Règles de détection. Évaluées par le moteur auto_remediate sur les Events normalisés. Action déclenchée si match.