菜单
编写多事件关联规则，通过链接跨主机的 Windows 身份验证事件、进程执行遥测和网络连接日志， 检测高级持续性威胁（APT）的横向移动。使用 Splunk SPL 和 Sigma 规则格式， 在滑动时间窗口内关联事件 ID 4624、4648、4688 和 Sysmon 事件 1/3， 以发现单一事件检测无法识别的攻击序列。
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill implementing-siem-correlation-rules-for-apt命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
基于 SOC 职业分类
正在显示 SKILL.md
| name | implementing-siem-correlation-rules-for-apt |
| description | 编写多事件关联规则，通过链接跨主机的 Windows 身份验证事件、进程执行遥测和网络连接日志， 检测高级持续性威胁（APT）的横向移动。使用 Splunk SPL 和 Sigma 规则格式， 在滑动时间窗口内关联事件 ID 4624、4648、4688 和 Sysmon 事件 1/3， 以发现单一事件检测无法识别的攻击序列。 |
| domain | cybersecurity |
| subdomain | security-operations |
| tags | ["implementing","siem","correlation","rules"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
pip install requests pyyaml sigma-clisigma-cli convert 将 Sigma 规则转换为 Splunk SPL。python scripts/agent.py --splunk-url https://localhost:8089 --username admin --password changeme --output correlation_report.json
index=wineventlog (EventCode=4624 Logon_Type=10) OR (EventCode=7045)
| transaction Computer maxspan=15m startswith=(EventCode=4624) endswith=(EventCode=7045)
| where eventcount >= 2
| table _time Computer Account_Name ServiceName
title: PsExec 横向移动检测
logsource:
product: windows
service: sysmon
detection:
pipe_created:
EventID: 17
PipeName|startswith: '\PSEXESVC'
service_installed:
EventID: 7045
ServiceFileName|contains: 'PSEXESVC'
timeframe: 5m
condition: pipe_created | near service_installed
level: high