dsh-plugin-t-expert 0.4.9 → 0.4.36

package/data/experts/security/soe/README.md

@@ -0,0 +1,170 @@
+# 腾讯云安全运营专家 (soe) — WorkBuddy 专家插件
+
+## 项目定位
+
+`soe` 是一个 **WorkBuddy / CodeBuddy 专家插件**（"腾讯云安全运营专家"）。它是一个 agent 型专家，覆盖漏洞管理、多产品告警研判（WAF/CWP云镜/御界NDR/天幕/CFW云防火墙/SOC）、入侵溯源、DDoS流量分析、勒索病毒分析、腾讯云产品日志排查、腾讯 iOA 零信任排障等安全运营场景（资产关联作为告警研判的辅助能力），参考 `tc-sec` 插件的架构模式实现。
+
+## 架构
+
+插件由 `.codebuddy-plugin/plugin.json` 声明两类组件，分别承担不同职责：
+
+1. **Agent**（`agents/soe.md`）— 专家的系统提示词 / 人格。定义角色定位、核心能力概览、工作原则、交互规范。这是"行为规则"层。
+2. **Skill**（`skills/soe/SKILL.md`）— 可操作知识，**渐进式加载**。`SKILL.md` 是入口索引（意图路由表 + 路由决策流程），按需引用 `references/` 下按安全领域分类的具体能力说明。这是"操作手册"层。
+
+```
+┌─────────────────────────────────────────────────────────┐
+│              用户输入（安全运营相关需求）                   │
+└────────────────────────────┬────────────────────────────┘
+                             │
+                             ▼
+┌─────────────────────────────────────────────────────────┐
+│   Agent 层: agents/soe.md — 角色人设 / 工作原则 / 交互规范  │
+└────────────────────────────┬────────────────────────────┘
+                             │
+                             ▼
+┌─────────────────────────────────────────────────────────┐
+│   Skill 层: skills/soe/SKILL.md — 意图路由表 / 决策流程    │
+│                                                          │
+│  意图识别 → 能力匹配 → 渐进式加载 references/<能力>/SKILL.md │
+└────────────────────────────┬────────────────────────────┘
+                             │ 渐进式加载
+         ┌─────────┬──────────────┬────────┬─────────┬────────────────┬─────────┐
+         ▼         ▼              ▼        ▼         ▼                ▼
+┌─────────┐┌──────────────┐┌───────┐┌───────┐┌────────────────┐┌─────────────┐
+│漏洞管理  ││告警研判       ││入侵溯源││攻击分析││腾讯云产品日志排查││iOA排障      │
+│(3能力)  ││(5能力+资产关联)││(1)    ││(2)    ││(1)             ││(8子能力+公共)│
+└─────────┘└──────────────┘└───────┘└───────┘└────────────────┘└─────────────┘
+```
+
+## 目录结构
+
+```
+soe_skill/
+├── .codebuddy-plugin/
+│   └── plugin.json                          # 插件清单（名称/头像/分类/快捷Prompt等）
+├── agents/
+│   └── soe.md                               # Agent 行为层 — 角色人设与工作原则
+├── avatars/
+│   └── expert.png                           # 专家头像（九尾狐科技守护者形象）
+├── skills/
+│   └── soe/                                 # 唯一注册的 Skill（WorkBuddy 扁平加载要求）
+│       ├── SKILL.md                         # Skill 入口索引 — 意图路由表
+│       └── references/                      # 按安全领域分类的完整能力集（渐进式加载）
+│           ├── vulnerability-analysis/       # 漏洞管理
+│           │   ├── vul-analyse/
+│           │   ├── host-cve-validator/
+│           │   └── container-cve-fix-validator/
+│           ├── alert-analysis/               # 告警研判
+│           │   ├── waf-log-analyzer/
+│           │   ├── cwp-analyzer/
+│           │   ├── yujie-analyzer/
+│           │   ├── tianmu-analyzer/
+│           │   ├── cfw-analyzer/
+│           │   └── soc-alert-pipeline/
+│           ├── intrusion-analysis/           # 入侵溯源
+│           │   └── host-intrusion-analysis/
+│           ├── attack-analysis/              # 攻击分析
+│           │   ├── ddos-analysis/
+│           │   └── ransomware-analysis/
+│           ├── asset-management/             # 资产管理
+│           │   └── asset-manager/
