日志异常检测（蓝队）

基于SIEM或日志平台，系统化识别异常登录、横向移动等恶意行为，支撑安全运营与事件响应。