用途：通过 Kibana Cases API 管理 SOC 案件，所有案件限定在 securitySolution 范围内，仅作用于 Elastic Security。案件可在 Kibana Security 中查看，可分配给分析师、关联告警，并通过连接器推送到外部事件管理系统。
主要能力：创建案件（标题、描述、标签、严重级别）；按标签或关键词搜索案件；列出近期案件；获取案件详情；将单个或多个告警关联到案件；添加调查评论；更新案件状态、严重级别或标签。
使用方式：首次使用前在 skills/security 目录安装依赖：cd skills/security && npm install。设置环境变量 KIBANA_URL 与 KIBANA_API_KEY（或写入工作区根目录 .env）。命令从工作区根目录运行，输出为 JSON。常用命令示例：node skills/security/case-management/scripts/case-manager.js create --title "..." --description "..." --tags "classification:malicious" --severity critical --yes；find --tags "agent_id:<id>" 或 find --search "<hostname>"；list --status open --per-page 10；get --case-id <case_id>；attach-alert 需提供 --case-id、--alert-id、--alert-index、--rule-id、--rule-name；attach-alerts 支持批量并自动重试限流；add-comment 添加评论；update 修改状态/严重级别/标签（--tags 为合并而非替换）。写操作默认需确认，代理调用时传 --yes 跳过。
适用场景：告警分类后创建案件、关联相关告警、添加调查发现、更新状态或严重级别、列出近期案件。
限制：不适用于 Observability 或 Elasticsearch 案件，因硬编码 owner: securitySolution。syncAlerts 仅限 Security 案件，默认启用，可用 --sync-alerts false 关闭。Kibana API 有速率限制，逐个 attach-alert 时建议间隔约 10 秒。find --search 在 Kibana Serverless 上可能返回 500 错误，可改用 find --tags 或 list。find --tags 仅精确匹配。报告结果须忠实于 API 输出，不得编造或缩写 ID、标题、数量。