+│           ├── general/                      # 通用排查
+│           │   └── log-analysis-troubleshooting/
+│           └── ioa-troubleshooting/          # iOA 排障（领域入口 + 9 个子目录）
+│               ├── SKILL.md                  # iOA 领域入口（8 个子能力路由）
+│               ├── common/                   # 公共响应与安全规范
+│               ├── trusted-access/           # 可信接入
+│               ├── endpoint-management/      # 终端资产
+│               ├── policy-management/        # 策略管控
+│               ├── security-protection/      # 安全检测
+│               ├── platform-operations/      # 平台运维
+│               ├── consulting/               # 咨询判断
+│               ├── ioa-openapi-invoke/       # iOA 开放接口调用
+│               └── ioa-sql-query-generator/  # 只读 SQL 查询生成
+├── SKILL_SPEC.md                             # 新增能力的规范约定
+└── README.md                                 # 本文件
+```
+
+> **为什么是"单 Skill + references 渐进式加载"而不是"多 Skill 扁平注册"**：WorkBuddy 的 `plugin.json` `skills` 字段按约定扫描 `skills/` 下的**直接子目录**（每个子目录需含 `SKILL.md`），不支持多层嵌套分类自动发现。为保留按安全领域分类管理 14 个能力的组织方式，参照 `tc-sec` 的做法——只注册一个 Skill（`skills/soe/`），其 `SKILL.md` 作为入口索引，具体能力全部收纳进 `references/` 按需渐进式加载。
+
+## 能力清单
+
+| 分类 | 能力 | 说明 |
+|------|------|------|
+| 漏洞管理 | `vul-analyse` | 漏扫报告解析（15+厂商格式） |
+| 漏洞管理 | `host-cve-validator` | 主机CVE修复验证引擎 |
+| 漏洞管理 | `container-cve-fix-validator` | 容器CVE修复验证引擎 |
+| 告警研判 | `waf-log-analyzer` | WAF攻击日志分析 |
+| 告警研判 | `cwp-analyzer` | CWP/云镜告警 L1 分析 |
+| 告警研判 | `yujie-analyzer` | 御界 NDR 告警 L1 分析 |
+| 告警研判 | `tianmu-analyzer` | 天幕阻断日志 L1 分析 |
+| 告警研判 | `cfw-analyzer` | CFW 云防火墙告警日志分析 |
+| 告警研判 | `soc-alert-pipeline` | SOC 告警流水线 L0 适配层 |
+| 告警研判 | `asset-manager` | 告警研判资产关联辅助（IP→主机映射） |
+| 入侵溯源 | `host-intrusion-analysis` | 主机入侵检测排查 |
+| 攻击分析 | `ddos-analysis` | DDoS 攻击流量分析 |
+| 攻击分析 | `ransomware-analysis` | 勒索病毒家族识别、入侵路径分析、数据恢复评估 |
+| 腾讯云产品日志排查 | `log-analysis-troubleshooting` | 腾讯云产品日志分析 |
+| iOA排障 | `ioa-troubleshoot-expert` | 腾讯 iOA 零信任终端安全排障领域入口（内部 8 个子能力：可信接入/终端资产/策略管控/安全检测/平台运维/咨询判断/接口调用/只读查询） |
+
+## 环境准备
+
+### Python 版本
+
+Python 3.8+（推荐 3.10+），所有脚本以 `python3` 调用。
+
+### 依赖安装
+
+各能力相互独立，按需安装对应依赖：
+
+| 能力 | 依赖清单 | 关键依赖 |
+|------|---------|---------|
+| DDoS 流量分析 | `skills/soe/references/attack-analysis/ddos-analysis/scripts/requirements.txt` | scapy / dpkt / numpy / loguru / mcp |
+| 主机 CVE 修复验证 | `skills/soe/references/vulnerability-analysis/host-cve-validator/requirements.txt` | openpyxl / paramiko / python-docx / pywinrm / httpx / PyYAML |
+| 容器 CVE 修复验证 | `skills/soe/references/vulnerability-analysis/container-cve-fix-validator/requirements.txt` | pandas / openpyxl / paramiko / python-docx |
+| iOA 开放接口调用 | `skills/soe/references/ioa-troubleshooting/ioa-openapi-invoke/requirements.txt` | requests / cryptography |
+| 漏扫报告解析（vul-analyse） | 无独立清单 | httpx / PyYAML / beautifulsoup4（`pip install httpx pyyaml beautifulsoup4`） |
+| 其余能力 | 无第三方依赖 | Python 标准库 |
+
+> 未安装依赖时脚本有明确报错提示，不会静默失败。
+
+### 可选环境变量
+
+| 变量 | 用途 | 说明 |
+|------|------|------|
+| `NVD_API_KEY` | NVD 查询提速 | 免费申请：https://nvd.nist.gov/developers/request-an-api-key 。配置后 NVD 限速从 5 提升到 50 req/30s，大批量 CVE 分析建议配置；凭据通过环境变量注入 |
+
+## 层级依赖关系
+
+```
+L0 适配层:    soc-alert-pipeline（统一 raw_log 解析）
+                   ↓ parsed 字段
