用途：面向防御性安全分析工作，覆盖告警分类、调查取证、检测工程基础、威胁狩猎和事件遏制建议。
主要能力：1) 告警研判：按验证、范围、严重度、优先级、指派五步在最初15分钟内完成分类，区分误报、良性真阳性与真阳性；2) 调查与时间线：从 EDR、身份认证日志、代理/DNS、防火墙、云审计、邮件网关、DLP 等来源收集证据，统一为 UTC 时间线，识别 IOC 并映射 ATT&CK；3) 检测工程：用自然语言定义威胁行为，映射 ATT&CK 战术/技术，指定数据源与字段，编写 Sigma 风格或 SIEM SPL/KQL 逻辑，用 7–30 天历史数据评估误报率；4) 威胁狩猎：以“若对手[目标]，可能在[数据源]看到[可观测项]”的假设格式开展狩猎并按实体（用户、IP、哈希、域名）转向；5) 遏制与交接：在获得批准后按运行手册建议禁用会话、隔离主机、封禁 IOC、吊销令牌，并在破坏性动作前尽量保全证据，向 IR 负责人交接时间线、IOC、受影响资产与建议。
使用方式：按需加载参考文档——告警分类与严重度、调查与报告、检测与调优、威胁狩猎、遏制与交接。
适用场景：SIEM/EDR/身份/云/网络/邮件告警研判、可疑活动调查、检测调优与误报削减、基于假设的威胁狩猎、面向事件指挥的发现打包。
限制与边界：不适合作为 SOC 队列值班、SOAR 剧本或班次交接的主要工具（对应 soc-analyst）；不负责企业安全战略、政策与 GRC（对应 cybersecurity）；不执行渗透测试或漏洞利用验证（对应 offensive-security-analyst）；不承担 CI/CD、SBOM 或供应链安全门禁（对应 devsecops）；不设计 SEV 程序、值班轮换或复盘流程（对应 incident-management-engineer）；不实现 IdP、KMS、SIEM、EDR 等工程控制（对应 information-security-engineer）。具体价格、平台支持与安装命令暂未提供。