用途：将 SIEM 告警转化为正式事件工单，实现结构化跟踪、SLA 管理与审计留痕，适用于 SOC 团队、合规要求、多团队协作和事后复盘；不适用于单条告警的初步研判。
主要能力：定义事件分类与严重级别（critical/high/medium/low）及对应响应与解决 SLA、升级路径；通过 REST API 从 SIEM 自动创建 ServiceNow 事件或 TheHive 案例，写入 MITRE 技术、IOC、受影响主机等字段；支持更新工单、添加调查笔记、升级、解决关闭；TheHive 侧可生成调查任务并添加 IOC 可观测项；用 Splunk 查询监控 SLA 临近超时并自动升级；生成月度指标与 SLA 合规率报表。
使用方式：需先准备工单平台（ServiceNow ITSM、Jira Service Management 或 TheHive）、SIEM 集成能力（REST API、webhook 或 SOAR 连接器）、分类分级标准、值班表与 SLA 定义。示例代码通过 requests 调用 ServiceNow /api/now/table/incident 与 TheHive /api/case 接口，Splunk 查询用于 SLA 监控与统计。
限制：资料未提供具体部署步骤、认证配置细节、Jira 集成代码及价格信息；工单仅用于已确认事件，不覆盖每条 SIEM 告警。