+L1 产品分析:  cwp-analyzer | yujie-analyzer | tianmu-analyzer | cfw-analyzer | waf-log-analyzer
+                   ↓ 结构化事件
+L2 跨产品关联（关联多产品 L1 输出）
+
+资产数据层:   asset-manager（告警研判资产关联辅助，提供 IP→主机映射）
+独立能力:     vul-analyse | host-cve-validator | container-cve-fix-validator
+              host-intrusion-analysis | ddos-analysis
+              ransomware-analysis | log-analysis-troubleshooting
+
+iOA 排障域:   ioa-troubleshoot-expert（领域入口，二级路由到 8 个子能力：
+              6 个知识型子能力 + ioa-openapi-invoke 接口调用 + ioa-sql-query-generator 只读查询）
+```
+
+## 与 tc-sec 的架构对比
+
+| 维度 | tc-sec（参考） | soe（本项目） |
+|------|--------------|-------------------|
+| 插件清单 | `.codebuddy-plugin/plugin.json` | `.codebuddy-plugin/plugin.json` |
+| Agent 行为层 | `agents/tc-sec.md` | `agents/soe.md` |
+| Skill 知识层 | `skills/tc-sec/SKILL.md` + `references/` | `skills/soe/SKILL.md` + `references/` |
+| 子能力组织 | `references/workflow/<name>/` + `scripts/`（工作流为主） | `references/<分类>/<能力名>/SKILL.md`（意图路由为主） |
+| 加载方式 | workflow trigger 匹配 → run.py 直达执行 | 意图路由表匹配 → 加载对应 `references/.../SKILL.md` 按其内部流程执行 |
+| 执行方式 | run.py 脚本执行（机械） + agent 灵活编排 | 各能力目录下 scripts/ 工具 + agent 按 SKILL.md 指导编排 |
+
+## 新增能力
+
+参见 [SKILL_SPEC.md](./SKILL_SPEC.md) 了解新增能力（子 Skill）的规范约定，新增能力需放入 `skills/soe/references/<分类>/<能力名>/`，并在 `skills/soe/SKILL.md` 的意图路由表中注册。
+
+

package/data/experts/security/soe/SKILL_SPEC.md

@@ -0,0 +1,246 @@
+# 子能力规范约定 (Sub-Capability Specification)
+
+本文档定义了 `soe` WorkBuddy 专家插件中子能力（sub-capability，即 `references/` 下的各分析能力）的标准化规范，所有新增子能力必须遵循此约定。
+
+> 说明：由于 WorkBuddy 插件的 `skills` 字段只扫描 `skills/` 下的**直接子目录**（不支持多层嵌套自动发现），本项目只注册唯一的顶层 Skill（`skills/soe/`）。因此这里的"子能力"不是 WorkBuddy 意义上独立注册的 Skill，而是 `skills/soe/references/` 下按分类组织、由 `SKILL.md` 入口索引按需渐进式加载的能力模块。
+
+---
+
+## 1. 目录结构规范
+
+每个子能力作为独立目录存在于 `skills/soe/references/<category>/` 下：
+
+```
+skills/soe/references/<category>/<capability-name>/
+├── SKILL.md              # [必须] 能力定义文件 — 唯一入口
+├── scripts/              # [可选] 能力专属工具脚本
+│   ├── __init__.py
+│   └── *.py
+├── references/           # [可选] 参考资料（知识库/映射表/模板/示例输入输出）
+│   └── *.md / *.yaml / *.json
+└── tools/                 # [可选] MCP 工具定义
+    └── *.tool.yaml
+```
+
+### 命名规则
+
+| 项目 | 规则 | 示例 |
+|------|------|------|
+| 分类目录 | 英文小写 + 连字符 | `alert-analysis/` |
+| 能力目录 | 英文小写 + 连字符 | `waf-log-analyzer/` |
+| 定义文件 | 统一为 `SKILL.md` | `SKILL.md` |
+| 脚本文件 | snake_case | `l1_cwp_analyze.py` |
+
+---
+
+## 2. SKILL.md 文件规范（能力定义文件）
+
+### 2.1 Frontmatter（YAML 头部）— 必须
+
+```yaml
+---
+name: capability-name                # [必须] 能力唯一标识（与目录名一致）
+description: "一句话描述..."          # [必须] 功能描述（供入口 SKILL.md 路由表展示）
+version: 1.0.0                       # [必须] 语义化版本号
+triggers:                            # [必须] 触发关键词列表（入口路由匹配用）
+  - 关键词1
+  - 关键词2
+  - 关键词3
+input_formats:                       # [可选] 支持的输入文件格式
+  - "*.pcap"
+  - "*.xlsx"
+dependencies:                        # [可选] 依赖的其他能力
+  - soc-alert-pipeline
+role: infrastructure                 # [可选] 角色类型（infrastructure=基础设施/独立功能）
+---
+```
+
+### 2.2 正文结构 — 必须按此顺序
+
+```markdown
+# 标题 (capability-name)
+
+## 角色定位
+一段话描述该能力的专业身份和核心职责。
+
+## 能力范围
+- 列出该能力能做的所有事情（5-10 条）
+- 每条用一句话描述
+
+## 工作流程
+### Step 1: {步骤名}
+- 具体操作说明
+- 判断条件和分支
+
+### Step 2: {步骤名}
+...
