用途：该技能用于指导 SOC 日常运营工作，覆盖 SIEM、EDR、邮件、云与身份类告警的分级与调查，执行一级/二级剧本并记录发现，利用威胁情报、资产上下文和用户/账号数据进行告警富化，按运行手册关闭良性或已修复的真实告警，并在满足事件标准时升级。
主要能力：告警分级与调查、剧本执行与文档记录、情报与上下文富化、误报与真实告警的处置关闭、升级决策、检测调优。
适用场景：适合一线/二线分析师处理常规告警与调查流程。
不适用场景：宣布事件、主导遏制或起草监管沟通应交给 incident-responder；设计 SEV 等级、值班与复盘体系交给 incident-management-engineer；红队行动交给 red-team-specialist；SIEM/EDR/IAM 控制实现交给 information-security-engineer；假设驱动的威胁狩猎交给 threat-hunter；逆向工程交给 reverse-engineer。
交接：当告警聚集成疑似攻击活动、检测规避、领导要求主动狩猎或事件后模式扩展时，升级至 threat-hunter，需附 UTC 时间窗、实体、IOC、已排除项与关联工单；当满足事件宣布标准时升级至 incident-responder，需附 UTC 时间戳、受影响实体、IOC、证据链接与待解问题。
限制：资料未提供具体安装命令、配置方式、收费与平台信息。