TDIR 实体分析与情报运营

本能力读取与治理 TDIR 平台已存实体数据（ti_entity、ti_entity_review、ti_entity_investigation_detail），不触发 BTI 实时查询；用户直接查外部 BTI 实时情报时使用 ../tdir-investigation-enrichment/SKILL.md。实体是 IP、域名、URL、文件哈希等可观测对象，本身不代表恶意；即使情报或深度调查判定某个实体为恶意，那也只是该实体的一个属性。

执行时遵守 ../tdir-shared/SKILL.md 的认证、输出、写操作和安全契约。

采用 direct-first：默认直接使用 tdir entities，并先读取目标叶子命令帮助。

• tdir entities get <entity> → get_entity：点查单个实体画像（类型、关联洞察数与终端数、风险分布、TICS 情报结论与标签、深度调查结论）。
• tdir entities list → list_entities：按值、类型、时间、关联洞察数（--min-insights）与终端数（--min-machines，如 --min-machines 100 筛选高影响面实体）分页列出实体。
• tdir entities summary [--last 7d | --start ... --end ...]（或 tdir entities list --summary）：威胁情报运营态势一键汇总，一次输出：
  1. 周期新增 IOC 分布（new_entities：按 entity_type 与 tics_attribute 拆分）；
  2. 高影响面实体分布（high_impact_entities：machine_count >= 100，排除 URL 与生效黑名单 ti_entity_blacklist.enabled = 1），含 total、malicious(black)、suspicious、safe(white)、unknown、no_entity(not_found)、文件无实体数（file_no_entity_count）与待分析高影响面未知实体数（pending_analysis_count：tics_attribute IN ('unknown','info') AND review_ti_result IS NULL AND operation_value_score >= 6）；
  3. 漏报误报冲突情报治理（conflict_governance：统计 ti_entity_investigation_detail 中 Agent 确认 llm_verdict='confirmed' 的疑似漏报 direction='fn' 与疑似误报 direction='fp' 的总数 total、已运营数 operated、人工确认数 confirmed）。
• tdir entities links list --entity <value> → get_entity_insights：涉及该实体的洞察与终端，用于评估影响范围。
• tdir entities links list --insight-uuid <uuid> 或 tdir insights entities <uuid> → get_insight_entities：一条洞察关联的实体。
• tdir entities verdict update <entity> --verdict <black|white|gray|suspicious|unknown> [--comment <text>] [--dry-run] [--yes] → update_entity_verdict（写命令）：写回威胁实体的人工研判结论（ti_entity_review）。必须先以 --dry-run 预览变更前后结论并向用户展示，取得用户在当前对话明确确认后才加 --yes 正式写入；写入后用 tdir entities get <entity> 回查。

需要实时情报、上下文、历史解析或样本功能补证时，按实际疑点选择 tdir intel 或已明确授权的 tdir samples download，按 ../tdir-investigation-enrichment/SKILL.md 选择动作。已有画像与实时结果分别标明来源和时间。