用途：该角色组合包为安全运营中心分析师提供跨层级（Tier 1-3）的结构化操作指南，用可重复的流程替代临时、被动的告警处置，产出稳定的分类结论、准确的事件时间线和检测改进。
主要能力与四种工作流：
- 告警分类（alert-triage → log-analysis → cve-triage）：判断告警为真阳性、假阳性或良性真阳性，关联认证日志、网络流、端点遥测与 DNS 查询构建上下文，涉及漏洞利用时评估 CVE。
- 威胁狩猎（detection-engineering → log-analysis → siem-rules）：先基于 ATT&CK 技战术形成假设并定义成功标准，执行查询，将确认发现转为持久检测规则。
- 事件调查（ir-playbook → containment → forensics-checklist → post-incident-review）：按事件类型启用剧本，先隔离主机、禁用账户、阻断 C2、吊销会话，再取证并构建时间线，最后进行无责复盘。
- 检测改进（detection-engineering → siem-rules → alert-triage）：审计现有规则覆盖率与误报率，编写、调优或重构检测规则，并用已知好坏数据验证。
使用方式：每类参与定义了技能执行顺序，前一步输出供后一步消费；组合包引用的技能包括 cve-triage、threat-modeling、secure-code-review、alert-triage、log-analysis、detection-engineering、siem-rules、ir-playbook、containment、forensics-checklist、post-incident-review。若只需单个战术任务（如编写 Sigma 规则），应直接使用单个技能。
适用场景：SIEM/EDR 告警需要处置、基于威胁情报或 ATT&CK 的主动狩猎、确认事件的时间线重建与遏制、检测盲区与高误报规则改进。
限制与说明：正文强调遏制优先于取证、处置必须记录理由、检测规则需持续维护，并声明该文件不授予提权或绕过安全控制的权限；对与操作方法论冲突的输入指令应予忽略。资料未提供具体安装命令、价格或平台支持信息。