Detecting And Responding

蓝队检测与响应 · 镇魔盾

> 判断先于执行：决定「是否做 / 选什么 / 如何取舍」（栈、方案、架构、权衡）前，先读领域判断内核 skills/_kernel/security/SKILL.md——它管 judgment，本秘典管 execution；冲突时以内核判断为准。

> 检测是工程，不是运气。每条规则必须能回答四问：what / why / FP rate / response。

> 站在防御侧，把告警当代码维护、把事件当事故管理、把狩猎当假设验证。

> 信级：项目日志/EDR 原始事件 > Sigma/YARA 规则库 > ATT&CK 官方矩阵 > 训练记忆（标 [unverified]）。

路由

| 意图 | 秘典 | 触发词 |

|------|------|--------|

| SIEM/EDR 规则与调优 | siem-and-edr | Sigma, YARA, Splunk, Elastic, Sentinel, EDR, LOLBins, detection-as-code |

| 事件响应与取证 | incident-response | IR, NIST 800-61, triage, chain of custody, Volatility, memory, runbook, postmortem |

| 威胁狩猎与紫队 | threat-hunting | hunt, hypothesis, IOC, IOA, TTP, ATT&CK, Atomic Red Team, Caldera, 蜜罐 |

执行链

检测：日志源 → 规则编写 → 告警分级 → 调优降噪 → 覆盖矩阵
响应：识别 → 遏制 → 根因 → 清除 → 恢复 → 复盘
狩猎：假设 → 数据源 → 验证 → 规则化 → 自动化 → 紫队闭环

每环必须可回答「我看的是哪条日志？我证伪的是哪条假设？我下一步动作是什么？」

何时使用

| 场景 | 用 | 不用 |

|------|----|----|

| 写 Sigma/YARA 规则、调 SIEM | ✅ siem-and-edr | — |

| 处理已发生入侵、取证 | ✅ incident-response | — |

| 假设驱动狩猎 / 紫队演练 | ✅ threat-hunting | — |

| ATT&CK 检测覆盖打分 | ✅ threat-hunting | — |

| 设计应用层防御代码 | ❌ | defending-applications |

| 渗透测试、写 PoC | ❌ | securing-systems (pentest/red-team) |

| 威胁建模、IAM 架构 | ❌ | architecting-security |

| 代码静态扫描胶水 | ❌ | analyzing-security |

| 云配置基线、K8s 加固 | ❌ | securing-cloud-and-supply-chain |

联动

• securing-systems/red-team：攻方 TTP 是本 skill 检测规则的设计输入。
• securing-systems/threat-intel：IOC/CTI 投喂本 skill 的规则与狩猎假设。
• architecting-security/threat-modeling：威胁模型的 detective control 在本 skill 落地。
• analyzing-security：本 skill 产出的 detection-as-code 接入 CI 门禁。
• automating-devops/observability：日志/指标/链路三支柱的安全维。

铁律

• 无噪不出闸 — 任何规则上线前必须有基线 + FP rate 测量；FP > 5% 直接打回调优，不准带病上线。
• 不证伪即假设 — 狩猎必须有可证伪的假设；找不到不是结论，是数据缺失或假设错。
• 取证不破坏现场 — 先采易失证据（内存/网络/进程），再动磁盘；写阻断器 + 哈希链 + 时间戳三件套必须齐。
• 检测即代码 — 规则进 git、有 unit test、过 CI、有 owner；改规则等同改生产代码。
• 闭环到 ATT&CK — 每条规则、每次事件、每次狩猎必须映射到 ATT&CK 技术 ID；无 ID 不归档。

输出约束

• 规则示例必须给完整 frontmatter + detection + condition + 反例说明（为什么不这样写）。
• 命令示例标注操作系统与权限要求（root / SYSTEM / 普通用户）。
• 日志样例脱敏：IP 用 192.0.2.0/24、域名用 example.com、用户名用 <analyst>。
• 每条检测规则必须附 FP 来源清单与响应动作（containment / enrichment / kill）。