Glenn Edwards

在 Panther 里创建有效的安全检测，传统上需要深入了解检测逻辑、测试框架和开发工作流。Block 的检测工程团队通过构建 goose 配方精简了这个过程，这些配方把整个检测创建生命周期自动化，从最初的仓库设置一直到创建拉取请求。

这篇博文探讨如何利用 goose 的配方和子配方系统，以最少的手工干预在 Panther 中创建新检测，同时确保一致性、质量，并遵守团队标准。

检测工程站在网络安全的前沿，但它往往是一团纠缠的复杂网络。传统的检测编写涉及艰苦的手工过程，包括理解日志格式和模式、创建复杂查询、威胁建模，以及反复的手工检测测试和打磨，既耗时，又依赖专门技能。这会导致威胁覆盖出现缺口，以及多到压垮人的告警。在 Block，我们面对不断演进的威胁和错综复杂的系统。为了保持领先，我们采用了 AI 驱动的方案，尤其是 goose（Block 的开源 AI 智能体）和 Panther MCP，让更广的组织能为自己擅长的领域贡献高质量规则。本文深入讲我们如何把复杂的检测工作流变成精简、由 AI 驱动、所有相关方都能用的流程。