TDIR 告警

执行时遵守 ../tdir-shared/SKILL.md 的认证、输出、写操作和安全契约。

默认直接使用 tdir signals，并先读取目标叶子命令帮助。

• 已知 signal_id：tdir signals get <signal_id>（get_signal，含原始事件 record 与命中规则 policy；不存在时退出码 4）。
• 导出规则回放事件：tdir signals events <signal_id> --rule <version_or_series_id> --ocsf-ndjson [-o <path>]。它读取主服务从 Signal 图投影出的事件，仅保留归属于指定规则的告警边，并输出 hyperd tdir-ocsf-ndjson；不要直接把 CLS 中的整份 DetectionFinding 当作 hyperd 输入事件。
• 排查全局规则检出异动、单日峰值、活跃天数或单条规则逐日/逐小时趋势：优先使用 tdir-rules 的 tdir rules trend --last 7d（自动对比上一等长窗口并返回 delta_signals、peak_day_signals、peak_machines、active_days）。
• 明确要告警明细、按维度聚合或双窗口告警计数对比：使用 tdir signals list 的对应模式。
• 某条洞察包含的告警用 tdir insights signals <insight_uuid>；本领域命令用于跨洞察、按终端或时间窗查询。

Signal 位于“OCSF Record → 规则命中 → Signal → 关联聚图 → Insight”主链中，是规则命中结果，不是已定性的现实事件；Record 才是被匹配的客观活动事实，policy 是检测附注。Signal 也不是 Insight，Insight 也不天然等于真实事件。真实事件可被研判为未失陷。告警数量、等级、规则标题或命中终端数都不足以单独证明恶意、优先级或失陷。涉及下游失陷统计时，有效失陷包含人工确认失陷与未经人工排除的 L1 定性失陷（含独立定性 / 聚类传播），经人工排除则剔除（终端表 machine.compromise_status=1 由 L1 定性失陷驱动标记，人工复核结果不联动修改终端表状态）。

References

• 三种 list 模式、工具、字段、Signal 生命周期与图边界：references/signal-search-and-aggregation.md
• 双窗口参数、指标口径与解释边界：references/signal-comparison.md