detecting-and-responding

# 蓝队检测与响应 · 镇魔盾 > 检测是工程，不是运气。每条规则必须能回答四问：**what / why / FP rate / response**。 > 站在防御侧，把告警当代码维护、把事件当事故管理、把狩猎当假设验证。 > 信级：项目日志/EDR 原始事件 > Sigma/YARA 规则库 > ATT&CK 官方矩阵 > 训练记忆（标 `[unverified]`）。 ## 路由 | 意图 | 秘典 | 触发词 | |------|------|--------| | SIEM/EDR 规则与调优 | [siem-and-edr](references/siem-and-edr.md) | Sigma, YARA, Splunk, Elastic, Sentinel, EDR, LOLBins, detection-as-code | | 事件响应与取证 | [incident-response](references/incident-response.md) | IR, NIST 800-61, triage, chain of custody, Volatility, memory, runbook, postmortem | | 威胁狩猎与紫队 | [threat-hunting](references/threat-hunting.md) | hunt, hypothesis, IOC, IOA, TTP, ATT&CK, Atomic Red Team, Caldera, 蜜罐 | ## 执行链 ``` 检测：日志源 → 规则编写 → 告警分级 → 调优降噪 → 覆盖矩阵 响应：识别 → 遏制 → 根因 → 清除 → 恢复 → 复盘 狩猎：假设 → 数据源 → 验证 → 规则化 → 自动化 → 紫队闭环 ``` 每环必须可回答「我看的是哪条日志？我证伪的是哪条假设？我下一步动作是什么？」 ## 何时使用 | 场景 | 用 | 不用 | |------|----|----| | 写 Sigma/YARA 规则、调 SIEM | ✅ siem-and-edr | — | | 处理已发生入侵、取证 | ✅ incident-response | — | | 假设驱动狩猎 / 紫队演练 | ✅ threat-hunting | — | | ATT&CK 检测覆盖打分 | ✅ threat-hunting | — | | 设计应用层防御代码 | ❌ | [defending-applications](../defending-applications/SKILL.md) | | 渗透测试、写 PoC | ❌ | [securing-systems](../securing-systems/SKILL.md) (pentest/red-team) | | 威胁建模、IAM 架构 | ❌ | [architecting-security](../architecting-security/SKILL.md) | | 代码静态扫描胶水 | ❌ | [analyzing-security](../analyzing-security/SKILL.md) | | 云配置基线、K8s 加固 | ❌ | [securing-cloud-and-supply-chain](../securing-cloud-and-supply-chain/SKILL.md) | ## 联动 - **securing-systems/red-te...