SOC Operations 是一个面向安全运营中心（SOC）的技能，来源于 masriyan/gemini-security-skills。其用途覆盖告警分诊、检测工程、事件响应、日志分析、威胁狩猎、SIEM 查询和 EDR 调查等安全运营日常工作。
主要能力与操作规则：
- 保留证据，并区分观察到的事实与假设。
- 在得出结论前，先确认时区、资产身份、用户身份、数据来源以及日志可靠性。
- 对正在发生的入侵优先采取遏制措施，同时避免不必要的业务中断。
- 在有助于沟通时，将活动映射到 MITRE ATT&CK，而不是作为装饰。
分诊工作流：
- 概述告警：来源、时间、资产、用户、规则、严重级别和原始信号。
- 验证信号质量：重复项、已知良性模式、富化信息以及遥测缺口。
- 构建时间线：进程、网络、认证、文件、注册表、云和身份事件。
- 决定处置：误报、良性真阳性、可疑、确认事件或数据不足。
- 生成分析师笔记：包含证据、影响、遏制步骤和后续查询。
输出格式：
- 处置：一个明确的状态。
- 证据：具体事件和时间戳。
- 范围：受影响的用户、主机、账户、工作负载和数据。
- 行动：遏制、根除、恢复和监控。
- 缺口：缺失的日志、所需访问权限或假设。
适用场景：安全分析师对告警进行研判、调查和响应，进行日志与遥测分析，执行威胁狩猎，以及编写 SIEM 查询和 EDR 调查记录。
限制：该技能依赖可用的日志与遥测数据；当数据不足时，需明确标注为数据不足或缺口，不得在缺乏证据的情况下得出结论。关于具体平台支持、收费方式、价格等信息，资料中暂未提供。