该技能用于结构化安全日志分析，覆盖认证、网络、终端和云审计日志来源，适用于日志审查、异常调查、基线建立、事件 ID 解读、日志关联、事件后复盘及日志架构评估。不适合编写 SIEM 检测规则、处理已触发告警或编写 Sigma 规则。
分析前需确认分析目标、时间窗口、范围、可用日志来源、已知正常基线、相关告警以及 SIEM 平台。流程包括：按日志来源分类（Windows 安全日志、Azure AD 登录、Linux auth 日志、AWS CloudTrail、防火墙、NetFlow、DNS、代理、Sysmon、EDR、云审计等），记忆关键 Windows 事件 ID（4624、4625、4648、4672、4688、4698、7045、4720、4728、4732、4756、1102、4657）及登录类型含义，识别关键 Sysmon 事件 ID（1、3、7、8、10、11、12/13/14、15、22、23、25），匹配 Linux auth 日志模式（SSH 成功/失败、sudo、useradd 等），执行异常检测（时间、数量、地理、行为、关系、协议六类偏差），按 NIST SP 800-92 建议用至少 30 天干净数据建立基线（均值、中位数、标准差、百分位，阈值建议均值+2σ/ +3σ），并通过时间联合和实体 pivoting 关联多源日志。输出包括分析发现、异常识别、基线建议和 ATT&CK 映射观察。若提供参数，则聚焦该目标。资料未提供具体安装命令、收费与平台细节。