用途：用于安全告警的结构化分级研判。适用场景包括收到 SIEM、EDR 或安全工具新告警需调查、多个告警待排序、判断真阳性或误报、决定是否上报 Tier 2/IR 团队，以及生成可审计的研判记录。若告警已确认真阳性需完整事件响应、需编写新检测规则，或需对已确认失陷做取证分析，则不应使用本技能。
主要能力：按四阶段推进。收集阶段汇总告警负载、资产清单、用户目录、EDR 遥测、网络遥测、威胁情报与历史告警，对应 NIST SP 800-61 的检测与分析环节。关联阶段做时间、横向、行为、威胁情报与杀伤链关联，并按 ATT&CK 战术推演前后行为，例如初始访问后关注执行与持久化。分类阶段给出三种定性：真阳性、良性真阳性、误报，并按资产关键性、威胁严重度与置信度分配 P1 至 P4 优先级及响应时限。上报阶段依据定性、优先级、是否涉及特权账户或受监管数据、是否匹配活跃威胁活动等条件，确定上报对象与最小上报文档字段。输出为结构化报告，含告警摘要、受影响实体、研判决策、证据摘要、关联结果、建议操作与规则调优建议。
用法：若通过参数提供目标，应将审查聚焦于该目标。开始前需收集或确认告警详情、原始事件、ATT&CK 映射、资产与用户上下文、历史上下文和威胁情报；部分上下文缺失时可继续并标注为假设。
限制：资料未提供具体价格、安装命令或平台支持信息，暂未提供。该技能为方法论指引，不替代完整事件响应、检测规则开发或取证分析。