用途：将 SIEM 告警转为结构化安全事件工单，适用于需要正式事件跟踪、合规审计、多团队协作、SLA 度量与事后复盘的 SOC 团队。不应用于单个告警初筛，工单面向需多步调查与处置的已确认事件。
主要能力：定义事件分类与严重级别（critical/high/medium/low），并为各级配置响应与解决 SLA、升级路径；通过 REST API 从 SIEM 自动创建、更新、加注、升级和关闭工单；在 TheHive 中创建案件、生成调查任务、添加 IOC 可观察对象；用 Splunk 查询监控接近或已超 SLA 的工单并自动升级；统计月度事件指标与 SLA 合规率。
必要用法：先准备工单平台（ServiceNow ITSM、Jira Service Management 或 TheHive）、SIEM 集成能力（REST API、webhook 或 SOAR 连接器）、事件分类法、值班表与 SLA 定义。示例中 ServiceNow 通过 /api/now/table/incident 创建与更新工单，TheHive 通过 /api/case 与 /api/case/{case_id}/artifact 创建案件和可观察对象；Splunk 查询中按 urgency 映射 15/30/120/480 分钟。
适用场景：SIEM 到工单自动化、多团队协作分派、合规文档留存、值班通知、事后复盘与趋势分析。
限制：资料未提供具体部署步骤、认证配置细节、对 Jira Service Management 的代码示例，也未说明各平台的版本要求、许可证或收费信息；实际字段与状态值需按所用平台调整，暂未提供。