用途：该技能用于指导检测工程工作，帮助安全分析师与安全工程师把威胁情报、ATT&CK 覆盖缺口或事件复盘结果转化为可部署的检测规则。适用场景包括新威胁情报落地、ATT&CK 覆盖缺口分析、Sigma 规则编写、检测即代码流水线、事件后检测改进以及既有规则评审。不适用于活动告警研判、直接编写 SIEM 专有查询语法或事件响应取证。
主要能力：围绕 MITRE ATT&CK v16、Sigma 规则规范（sigmahq.io）与 Palantir ADS 框架展开。流程包括：分析目标 ATT&CK 技术及其数据源与所需日志；设计检测逻辑（精确匹配、行为模式、基线异常、阈值、关联）；按 Sigma 规范编写规则，包含 title、id、status、description、logsource、detection、falsepositives、level、fields 等字段，并使用 contains、endswith、startswith、re、cidr、all、base64offset 与 condition 等操作符；用 ADS 框架补充目标、分类、策略摘要、技术背景、盲点与假设、误报、优先级、验证与响应；构建 ATT&CK 覆盖热图并划分 None、Theoretical、Tested、Operational、Robust 等级；以版本控制管理规则，设置 lint、测试、转换、评审、部署、监控等 CI/CD 阶段。
使用方式：先确认目标技术、可用日志源、目标 SIEM、环境上下文、现有覆盖、优先级与命名规范；若仅提供 ATT&CK 技术，可按保守假设（Windows 企业环境、Sysmon 与 Windows 安全日志可用）推进并注明假设。输出为 Sigma 检测规则、ADS 文档与 ATT&CK 覆盖映射。
限制：资料未提供具体安装命令、价格、平台支持范围或实际效果数据；部分内容在原文中截断，相关细节暂未提供。