用途：通过 elastic-security MCP 连接器管理 SOC 案件（case），覆盖创建、搜索、更新与告警关联等调查流程。
主要能力：manage-cases 打开交互式案件仪表盘，支持 status、severity、search 参数筛选，例如按状态 open/closed、按严重性 critical、按关键字（如主机名 SRVWIN02）检索；create-case 创建案件，参数为 title、description、tags（逗号分隔）、severity；attach-alert-to-case 将告警附加到案件，参数为 caseId、alertId、alertIndex、ruleId、ruleName；update-case 更新状态或严重性，参数为 caseId、version、status、severity；add-case-comment 添加调查备注，参数为 caseId、comment。
使用方式：当用户询问案件时应始终先调用 manage-cases，不要凭记忆作答或仅口头描述。用户要求创建案件时直接调用 create-case，而非让其使用仪表盘 UI；创建后若有告警 ID，再用 attach-alert-to-case 关联。标签建议遵循约定：classification:<level>、confidence:<score>、mitre:<technique>、agent_id:<uuid>、rule:<name>。
适用场景：SOC 日常案件分诊、调查记录、告警与案件关联、按状态或严重性跟踪案件。
限制：依赖 elastic-security MCP 连接器与相应工具；资料未提供 authentication、权限、版本要求、配额或错误处理细节；标签格式为建议约定，非强制，具体行为暂未提供。