用途：面向 SOC 分析师，在 ServiceNow 安全运营产品组合中关联安全事件、相关事件、漏洞与威胁情报，识别攻击模式与共同指标，发现可能属于同一协同攻击的活动。
主要能力：按共享可观测对象（IP、域名、文件哈希）交叉引用安全事件；将漏洞与事件中的实际利用关联；识别跨时间段的重复攻击模式；发现可能属于协同攻击的相关事件；用威胁情报丰富事件上下文。
使用方式：需具备 sn_si.analyst、sn_si.admin 或 sn_ti.reader 角色，并访问 Security Incident（sn_si_incident）、Threat Intelligence（sn_ti_observable）、Vulnerability Response（sn_vul_vulnerable_item）等表，依赖 sn_si、sn_ti、sn_vul 插件。流程包括：定位锚点事件、提取其可观测对象、查找共享可观测对象的其他事件、关联受影响 CI 的漏洞、查询 CVE 详情、按类别与时间窗搜索相关事件、分析 syslog、用 SN-Add-Work-Notes 记录关联结论。可通过 MCP 工具 SN-Query-Table 或 REST 接口（如 GET /api/now/table/sn_si_incident）执行查询。
适用场景：事件调查、威胁狩猎、定期安全组合审查。
限制：需已填充可观测对象与相关配置项数据；低置信度指标可能产生误报；共享基础设施（CDN、云 IP）可能造成虚假关联；资料未提供具体收费、价格或平台支持范围。