Use for blue-team threat hunti…
Use for blue-team threat hunting, detection engineering with Sigma/YARA, SIEM query design, and incident detection validation.
threat-hunting能帮你做什么
不说虚话——S8227 交付的是能直接拿去用的成品，不是“AI 能做”的空话。
用大白话交代任务，它会先确认关键细节再动手，不瞎猜。
输出带结构与说明，拿来就能用，不用再自己整理格式。
与 AIXX 其他技能叠加使用，组成你自己的工作流。
把常用要求沉淀成一句话模板，下次直接复用。
真实任务实跑产出
下面是真实任务由 S8227 实际生成的内容节选——不是宣传文案，是它真的干出来的活。
threat-hunting · 实跑样例
任务：帮我分析上周Windows域控上的4625登录失败日志，用KQL在Sentinel里写一条检测规则，识别针对SQL Server服务的爆破攻击。
# Windows 4625日志 SQL Server爆破检测规则分析
一、4625事件关键字段
- TargetUserName：被尝试登录的账户名
- IpAddress / IpPort：来源IP与端口（SQL爆破常来自固定IP或少量IP）
- WorkstationName：来源主机名
- SubStatus：失败原因代码（0xC000006A=密码错误；0xC0000064=用户不存在）
- LogonType：SQL Server若走Windows认证，通常是Type 3（网络）或Type 10；SQL自身认证（SA账户）不产生4625，仅记录在SQL错误日志中——这是重要前提
二、KQL检测规则（Sentinel分析规则）
```kql
SecurityEvent
| where EventID == 4625
| where SubStatus in ("0xC000006A", "0xC0000064")
| where LogonType in (3, 10)
| summarize
FailCount = count(),
DistinctUsers = dcount(TargetUserName),
Users = make_set(TargetUserName, 10)
by IpAddress, bin(TimeGenerated, 15m)
| where FailCount >= 20 or DistinctUsers >= 5
| project TimeGenerated, IpAddress, FailCount, DistinctUsers, Users
```
规则逻辑说明：
- 同一来源IP在15分钟窗口内失败次数≥20次，或尝试≥5个不同账户（喷洒+爆破双检测）
- 查询频率建议每5分钟一次，回溯15分钟
三、SQL Server场景增强判断
- 端口特征：可结合 SourcePort 或目标主机常用SQL端口（默认1433或动态端口）辅助过滤
- 高频账户名：爆破常见sa、admin、sqladmin等，可加
TargetUserName in~ ("sa","admin","sqlagent")提高精度 - 账户枚举识别：SubStatus=0xC0000064占比较高说明攻击者在枚举有效用户名
四、Sentinel规则配置要点
- tactics：Credential Access（T1110 Brute Force）
- 严重性：Medium，命中后关联同一IP的4624成功事件，判断是否已入侵
- 响应建议：封禁源IP（防火墙/NSG）、启用SQL Server账户锁定策略、限制1433仅内网访问
五、注意事项
- SQL Server使用混合认证模式下的SQL登录（如sa）失败时不产生4625，需另行采集SQL Server错误日志（EventID 18456类，经日志接入器导入Sentinel）
- 建议同时开启安全审计策略中的“审核登录失败事件”，否则4625不会被记录
三种做法,一比就知道
| 再招一个人 | 自己摸索 | 萬安云 S8227 | |
|---|---|---|---|
| 价格 | 月薪数千起 | 反复试错数小时 | $1.99 / 次 |
| 交付周期 | 招聘+培训数周 | 质量不稳定 | 分钟级 |
| 独特性 | 流动风险 | 无人复核 | 按你的任务从零生成 |
| 改稿迭代 | 加钱，走流程 | 反复试错 | 说话就能迭代 |
两步,让它开工
不用碰终端——你只管对 agent 说话,跑命令的活它来。
对你的 agent 说:
对你的 agent 说:
以上 Agent 均可接入萬安云 · OpenAI 兼容接口 · 装好 AIXX 即可调用全部技能
你可能想问
threat-hunting怎么安装使用？
三步：终端执行 npx aixxai 安装 AIXX；对您的 AI 说「安装编号 S8227」；交代任务背景与要求，threat-hunting即刻开工。
threat-hunting多少钱？怎么付费？
$1.99 一次买断（参考价，实际以平台标价为准）——永久使用，无订阅、无月费；该技能由萬安永久维护迭代，更新对已购用户免费。
产出内容能商用吗？
可以。产出为普通数字文件，归购买者使用，可用于商业场景。
具体能帮我做什么？
把你手头这件重复、费时、有固定套路的活交给它——先描述任务和背景，它会确认要点后直接产出成品，不满意可以继续改。
输出质量不稳定怎么办？
在指令里补充背景、受众与格式要求（例如“面向中小企业主、300 字以内、分三点”）；要求越具体，产出越稳。
一价买断,没有套路
永久使用 · 无订阅无月费 · 永久维护迭代