用途：管理 Elastic Cloud Serverless 项目的网络安全策略，即流量过滤器（traffic filters）。支持两类过滤器：IP 过滤器（type ip，允许特定 IP 或 CIDR 入站）与 VPC 过滤器（type vpce，将流量限制到特定 AWS VPC 端点 ID）。
主要能力：创建、列出、查看、更新、删除过滤器；查询 PrivateLink 区域元数据（服务名、域名、可用区）；审计组织当前网络安全状况。过滤器与项目关联/解除关联由 cloud-manage-project 负责，本技能只管理过滤器定义。
使用方式：前置条件是 cloud-setup 已运行，环境中已设置 EC_API_KEY 并建立组织上下文；若缺失，应让智能体先调用 cloud-setup，不要直接向用户索要 API 密钥。可用 python3 skills/cloud/network-security/scripts/cloud_network_security.py list-filters 验证密钥有效性。创建过滤器需指定目标区域，例如：create-filter --name "Office IP allowlist" --type ip --region us-east-1 --rules '[{"source": "203.0.113.0/24", "description": "Office network"}]'。更新规则会整体替换规则集，需包含全部现有规则。删除前建议先用 --dry-run 确认。
权限：列出过滤器/获取元数据任何组织成员可做；创建、更新、删除需组织所有者（organization-admin）；关联项目需组织所有者或项目 Admin。技能不做角色预检，由 API 强制鉴权，遇 403 应停止并让用户核对密钥权限。
限制：过滤器按区域限定，只能关联同区域项目；删除仍被项目关联的过滤器会失败，需先解除关联；include_by_default 会自动关联该区域所有新项目，需谨慎使用。若独立安装且无 cloud-setup，可手动配置 EC_API_KEY 与可选的 EC_BASE_URL（默认 https://api.elastic-cloud.com），推荐在项目根目录创建 .env 文件，不要让用户在聊天中粘贴密钥。详细 API 端点与请求结构见 references/api-reference.md。