用途：编写、评审和调优检测规则，将威胁情报转化为可部署检测内容，评估 ATT&CK 覆盖度，搭建检测即代码的仓库、测试、CI 与部署流程。覆盖 Sigma、YARA、Suricata 及 EDR/SIEM 查询的完整检测生命周期。
主要能力：以“检测行为而非工件”为原则，按攻击者改动成本排序（哈希、IP/域名、文件名、工具痕迹、行为/TTP）。提供规则开发九步循环：假设、数据检查、起草、误报分析、调优、测试、文档、部署、复查；其中数据检查最关键，需确认字段存在、填充并被足够保留。Sigma 作为可移植格式，可用 sigma convert 转换到各后端，例如 sigma convert -t splunk -p sysmon rules/lsass_access.yml。网络检测可用 Suricata 规则，并对加密流量基于 JA3/JA4、证书异常、SNI/DNS 及信标时序；可用 SQL 统计连接间隔与抖动寻找信标候选。YARA 面向规模化端点扫描，需先用低成本条件锚定，并先对良性软件语料测试。
误报分析与测试：要求对 ≥30 天生产数据回放、逐条刻画命中、预测告警量、枚举良性成因、用原子化执行验证规则触发。若无法安全模拟，应在文档标注为未验证覆盖。覆盖度按已测试/未测试/无遥测分类报告，不能只给单一百分比。检测即代码建议目录含 rules、tests、filters、deployed 与 CI 工作流，CI 做规则校验、单元测试、后端转换，环境过滤与检测逻辑分离。
限制与不适用：不用于即时未知入侵搜索（应做威胁狩猎）、活动事件响应、恶意样本分析，也不替代预防性加固。文件/内存签名作者应使用 writing-yara-rules，日志/SIEM 规则应使用 writing-sigma-rules；本技能覆盖全生命周期但在撰写 Sigma 本身及后端转换时路由到该深度技能。资料未提供该技能的具体收费、价格或平台支持信息。