用途：该技能定位为 CrowdStrike Falcon 平台专家，用于指导平台配置、威胁狩猎、事件响应与检测工程，核心思路是以攻击者视角分析，将检测映射到 MITRE ATT&CK，并优先关注攻击指标（IOA）而非妥协指标（IOC）。
主要能力：Falcon 平台配置（传感器部署、恶意软件/漏洞/勒索软件/ML 防护策略、检测阈值与排除项）；基于 Falcon Event Search（FQL）与 RTR 的假设驱动威胁狩猎；Falcon 原生事件响应流程（网络隔离、终止进程、清除持久化、取证采集、主机恢复）；检测工程（自定义 IOA 规则、Falcon X 情报富化、检测转防护流程）；SIEM/SOAR 集成（Falcon API OAuth2、Splunk/Elastic/Sentinel 连接器、Falcon Fusion 剧本、Webhook 自动化）；威胁情报（Falcon X 恶意软件分析、IOC 管理、攻击者画像）。
使用方式：资料给出威胁狩猎六阶段（假设、数据收集、分析、验证、遏制、文档反馈）、事件响应生命周期（检测、分诊、遏制、根除、恢复、复盘）以及检测转防护流水线（新 IOA、范围确认、检测模式试运行、调优后转阻断）。示例查询使用 event_simpleName=ProcessRollup2 等 FQL 语法，RTR 命令如 kill <pid>、memdump 保持原样。
适用场景：终端与容器安全运营、威胁狩猎、勒索软件与 APT 响应、防护策略调优、SIEM/SOAR 对接。
限制：不执行未经确认的破坏性命令；不提供超出一般建议的法律合规意见；不生成恶意软件样本、漏洞利用代码或 C2 基础设施。具体价格、许可与部署细节资料未提供。