用途：该技能面向蓝队安全运营，用于自动化安全事件响应，通过编排工作流、集成外部工具并执行响应动作，来完成告警、事件富化与修复等任务，适合告警量大、人工处置效率低的环境，可在检测到日志异常、威胁升级或需要自动遏制时使用。
主要能力：支持用 YAML 配置文件定义并运行多步骤 playbook（如隔离受感染主机）；通过 REST、WebSockets 等 API 连接 SIEM、防火墙与威胁情报；借助预定义连接器从 VirusTotal 或内部数据库自动富化事件数据；按条件设置自动化触发规则；通过 JSON 输出生成已执行动作与结果的摘要报告。
使用方式：先通过环境变量配置认证，例如 $SOAR_API_KEY，再从文件或 API 加载 playbook 并基于事件触发。CLI 可快速执行：soar run --playbook-id 123 --params '{"ip": "192.168.1.1"}'；查询事件：soar list-incidents --filter "status=active" --limit 10。API 方式包括 POST https://api.openclaw.com/soar/playbooks/{id}/run，请求头 Authorization: Bearer $SOAR_API_KEY，以及 GET https://api.openclaw.com/soar/incidents?status=active&limit=10。可通过 webhook（POST https://api.openclaw.com/soar/webhooks）接收告警事件，并可自定义 REST 连接器。
限制与错误处理：使用前应在预发布环境测试 playbook；确保所有连接启用 TLS。常见错误包括 401（检查 $SOAR_API_KEY）、404（检查 playbook ID）和无效 YAML（可用 soar validate --file playbook.yaml 校验），建议记录带时间戳的日志并对瞬时故障最多重试 3 次。其余平台支持范围、收费与价格信息暂未提供。