用途：为安全告警分诊提供专家级流程指导，当用户要求对告警或案件进行 triage 时使用。目标是标准化评估告警，判定为误报（FP）、良性真阳性（BTP）或需调查的真阳性（TP）。
主要能力：先判断当前环境可用工具，优先 Remote 工具（如 list_cases、udm_search），不可用时改用 Local 工具（如 list_cases、search_security_events），并参考 extensions/google-secops/TOOL_MAPPING.md 做能力映射。流程包括：获取案件详情（Remote 用 get_case 加 list_case_alerts，Local 用 get_case_full_details）；按关键实体查重，若确认重复则记录并关闭；查找涉及实体的未结案件；针对告警类型做 SIEM 检索（可疑登录查登录事件，恶意软件查进程、文件与网络事件，网络类查流量与 DNS）；对关键实体做 IOC 富化（Remote 用 summarize_entity、get_ioc_match，Local 用 lookup_entity、get_ioc_matches）；最后依据富化结果、关联案件与 SIEM 上下文分类。
使用方式：输入为 ${ALERT_ID} 或 ${CASE_ID}。FP/BTP 时记录理由并关闭案件（Remote 用 create_case_comment 与 execute_bulk_close_case，Local 用 post_case_comment 与 close_case）；TP/Suspicious 时可选更新优先级并记录发现、准备升级。
限制：资料未提供具体平台支持范围、收费、价格与效果数据；工具可用性依赖当前环境，需按实际可用工具调整工作流。