用途：该技能用于通过 DQL 查询和分析 Dynatrace 中 security.events 的安全数据，覆盖漏洞管理、合规态势、运行时攻击与威胁、威胁情报、扫描覆盖分析、实体富化以及仪表盘/KPI。数据来源包括 Dynatrace 原生能力（RVA、RAP、Automated Detections、SPM）和通过集成接入的外部产品（如 AWS Security Hub、Amazon GuardDuty、GitHub Advanced Security、Snyk、Qualys、Tenable 等）。
主要能力：按意图路由到对应参考文档后再生成 DQL，例如漏洞计数与严重性、最脆弱组件/主机/工作负载排名、CVE 查询与爆炸半径、生命周期与 MTTR、运行时高级评估；检测的严重性/时间窗口概览、攻击类型、攻击者 IP、MITRE 技术；威胁情报报告与 IOC 提取、威胁暴露关联；合规通过率、关键错误配置、按实体或标准映射；覆盖分析必须从 smartscapeNodes 加扫描事件查找开始，否则没有分母；外部发现映射到运行时实体；仪表盘 KPI、Top-N、趋势与环形图。
使用方式：先识别用户意图，再从 Quick Start 加载匹配的主参考文档，然后编写 DQL。所有安全事件存储在 security.events，按 event.type 分类：RVA 漏洞为 VULNERABILITY_STATE_REPORT_EVENT（每实体 15 分钟快照）、KSPM 合规为 COMPLIANCE_FINDING、外部合规为带外部分类的 COMPLIANCE_FINDING、检测为 DETECTION_FINDING/SECURITY_EVENT、扫描覆盖为 VULNERABILITY_SCAN/COMPLIANCE_SCAN、威胁情报为 THREAT_REPORT。
限制：RVA 和 KSPM 是快照工具而非事件流，RVA 最小窗口 30 分钟，KSPM 最小窗口 1 小时，外部发现 2–24 小时以上；扩大窗口不会回溯更早，只捕获最新报告/扫描周期，历史趋势需用 makeTimeseries。DT 生成的 VULNERABILITY_FINDING 与 RVA 状态报告去重粒度不同，不可混用。威胁情报是独立数据类，不并入跨提供商发现摘要。该技能不适用于 Dynatrace 检测到的问题、应用/基础设施日志、分布式追踪、服务性能/RED 指标。具体安装命令、收费与价格信息暂未提供。