+
+### Step N: 报告输出
+- 最终输出物描述
+
+## 输出格式
+说明输出的格式（Markdown/HTML/JSONL/结构化报告等）。
+
+## 与其他能力联动（可选）
+- **上游**: 哪些能力为本能力提供输入
+- **平级**: 可以协同工作的能力
+- **下游**: 消费本能力输出的能力
+```
+
+---
+
+## 3. 路由注册规范
+
+新增子能力后，必须在入口 `skills/soe/SKILL.md` 的 **意图路由表** 中添加条目：
+
+```markdown
+| 分类 | `capability-name` | 触发关键词(逗号分隔) | 数据输入格式 | `references/<分类>/<capability-name>/SKILL.md` |
+```
+
+路由匹配规则：
+- `triggers` 中的关键词会被入口 SKILL.md 用于意图匹配
+- 关键词应覆盖：中文术语 + 英文术语 + 常见缩写 + 产品名
+- 避免过于宽泛的关键词（如单独的"分析"、"查询"）
+
+---
+
+## 4. 质量标准
+
+### 4.1 能力定义质量检查清单
+
+- [ ] Frontmatter 包含所有必须字段（name/description/version/triggers）
+- [ ] `name` 与目录名一致
+- [ ] `triggers` 至少包含 3 个差异化关键词
+- [ ] `description` 不超过 200 字符
+- [ ] 工作流程至少包含 3 个 Step
+- [ ] 每个 Step 有具体可执行的操作描述（非空洞原则）
+- [ ] 明确声明输出格式
+- [ ] 如有依赖关系，在 `dependencies` 和「联动」章节中双向声明
+
+### 4.2 禁止事项
+
+- ❌ 在 SKILL.md 中包含具体测试数据或示例输入输出（放 `references/` 目录）
+- ❌ 在 SKILL.md 中编写具体代码实现（放 `scripts/` 目录）
+- ❌ 触发关键词与已有能力严重重叠（会导致路由冲突）
+- ❌ 工作流程描述过于抽象模糊（必须可操作）
+- ❌ 省略 Frontmatter 或使用非标准字段名
+- ❌ 在 `skills/` 下新建独立的顶层能力目录（WorkBuddy 只扫描 `skills/soe/` 这一个 Skill，新能力必须放进 `skills/soe/references/`）
+
+---
+
+## 5. 分类体系
+
+当前支持的分类目录（均位于 `skills/soe/references/` 下）：
+
+| 分类目录 | 含义 | 适用场景 |
+|---------|------|---------|
+| `vulnerability-analysis/` | 漏洞管理 | 漏扫报告解析、CVE修复验证 |
+| `alert-analysis/` | 告警研判 | 安全产品告警研判、L0/L1 分析（含资产关联辅助） |
+| `intrusion-analysis/` | 入侵溯源 | 主机入侵排查、攻击链还原 |
+| `attack-analysis/` | 攻击分析 | DDoS/流量攻击分析、勒索病毒分析 |
+| `asset-management/` | 告警研判辅助 | 告警研判资产关联辅助（IP→主机映射） |
+| `general/` | 腾讯云产品日志排查 | 腾讯云产品日志分析 |
+| `ioa-troubleshooting/` | iOA 排障 | 腾讯 iOA 零信任终端安全排障（领域入口 SKILL.md + 9 个子目录：common 公共规范、trusted-access 可信接入、endpoint-management 终端资产、policy-management 策略管控、security-protection 安全检测、platform-operations 平台运维、consulting 咨询判断、ioa-openapi-invoke 接口调用、ioa-sql-query-generator 只读查询） |
+
+新增分类需在此表和 README.md 中同步更新。
+
+---
+
+## 6. 版本管理
+
+- 遵循语义化版本：`MAJOR.MINOR.PATCH`
+  - MAJOR: 能力范围/工作流程重大变更（不兼容旧行为）
+  - MINOR: 新增能力或优化（向后兼容）
+  - PATCH: 描述修正/关键词调整（无功能变化）
+- 版本变更时更新 Frontmatter 中的 `version` 字段
+- 插件整体版本在 `.codebuddy-plugin/plugin.json` 的 `version` 字段单独维护
+
+---
+
+## 7. 示例：创建新能力
+
+假设要新增一个「勒索病毒分析」能力：
+
+### 7.1 创建目录
+
+```bash
+mkdir -p skills/soe/references/attack-analysis/ransomware-analysis
+```
+
+### 7.2 编写 SKILL.md
+
+```markdown
+---
+name: ransomware-analysis
+description: "勒索病毒分析：基于勒索信、加密文件扩展名、注册表等特征识别勒索家族，分析入侵路径，评估数据恢复可能性。"
+version: 1.0.0
+triggers:
+  - 勒索病毒
+  - 勒索软件
+  - ransomware
+  - 加密文件
+  - 赎金
+  - 勒索信
+  - 文件被加密
+---
+
+# 勒索病毒分析 (ransomware-analysis)
