用途：面向安全运营中心（SOC）流程，标准化告警分诊、班次交接与运营指标跟踪，自动生成 SOC 文档。
主要能力：告警分诊，记录并分类安全告警并提供标准化处置结论；班次交接，生成结构化交接报告；指标跟踪，统计 MTTD、MTTR 与误报率；内置常见告警类型的分诊模板；调查过程中登记 IOC；提供告警运营指标报告。
使用方式：通过 Python 模块 soc_utils 调用。示例：from soc_utils import AlertTriage, ShiftHandover, SOCMetrics。创建告警用 AlertTriage('ALT-2024-001', 'SIEM', 'High')，用 add_note、add_ioc、set_disposition 或 escalate 记录调查与处置，用 to_json 导出。交接用 ShiftHandover('2024-01-15', 'day', 'John Smith')，通过 add_open_alert、add_escalation、add_notable_event、add_pending_task、set_metrics 组织内容，generate_report 生成报告。指标用 SOCMetrics 的 add_alert_record 添加记录后，调用 calculate_mttd、calculate_mttr、get_false_positive_rate、get_alert_volume 与 generate_report。分诊模板用 generate_triage_template('malware' 等) 获取。
配置：环境变量 SOC_ANALYST_NAME（默认无）、SOC_TEAM_NAME（默认 SOC）。处置取值为 true_positive、false_positive、benign、inconclusive；严重级别为 Critical、High、Medium、Low、Info。
适用场景：安全告警调查记录、班次交接、SOC 运营指标汇总与模板化分诊。
限制：无 SIEM 集成，需手动录入数据；不创建工单，无工单系统集成；数据仅存内存，属本地存储；指标计算需传入 datetime 对象，处置取值须精确匹配。