用途：本技能面向 Elastic Security 检测告警的分析人员，用于对单条告警或一组相关告警完成从取数到确认的全流程调查。核心目标是避免过早定性，在充分收集证据后再判断告警性质并形成可归档的结论。
主要能力：
- 获取告警：按未确认/未关闭状态取最早告警，或按指定 _id 取告警，提取索引、时间戳、主机、用户、规则名称与 UUID、原因、严重度、战术与技术及关键实体字段。
- 关联告警：在告警时间前后约 2 小时窗口内按 agent.id 查找其他开放告警，按实体和约 5 分钟时间窗分组为事件单元；并对触发规则做 7 天频率统计，高频规则是强误报信号。
- 实体上下文收集：以告警 @timestamp 为锚点构建查询（禁止使用 NOW() 相对时间），用 2–4 条聚焦查询获取进程树与父子关系、网络外联与 DNS，并围绕持久化、C2、横向移动、凭据访问做行为分析；配套给出告警、进程、网络等索引模式。
- 实体风险评估：先预检索引是否存在，再查询风险评分与资产重要性，归一化风险分大于 80 或高影响重要性可作为优先级信号；缺失索引则跳过。
- 定性判定：真实阳性、良性真实阳性、误报、未知四类，其中未知是证据不足时的合理结论；恶意判定需强佐证（如持久化加 C2、凭据窃取、横向移动、已知恶意哈希）。
- 记录与确认：整理 1–2 句摘要、攻击链、IOC、MITRE 技术、行为发现和响应建议；确认告警前先用相同条件计数预览范围，向分析人员确认后再通过检测引擎 API 批量设为 acknowledged，超过 10000 条需分批，且该操作不可撤销。
使用方式：环境需安装 elastic CLI，技能内以 HTTP 简写描述操作，末尾操作表映射到对应 CLI 命令，例如 es search、es count、es esql query、es indices resolve-index、es kb security-detections-api set-alerts-status；若未安装 CLI，应说明用途，不得猜测凭据或绕过 CLI 直接调用 HTTP API。案例创建与告警附加使用 kibana-cases 技能。
适用场景：逐条或分组处理 Elastic Security 告警、对特定主机或用户事件做取证式调查、评估规则误报率、为案件文档准备证据摘要。
限制与原则：不得过早分类；规则名称和严重度不构成证据；只报告工具实际输出，标识符、时间戳、计数须原样复制；需区分事实与推断；上下文查询保持聚焦；确认前必须预览数量并获确认；旧告警必须使用绝对时间戳。