用途：引导 SIEM 检测规则全生命周期——定义威胁目标、确定所需日志源、编写平台无关的 Sigma 规则、转换为 Splunk SPL、Elastic KQL/EQL、Microsoft Sentinel KQL，用测试数据验证并记录调优建议。适用于从威胁模型、IOC 或 TTP 构建新检测、转换已有 Sigma 规则、审计规则性能与覆盖缺口、响应新 CVE 或威胁报告、以及调优高误报检测。
主要能力：按目标关键词建议检测类别（端点进程创建、注册表、DLL/代码注入、PowerShell、网络 DNS、横向移动、身份暴力破解、Kerberos、云 IAM/存储等）；列出常见日志源类型及关键字段；生成 Sigma 规则骨架；调用 sigma-cli 转换到各平台查询；提供验证清单与调优建议。
使用方式：需安装 sigma-cli（pip install sigma-cli）及后端插件（sigma plugin install splunk elastic-lucene microsoft365defender），并准备 python3、jq 与至少一个 SIEM 平台或样本日志。输入变量包括 DETECTION_OBJECTIVE、LOG_SOURCE_TYPE、MITRE_TECHNIQUE、SIGMA_RULE_FILE、TEST_LOG_FILE。转换命令示例：sigma convert -t splunk -p splunk_windows rule.yml。
限制：生成的规则为骨架，需替换占位符并在预发布环境测试后再上线；无测试日志时跳过自动验证；Sentinel 部署失败可改用门户导入；高误报需在 Sigma 检测块添加 filter_* 条件。Sigma 为推荐源格式，sigmac 已弃用。