+
+## 角色定位
+勒索病毒应急响应专家，能从勒索现场特征快速识别勒索家族、分析入侵路径并评估恢复可能性。
+
+## 能力范围
+- 基于勒索信内容识别勒索家族
+- 基于加密文件扩展名匹配已知家族
+- 分析入侵路径（RDP暴破/漏洞利用/钓鱼邮件）
+- 评估数据恢复可能性（是否有已知解密工具）
+- 提供应急处置建议
+
+## 工作流程
+### Step 1: 样本特征收集
+- 收集勒索信内容 / 加密文件扩展名 / 注册表变更
+- 提取勒索钱包地址和联系方式
+
+### Step 2: 家族识别
+- 匹配已知勒索家族特征库
+- 确认勒索家族和变种版本
+- 查询该家族已知解密工具
+
+### Step 3: 入侵路径分析
+- 分析初始入侵方式
+- 还原横向传播路径
+- 确定加密范围
+
+### Step 4: 报告输出
+- 勒索家族判定
+- 入侵路径还原
+- 恢复可能性评估
+- 应急处置建议（隔离/备份/上报）
+
+## 输出格式
+Markdown 勒索分析报告（家族判定 + 入侵路径 + 恢复建议）。
+```
+
+> **注**：以上为创建新能力时的最小化示例。实际已落地的 `ransomware-analysis` 能力以 `references/attack-analysis/ransomware-analysis/SKILL.md` 为准，包含零 Key 在线情报查询、4 个免费数据源、独立 IOC 提取工具、SSL 三级回退、缓存策略等完整功能。
+
+### 7.3 注册路由
+
+在入口 `skills/soe/SKILL.md` 的意图路由表中添加：
+
+```markdown
+| 攻击分析 | `ransomware-analysis` | 勒索病毒、ransomware、加密文件、赎金、勒索信 | 勒索信/加密样本/系统日志 | `references/attack-analysis/ransomware-analysis/SKILL.md` |
+```
+
+---
+
+## 8. 与 tc-sec 模式的对比
+
+| 维度 | tc-sec（参考） | soe（本项目） |
+|------|--------------|-------------------|
+| 插件清单 | `.codebuddy-plugin/plugin.json` | `.codebuddy-plugin/plugin.json` |
+| Agent 行为层 | `agents/tc-sec.md` | `agents/soe.md` |
+| 唯一注册 Skill | `skills/tc-sec/SKILL.md` | `skills/soe/SKILL.md` |
+| 子能力组织 | `references/workflow/<name>/` + `scripts/` | `references/<分类>/<能力名>/SKILL.md` |
+| 路由方式 | workflow trigger 匹配 → run.py 直达 | 意图路由表 triggers 匹配 → 加载对应 `references/.../SKILL.md` |
+| 执行方式 | run.py 脚本执行（机械） + agent 灵活编排 | 能力 SKILL.md 指导（智能） + scripts 辅助 |
+| 联动机制 | 两段式（脚本阶段 + agent阶段） | 层级依赖（L0→L1→L2） + 资产层横切 |

package/data/experts/security/soe/persona.md

@@ -0,0 +1,199 @@
+---
+name: 腾讯云安全运营专家
+nameEn: Security Operations Expert
+description: 分析WAF、主机安全、云防火墙、SOC、御界、天幕告警事件，覆盖漏洞、攻击、入侵溯源与iOA排障。
+descriptionEn: Security Operations Expert
+emoji: 🛡️
+color: "#DC2626"
+vibe: 腾讯云安全运营专家
+---
+# 腾讯云安全运营专家
+
+你是腾讯云安全运营专家，覆盖漏洞管理、告警研判、入侵溯源、攻击分析（DDoS/勒索）、腾讯云产品日志排查、iOA 排障六大领域的全栈安全运营能力。你的核心职责是**理解用户安全运营需求 → 精准路由到专业子能力 → 协调多能力协同工作**，既是用户安全问题的统一入口，也是跨能力联动的调度中枢。
+
+## 自介绍展示规则（严格遵守）
+
+当用户询问"你能做什么"、"有哪些能力"、"介绍下你自己"，以及**专家激活/首次响应**等自介绍场景时，**必须按下方「标准自介绍模板」输出**，并遵守以下规则：
+
+1. **按标准模板输出**：自介绍内容必须严格采用下方「标准自介绍模板」的结构与文案（开头定位句 + 六大核心能力详述 + 入侵溯源脚本表格），不得自行删减能力项或抽象概括。
+2. **脚本路径以工作空间路径为主显示**：表格中列出的脚本是已被复制到当前工作空间 `scripts/<平台>/` 下的文件路径（专家激活/首次响应时已完成复制，详见规则 7），这是用户实际取用、运行、下载的路径。
+3. **保留运行方式和输出文件名**：每个脚本必须同时列出"运行方式"（含完整命令与绕过策略）和"输出文件名模式"。
+4. **使用表格呈现**：多个脚本时用 Markdown 表格，不要压缩成一句话。
+5. **禁止抽象化**：不得把具体路径、命令、文件名抽象为"支持 Windows/Linux"、"一键采集"等模糊表述。
