QMEDR 安全运营调查

开始前必须先读取 ../qmedr-shared/SKILL.md，或执行 qmedr skills read qmedr-shared；未读取不得执行 qmedr 命令。使用 binary reader 时以该命令 stdout 的正文为准，同时保留 stderr guidance。

精确边界

处理 QMEDR 安全运营链：

Endpoint → collect → Record → detect → Signal → aggregate → Incident

• endpoint：受管主机/Agent 资产。
• signal：聚合为事件前的检测发现。
• incident：由信号聚合形成的威胁事件。
• overview：服务端 metadata 提供的安全态势概览。

不处理普通 shell 终端、命令行窗口、日历事件、埋点事件或一般业务事件。遥测 SQL 转 qmedr-hunt（先执行 qmedr skills read qmedr-hunt）；策略转 qmedr-policy（先执行 qmedr skills read qmedr-policy）；灰度任务、失败统计、崩溃与 dump 转 qmedr-devops（先执行 qmedr skills read qmedr-devops）。