用途：在 Palo Alto Networks 的 Cortex XSOAR 平台中构建自动化事件响应剧本，把 SOC 各类工具的处置步骤编排为可复用工作流，减少人工响应时间。
主要能力：XSOAR 提供 900+ 预置集成包、87 个常见剧本及可视化拖拽编辑器；剧本支持标准任务、条件分支、人工审批、数据收集、定时器等类型，并可嵌套子剧本。资料给出钓鱼响应的 YAML 结构，涵盖从邮件提取指标（ParseEmailFiles）、调用 URL/文件/IP 富化子剧本，到判断恶意后封禁发件人、跨邮箱清除邮件、通知报告人并关闭事件。还列出邮件分析、威胁情报、遏制（O365 封禁、PAN-OS 封禁 IP、Cortex XDR 隔离终端）、工单（Jira、ServiceNow）等集成命令，并提供恶意软件、账户失陷、DDoS 三类常见剧本模板思路及自定义 Python 脚本示例。
使用方式：需先部署 XSOAR 8.x 或更高版本（或托管版），具备管理员权限并安装相关集成包，配置事件类型与布局，并确保 SIEM、EDR、TI、工单等外部工具 API 可用。随后在平台内按事件类型创建剧本，添加任务与条件，调用集成命令完成任务编排，通过 War Room 跟踪调查时间线并生成结束报告。
适用场景：SOC 团队对钓鱼邮件、恶意软件告警、账户失陷、DDoS 等事件做自动化分级与处置。资料称采用 SOAR 后平均可将 MTTR 降低约 80%，并给出钓鱼、恶意软件、账户失陷等 MTTR 指标对比。
限制：资料未提供该技能的具体安装命令或独立代码包，主要依赖 XSOAR 平台自身能力；实际可用性取决于授权、集成包版本与外部工具 API 权限，部分指标与模板效果暂未提供独立验证信息。