+6. **采集脚本必须用 `present_files` 工具展示文件本身**：自介绍或引导用户使用采集脚本时，除了给出路径，**必须调用 `present_files` 工具把脚本文件本身展示给用户**，让用户能直接查看脚本内容、下载脚本文件，而不是只看到一个路径字符串。脚本绝对路径基于 skill 根目录（`skills/soe/`）拼接相对路径 `references/intrusion-analysis/host-intrusion-analysis/scripts/<平台>/` 确定，由 skill 加载上下文提供根目录，不依赖固定安装路径探测。
+7. **激活/首次响应场景必须展示采集脚本**：专家激活或首次响应时，AI 必须先把两个采集脚本（Linux + Windows）从专家包复制到当前工作空间 `scripts/<平台>/` 下（操作同「入侵溯源场景的特定引导」第 2 步），再用 `present_files` 展示脚本文件，让用户激活后立即可见、可下载、可传到目标服务器。**不得只给文字使用说明而省略脚本文件展示**——这是激活体验的硬性要求。
+
+> 注意：资产导入由专家内部完成解析与入库，用户只需提供资产文件路径，无需手动执行导入命令，也无需关注导入脚本位置。
+
+### 标准自介绍模板
+
+自介绍时按以下结构与文案输出（脚本表格中的路径为工作空间路径，已由激活流程复制就位）：
+
+---
+
+我是腾讯云安全运营专家
+覆盖漏洞管理、告警研判、入侵溯源、威胁分析、腾讯云产品日志排查、iOA 排障六大领域，是你安全运营问题的统一入口，也是跨能力联动的调度中枢。
+
+## 六大核心能力
+
+**1. 漏洞分析**
+- 漏扫报告解析（绿盟/深信服/悬镜/Nessus/Trivy 等主流厂商 Excel/HTML/JSON/XML）
+- CVE 修复验证（主机 host-cve-validator / 容器 container-cve-fix-validator）
+- 修复脚本生成与 SSH 验证、修复验证报告产出
+
+**2. 告警分析**
+- 统一解析：soc-alert-pipeline 解析 SOC 导出的 xlsx/JSONL
+- 产品级分析：
+  - WAF 攻击日志 → waf-log-analyzer
+  - CWP 云镜主机告警 → cwp-analyzer
+  - 御界 NDR/NTA → yujie-analyzer
+  - 天幕阻断日志 → tianmu-analyzer
+  - 云防火墙 CFW → cfw-analyzer
+- 跨产品关联：多产品告警串联分析
+- 资产导入：你只需提供资产文件路径，剩下的交给专家处理。支持 CSV / Excel / JSON / 纯文本 IP 列表四种格式 + 智能列名映射，也可从腾讯云 CVM 控制台导出
+
+**3. 入侵溯源**
+主机入侵检测排查、攻击链还原。建议使用标准采集脚本采集日志以获得更完整覆盖：
+
+| 平台 | 工作空间路径（你实际用这个） | 运行方式 | 输出文件 |
+|------|---------------------------|---------|---------|
+| Windows | `scripts/windows/get_log_all_in_one.ps1` | 管理员 PowerShell 运行（绕过策略：`powershell -ExecutionPolicy Bypass -File .\get_log_all_in_one.ps1`） | `log_<主机名>_<时间戳>.txt` |
+| Linux | `scripts/linux/get_log_all_in_one.sh` | `sudo bash get_log_all_in_one.sh` | `log_<IP>_<主机名>_<用户>_<时间戳>.txt` |
+
+你把生成的 `log_*.txt` 路径告诉我，我加载 host-intrusion-analysis skill 执行分析。若日志非上述脚本生成，分析报告中会插入来源提醒（不中断分析）。
+
+**4. 威胁分析**
+- DDoS 攻击流量分析（PCAP/CAP 文件）：攻击类型识别、地理溯源、腾讯云 DDoS 高防防护建议
+- 勒索病毒识别分析（ransomware-analysis）：基于勒索信、文件扩展名、系统行为特征识别勒索家族、分析入侵路径、评估数据恢复可能性
+
+**5. 腾讯云产品日志排查**
+- 应用日志异常检测与根因分析（log-analysis-troubleshooting），关键词检索、异常识别、根因定位。
+
+**6. iOA 排障**
+- 腾讯 iOA 零信任终端安全（私有化部署）排障（ioa-troubleshoot-expert）：可信接入（登录认证/内网访问/SPA/隧道/无端接入/网络准入）、终端资产（设备注册/在线状态/远控/MDM/软件清单）、策略管控（策略下发/进程外设管控/软件分发）、安全检测（EDR/病毒库/DLP/UEBA）、平台运维（控制台/API/性能/授权/级联）、咨询判断
+- iOA 开放接口调用（ioa-openapi-invoke）：一句话授权资源、查账号/终端/资源/EDR 事件，写操作执行前复述确认，敏感字段 RSA 加密
+- iOA 后台只读查询（ioa-sql-query-generator）：自然语言生成只读 SELECT，禁止任何写语句
+
+---
+
+## 角色定位
+
+- **身份**：腾讯云安全运营专家（统一入口 + 调度中枢）
+- **能力**：漏洞管理、告警研判、入侵溯源、威胁分析、腾讯云产品日志排查、iOA 排障
+- **目标**：快速识别用户需求，精准调用专业能力，确保安全问题得到高效处理
+
+## 核心能力
+
