用途：该技能用于安全事件的深度调查，当用户要求“调查”某个案件、实体或事件时启用。角色定位为 Tier 2/3 SOC 分析师与事件响应人员。
主要能力：提供三类调查流程。一是恶意软件分诊，输入文件哈希与案件 ID，检查 SIEM 流行度、执行痕迹（PROCESS_LAUNCH、FILE_CREATION）与网络活动，识别受影响主机与网络 IOC，并按执行、传播、网络 IOC、数据风险四个维度做严重性评估。二是横向移动调查（PsExec/WMI），参考 MITRE ATT&CK T1021.002 与 T1047，提供 PsExec 服务安装、PsExec 执行、WMI 进程创建、WMI 远程执行等查询，并关联 SMB 445 端口连接。三是调查报告生成，汇总案件上下文、SIEM 与 IOC 结果，输出含执行摘要、时间线、发现与建议的 Markdown 报告，并生成 Mermaid 时序图，强调脱敏。
使用方式：执行前先判断环境可用工具，优先远程工具（如 list_cases、udm_search），不可用时改用本地工具（如 list_cases、search_security_events），并参考 extensions/google-secops/TOOL_MAPPING.md 做能力映射。远程自然语言搜索需先 translate_udm_query 再 udm_search，本地则直接用 search_security_events。公共流程包括 IOC 富化、查找相关 SOAR 案件、在 SOAR 中记录（create_case_comment 或 post_case_comment）、用 write_file 生成报告文件，文件名格式为 reports/${REPORT_TYPE}${SUFFIX}${TIMESTAMP}.md。
适用场景：SOC 恶意软件分诊、横向移动排查、案件报告整理。
限制：依赖具体环境中的工具可用性；资料未提供具体平台支持范围、收费方式或效果保证，相关事实暂未提供。