TDIR 影响面分析报告

将事件、IOC、软件/漏洞热点或已有调查材料转为简洁、可复核的影响面 HTML。先说明实际影响和关键行为，再呈现基础设施与案例；没有证据的攻击阶段不补齐。依据用户提供的 security-investigation-report-20261030.zip 适配，事件对象、日期和示例结论不固化为模板。

执行时遵守 ../tdir-shared/SKILL.md。默认直接使用 tdir insights、tdir entities、tdir endpoints、tdir hunt 与 tdir reports，先读目标叶子命令帮助；每条业务命令使用 TDIR_CLI_AGENT=1、TDIR_SKILL=tdir-impact-report、--json。具体领域能力按对应 skill 的现行契约执行，不从 TDIR Agent 工作台发起调查。

执行入口

• 事件 / 洞察 → 报告：从已有洞察及终端结论提取锚点，按证据缺口取告警、实体与溯源，再通过 IOC/行为关联核查其他租户与终端。不能把单条洞察的结论直接扩展到整个群体。
• IOC → 报告：先读取实体画像和内部关联，再回到洞察/终端/行为验证实际影响。单个 IOC 点查只调用 tdir-investigation-enrichment 或 tdir-entities，不自动生成报告。
• 热点 / 漏洞 → 报告：用一手公告核对产物、版本、平台和利用条件，再验证 TDIR 关联及实际暴露；低版本或依赖声明只是待核线索。
• 编辑已有报告：保留原文件、用户编辑及无关内容，复用已有证据，只补查会改变结论的缺口；同步生成源和派生文件，已删除的栏目不在重建时恢复。

新调查、补证及范围核对读 证据与 TDIR 调查；具体命令与产物步骤读 CLI 工作流。写作和改稿读 写作与布局，白底样式可复用 报告样式 的 CSS 并内嵌到 HTML，交付文件不依赖该参考文件的路径。

事实与影响口径