用途：对 Elastic Security 告警进行逐个分诊，流程为获取告警、收集上下文、分类、创建案例、确认告警，适用于 SOC 分析场景。依赖 case-management 技能完成案例创建。
主要能力：fetch-next-alert.js 获取最旧的未确认告警；run-query.js 对 Elasticsearch 执行 KQL 或 ES|QL 查询；acknowledge-alert.js 将告警 workflow_status 更新为 acknowledged，支持单条、关联、按主机、按查询及 --dry-run 预览。
使用方式：首次使用需在 skills/security 目录执行 cd skills/security && npm install，并设置 ELASTICSEARCH_URL、ELASTICSEARCH_API_KEY、KIBANA_URL、KIBANA_API_KEY 环境变量。命令均在 workspace 根目录运行，例如 node skills/security/alert-triage/scripts/fetch-next-alert.js。ES|QL 查询需先写入 .esql 文件再通过 --query-file 传入。写操作需 --yes 跳过确认。
限制：分类需先收集全部上下文，不得过早判定；多数告警为误报，规则名称或严重级别不构成证据；证据不足时 unknown 可接受；MALICIOUS 需强佐证。查询时间应基于告警 @timestamp 而非相对时间。确认操作不可撤销，批量前应先用 --dry-run。find --search 在 Serverless 上可能返回 500 错误。具体分类标准与完整查询模板见 references/classification-guide.md。