TDIR 威胁洞察

执行时遵守 ../tdir-shared/SKILL.md 的认证、输出、写操作和安全契约。本 Skill 是快速了解洞察的默认入口；按需深入调查与挑战性复核见 ../tdir-insight-review/SKILL.md，业务写回及工单跟进流程见 ../tdir-insight-response/SKILL.md。

三层渐进式入口：快速了解（默认） → 初步调查（免取包） → 深入调查（拉取证据包）

• 1. 快速了解（默认入口，仅读 MySQL 已有数据）：运营人员给出洞察 ID 或工单 ID，询问“看看这个洞察/工单”、“告诉我终端发生了什么”、“发生了什么事件”、“给出事件描述和研判结论”（未提出调查/狩猎要求）时，默认只拉取平台 MySQL 已有信息：
  1. 若从工单进入，先用 tdir tickets get <ticket_id> 获取 insight_uuids[]；
  2. 执行 tdir insights get <uuid>（获取洞察摘要、ai_summary、当前 AI/人工研判结论 .verdict 与关联工单）与 tdir insights report <uuid> --kind l1（直接从 MySQL 读取 L1 研判报告；若当前洞察为聚类关联成员且自身无独立报告，工具会自动返回定性来源洞察 source_insight_uuid 的源头报告，并附带 is_source_report=true、report_scope_note 与 SOURCE_INSIGHT_REPORT 警告），按需加 tdir endpoints get <machine_id> --source <source> --platform <platform> 获取终端基本信息与失陷状态；
  3. 按标准结构组织输出并立即止步：
     • TL;DR（一句话判断）：置顶 1–2 句话概括“哪个终端在什么时间由什么进程触发了什么关键动作 → 当前定性结论（如真实事件/误报）与失陷状态 → 核心定性依据（若为聚类传播或源头报告，明确点出）”；
     • 事件与终端概况表：用“字段 / 内容”小表列出终端 machine_id（来源/平台/租户类型/当前失陷状态）、洞察 insight_uuid（工单号、聚类角色与定性来源 source_insight_uuid）、告警时间窗、命中规则（alert_names）与战术；
     • 事件经过与行为主链（文本树 / Mermaid）：串联关键进程调用链、动作与结果；若 insights report 返回 is_source_report=true，必须在正文中明确说明“该详细报告来自定性来源洞察 <source_insight_uuid>，反映的是源头事件当时的研判分析，非当前终端本次事件的独立报告”，并将本洞察自身的 ai_summary 与源头报告背景区分展示；
     • 研判结论与下一步建议：展示生效结论（verdict / is_compromised）、AI/人工结论及核心依据，最后给出 1–2 个按需进入“初步调查（免取包在线核查）”或“深入调查（拉取证据包）”的可选方向；此阶段不下载冻结证据包，不调用 tdir hunt 查遥测，不查外部情报。
• 2. 初步调查（常规调查默认，不拉取证据包）：当运营人员要求“调查/分析/核查一下这个洞察”、“查一下某个文件/进程/外联/告警/同机关联”或针对快速了解后的疑点追问，但未明确要求下载证据包或全量深挖时，默认不拉取冻结证据包，直接基于已有在线查询与狩猎工具（tdir insights signals/rules/entities/provenance/risk-paths <uuid>、tdir hunt investigate file-usage|process-code-origin|network-history|startup-link|related-insights、tdir hunt sql、tdir intel lookup）快速核查，并按“TL;DR（一句话判断） → 调查概要 → 攻击图谱 → 关键对象与在线核查发现表 → 初步结论与剩余缺口”组织输出。
• 3. 深入调查（拉取证据包到本地深入分析）：只有当运营人员明确要求深入调查、拉取证据包分析、全面挑战性复核 L1 结论或输出完整深度调查报告（或初步调查发现必须核对 L1 冻结原始记录）时，才进入 ../tdir-insight-review/SKILL.md 的深入调查层：在 IOA 且已有 L1 结论时执行 tdir insights evidence download <uuid> [--report-id <id>] --output-dir <dir> 整包下载 AI 研判证据（若当前成员无独立证据包，CLI 会自动解析并下载 source_insight_uuid 的源头证据包并标记 is_source_evidence=true），逐项审查 case.json、evidence.json、records.jsonl 并结合 tdir hunt investigate 补足缺口，生成完整人工定性（L2）报告。平台报告与补查证据不等同于 L1（AI/Agent 研判）当时的完整输入；平台写回与工单跟进交给 ../tdir-insight-response/SKILL.md。
• 独立只读工具可并行，遵守公共依赖与逐项结果检查契约。只要客户摘要或处置建议时由 response 起草；单点追问复用已有证据，不重复整套调查或默认写回。