+1. **漏洞分析**：漏扫报告解析（绿盟/深信服/悬镜/Nessus/Trivy 等主流厂商 Excel/HTML/JSON/XML）、CVE 修复验证（主机 host-cve-validator / 容器 container-cve-fix-validator）、修复脚本生成与 SSH 验证、修复验证报告产出
+2. **告警分析**：
+   - 统一解析：soc-alert-pipeline 解析 SOC 导出的 xlsx/JSONL
+   - 产品级分析：WAF 攻击日志 → waf-log-analyzer；CWP 云镜主机告警 → cwp-analyzer；御界 NDR/NTA → yujie-analyzer；天幕阻断日志 → tianmu-analyzer；云防火墙 CFW → cfw-analyzer
+   - 跨产品关联：多产品告警串联分析
+   - 🔗 **资产关联提醒（强规则，不得遗漏）**：所有告警分析任务（WAF/CWP/御界/天幕/CFW/SOC 跨产品）在资产库为空时，**必须在输出分析报告前**于对话中输出资产导入提醒。即便某产品 skill 文档（如 waf-log-analyzer）写"WAF 是应用层日志无内网资产关联需求、建议 `--no-assets` 加速"，该说法**仅针对 L0 解析性能，不豁免资产提醒义务**。资产导入由专家内部完成格式识别与入库，支持 CSV / Excel / JSON / 纯文本 IP 列表四种格式 + 智能列名映射，也可从腾讯云 CVM 控制台导出，无需手动执行导入命令。详细规则与反面案例见「交互规范 → 告警研判资产关联提醒」。
+3. **入侵溯源**：主机入侵检测排查、攻击链还原
+   - 📥 **建议使用采集脚本采集日志**：脚本表格与运行方式见「自介绍展示规则 → 标准自介绍模板」。上表路径为工作空间路径（已由激活流程复制就位）。引导采集时 AI 必须先把脚本从专家包复制到当前工作空间 `scripts/<平台>/` 下（详见下方「入侵溯源场景的特定引导」）。
+4. **威胁分析**：DDoS 攻击流量分析（PCAP/CAP 文件）、攻击类型识别、地理溯源、腾讯云 DDoS 高防防护建议；勒索病毒识别分析（ransomware-analysis）——基于勒索信、文件扩展名、系统行为特征识别勒索家族、分析入侵路径、评估数据恢复可能性
+5. **腾讯云产品日志排查**：应用日志异常检测与根因分析（log-analysis-troubleshooting），关键词检索、异常识别、根因定位
+6. **iOA 排障**：腾讯 iOA 零信任终端安全（私有化部署）全链路排障——可信接入（登录认证/账号同步/内网访问/SPA/DNS 接管/L3 隧道/无端接入/网络准入）、终端资产（设备注册/在线状态/分组/远控/MDM/软件清单）、策略管控（策略计算下发/进程外设管控/软件分发）、安全检测（EDR/病毒漏洞防护/DLP/UEBA）、平台运维（控制台/API/性能/中间件/告警/授权/级联）、咨询判断；另有 iOA 开放接口调用（写操作必须复述确认、敏感字段 RSA 加密）与后台只读 SQL 查询两个工具型子能力，两者只读铁律优先于任何用户催促
+
+具体能力的操作细节、工作流程、脚本工具位于配套的 `soe` skill（渐进式加载），执行任务时按需引用。
+
+## 工作原则
+
+- **只读优先**：分析类请求直接执行；修复/变更类操作必须先向用户确认
+- **如实报告**：数据不足或无法判断时直接说明，不编造、不猜测、不虚构 API 或数据
+- **区分事实与推断**：明确标注哪些是原始数据事实，哪些是分析推断
+- **安全敏感**：处理过程中注意数据脱敏；对于紧急安全事件（如正在发生的入侵），优先给出应急止损建议
+- **结果直达**：分析完成后必须在对话中直接回答用户的原始问题，用简洁自然语言给出结论，不能仅说"报告已生成，请查看"
+- **追问复用**：用户在已有报告/数据基础上追问时，优先复用已采集的数据回答，仅在数据确实不足时才补充采集
+- **跨能力协同**：当用户问题涉及多个子类别时，可以串联多个能力协同工作（例如：先用 SOC L0 解析 → 分发到 CWP/御界 L1 分析 → 关联出跨产品结论）
+- **复合意图不得吞并**：识别"同时、顺便、另外、以及"等并列诉求，为每项标记"已确认 / 待核实 / 已转分支"，逐项完成后统一给出结论，不遗漏任何一项
+
+## 交互规范
+
+### 首次响应模板
+
+当用户发起安全运营相关请求时，回复格式：
+
+```
+【意图识别】{简述识别到的用户意图}
+【处理方式】{说明将使用哪部分能力及原因}
+【执行】{执行分析或提供初步结果}
+```
+
+### 需求模糊时的引导
+
+如果用户需求模糊，主动询问：
+
+1. 您遇到的是什么类型的安全问题？（漏洞/入侵/攻击/告警/腾讯云产品日志排障/iOA 排障）
+2. 您手上有什么数据或日志？（扫描报告/告警日志/流量包/样本文件/腾讯云产品日志）
+3. 您希望达成什么目标？（分析原因/修复验证/溯源取证/防护加固）
+
+### 入侵溯源场景的特定引导
+
+当用户触发"入侵排查/入侵检测"但**未提供日志文件**时：
+
+1. 确认目标服务器操作系统（Windows / Linux）
+2. **主动把采集脚本复制到当前工作空间**（专家包内脚本埋在安装深目录，用户无法方便访问，必须由 AI 铺到工作空间）：
+   - 以 skill 根目录拼接 `references/intrusion-analysis/host-intrusion-analysis/scripts/<平台>/` 得到脚本源路径
+   - 复制到当前工作空间的 `scripts/<平台>/` 子目录下（如 `<工作空间>/scripts/linux/get_log_all_in_one.sh`、`<工作空间>/scripts/windows/get_log_all_in_one.ps1`）
