA 与后续内容未提供。