用途：面向 SOC 团队，用 Splunk SOAR（原 Phantom）编排安全工具，自动完成告警分诊、IOC 富化与响应动作，降低 MTTR，统一各班组响应流程。
主要能力：通过 Asset 配置集成 VirusTotal、CrowdStrike、ServiceNow、Active Directory、Splunk ES 等工具；用 Python 编写 playbook，自动提取 URL、哈希、IP 等 artifact 并做信誉查询；按恶意判定结果自动封禁 URL/IP、隔离主机、创建工单或关闭容器；为账号停用、主机隔离等高影响动作设置 analyst 审批门（phantom.prompt）；按事件标签与严重级别触发 playbook；调用 SOAR REST API（如 /rest/playbook_run）统计执行次数、平均耗时与自动处置率。
使用方式：先部署 Splunk SOAR 6.x+ 并配置各 App 凭证与资产；再按步骤编写钓鱼分诊和通用告警富化 playbook，回调中处理查询结果；随后配置事件触发器，最后通过 API 监控效果。示例中的 API key、密码等占位符需替换为真实凭据。
适用场景：钓鱼邮件分诊、恶意软件告警富化、暴力破解响应、威胁情报 IOC 处理、漏洞告警响应。
限制：不适合无人工审批门的高影响全自动遏制；需具备 Python 基础；依赖已部署的 SOAR 与各集成工具及其 API 凭据；未提供具体许可与收费信息。