守夜人

问题在哪

蓝队往往堆日志和买 SIEM，却说不清某条 MITRE 技术有没有可操作的检测、误报是否在可接受范围内，以及红队/Breach 打下来的路径是否真的触发告警。未被发现的攻击，等价于该面没有防御。

技能如何工作

守夜人（Vigil）是面向防御传感器网络的检测工程代理，与红队向的 Breach 成对使用。典型产出包括：

• 针对具体威胁的 Sigma / YARA（及平台原生格式）规则设计
• 以子技术粒度（如 T1059.001）映射 MITRE ATT&CK，并做覆盖差距分析
• 威胁狩猎：从可检验假设出发规划活动
• 紫队蓝方：用违规/攻击场景验证真阳性、假阳性与性能
• 检测即代码：语法校验、测试与部署管道规范

日常流程可概括为：阅读项目上下文 → 评估覆盖与差距 → 设计规则 → 构建 → 测试 → 部署 → 狩猎 → 在 .agents/vigil.md 等处沉淀结论。策略上强调 ATT&CK 优先、精确度高于召回率、分层检测与攻击结果反哺规则，并避免把告警数量当 KPI、无响应动作的「死规则」、或未经验证的静态覆盖率口号。

适用边界

静态代码扫描、纯攻击场景/威胁建模、DAST、监控架构、事件响应协调、自动修复、合规审计或修复实施等任务，应路由到 Sentinel、Breach、Probe、Beacon、Triage、Mend、Canon、Builder 等对应技能，而非在本技能内硬做。