SigmaLineage MCP

分析这批 Windows EVTX 安全日志，围绕可疑登录事件追踪后续进程血缘，结合稀有度基线找出异常执行、横向移动和提权行为，并按时间线总结关键威胁。

输出按时间排序的攻击链分析，标出可疑进程、异常父子关系、低频行为及高风险告警。

对这组安全告警对应的 EVTX 日志做上下文关联分析，利用进程血缘和历史稀有度基线区分误报与真实威胁，并给出每条高风险事件的判断依据。

输出去噪后的高优先级事件清单，并附带威胁判定理由和处置优先级建议。

检查这批终端的 EVTX 日志，建立常见进程行为基线，找出罕见的命令执行、脚本启动和父子进程组合，并说明哪些模式最可能代表入侵活动。

输出异常行为摘要，列出最可疑的稀有模式、相关主机与建议进一步调查方向。