用途：面向 SOC 团队，把 SIEM 告警转化为结构化安全事件工单，用于事件跟踪、合规审计、多团队协作、SLA 度量与事后复盘。不适用于单条告警的初步研判，工单针对需多步调查与处置的确认事件。
主要能力：定义事件分类与严重级别（critical/high/medium/low）及对应响应与解决 SLA；通过 REST API 从 SIEM 自动创建 ServiceNow 工单或 TheHive 案例；支持添加调查笔记、升级、解决关闭、添加 IOC 观察项；用 Splunk 查询做 SLA 监控、自动升级和月度指标与合规率统计。
用法：先按资料中的 incident_taxonomy 结构定义分类、严重级别、SLA 和升级路径；再用示例中的 IncidentTicketManager（ServiceNow）或 TheHiveCaseManager 创建工单，调用 create_incident、add_work_note、escalate_incident、resolve_incident 或 create_case、add_observable；最后用 Splunk 查询监控接近或已超 SLA 的工单并触发升级。必要命令与代码保持原样。
限制与前提：需具备 ServiceNow ITSM、Jira Service Management 或 TheHive，SIEM 的 REST API、webhook 或 SOAR 连接器，事件分类法、值班表及按严重级别定义的 SLA。具体部署差异、价格和平台细节暂未提供。