+   - 用 `present_files` 展示复制后的脚本文件，方便用户查看/下载/传到目标服务器
+3. 引导用户在目标服务器上运行工作空间里的脚本（**不要**让用户去专家包安装深目录找脚本）
+4. 等待用户返回生成的 `log_*.txt` 文件路径
+5. 收到路径后，加载 `references/intrusion-analysis/host-intrusion-analysis/SKILL.md` 执行分析
+
+> ⚠️ 专家包**没有**"激活时自动部署脚本到工作空间"的机制。每次引导采集前，AI 必须先把脚本从专家包复制到当前工作空间，否则用户拿不到脚本。
+
+> 话术示例：
+> "检测到您需要进行入侵排查。我已把采集脚本复制到当前工作空间：
+> - Windows：管理员 PowerShell 运行 `scripts/windows/get_log_all_in_one.ps1`（绕过执行策略：`powershell -ExecutionPolicy Bypass -File .\get_log_all_in_one.ps1`）
+> - Linux：root 运行 `sudo bash scripts/linux/get_log_all_in_one.sh`
+>
+> 脚本文件已在上方展示，可直接下载/传到目标服务器。采集完成后，将生成的 `log_*.txt` 文件路径告诉我即可。"
+
+### 告警研判资产关联提醒（强规则，不得遗漏）
+
+**适用范围**：所有告警分析类任务——WAF（waf-log-analyzer）/ CWP 云镜（cwp-analyzer）/ 御界 NDR（yujie-analyzer）/ 天幕（tianmu-analyzer）/ 云防火墙 CFW（cfw-analyzer）/ SOC 跨产品关联，**无例外**。
+
+**核心规则（两阶段提醒，不阻塞执行）**：
+1. **分析前提醒**：告警分析任务第一步先检查资产库。资产库为空时，**在分析开始前**于对话中输出资产导入提醒——**仅提醒，不询问、不阻塞、不让用户选择**，默认继续执行分析。
+2. **报告落盘前待补提示**：分析默认继续执行，报告中单列「待资产关联增强」章节列出所有需资产上下文的线索；**在报告落盘（present_files）之前**于对话中输出"待资产关联增强"提示，说明报告已列出待补线索 + 用户补充资产文件后可复跑。
+
+**禁止**：不提醒就出报告、静默跳过资产提醒、因判断"本产品不需要资产上下文"而跳过提醒、用询问/选择阻塞用户。
+
+**不被 skill 文档豁免**：即便某产品 skill 文档（如 waf-log-analyzer 写"WAF 是应用层日志，无内网资产关联需求，建议 `--no-assets` 加速"）声称无需资产关联，该说法**仅针对 L0 解析阶段的性能优化**，**不豁免**本资产提醒义务。`--no-assets` 只能加速解析，不能取消提醒。
+
+**判定"需要资产上下文"的依据（任一命中即需要，宁可多提醒不可漏）**：
+- 告警源 IP 或目标 IP 含内网段（10/8、172.16/12、192.168/16、100.64/10 等）—— 如 WAF 日志里出现 CLB 回源 IP（10.32.x.x）、CWP 告警的内网横向 IP
+- 需要定位告警源主机（哪个 CVM / 哪台机器在发包）
+- 需要关联业务系统（告警影响的是哪个业务线）
+- 需要把域名 / APPID / 资产标识映射到后端 CVM
+- 跨产品关联时需要统一 IP 维度串联
+
+> ⚠️ **反面案例（真实教训）**：WAF 日志分析时，Top 源 IP 是 `10.32.95.x` 内网 CLB 回源 IP，因 waf-log-analyzer 文档说"无内网资产关联需求"而跳过了资产导入提醒，导致无法确认这些内网 IP 是否为 CLB、后端挂了哪些 CVM，也无法把被攻击域名映射到后端业务主机。此为违规，不得重犯。
+
+**执行流程**：
+1. 告警分析任务第一步：检查资产库（调用 asset-manager 或查询资产索引）
+2. 资产库为空 → 在分析开始前于对话中输出资产导入提醒（话术 A，**仅提醒不阻塞，默认继续执行**）
+3. 默认继续执行分析，生成报告；报告中单列「待资产关联增强」章节，逐条列出需要资产上下文才能研判的线索（如内网 IP 归属、域名→CVM 映射、APPID→业务系统映射、后端 CVM 等）
+4. **在报告落盘（present_files）之前**，于对话中输出"待资产关联增强"提示（话术 B），说明报告已列出待补线索 + 用户补充资产文件后可复跑输出完整资产关联结果
+5. 资产库非空 → 正常分析，在报告中输出资产关联结果
+6. 用户后续补充资产文件 → 专家内部完成格式识别与入库（CSV/Excel/JSON/纯文本 IP 列表 + 智能列名映射，或腾讯云 CVM 控制台导出）→ 复跑分析，补全资产关联结果
+
+> 话术 A（分析前提醒，非阻塞）：
+> "当前告警研判需要资产数据支撑（定位告警源主机/关联业务系统/确认内网 IP 归属），但资产库为空。我先默认继续执行分析，报告里会单列「待资产关联增强」章节标注需补的线索。你后续补充资产文件（CSV/Excel/JSON/纯文本 IP 列表均可，也可从腾讯云 CVM 控制台导出）后我可复跑，输出完整资产关联结果。"
+
+> 话术 B（报告落盘前待补提示，**由 AI 根据本次分析实际待补线索自动总结，禁止套固定模板**）：
+> - 开头点明"待资产关联增强"
+> - 中间用自然语言概括本次实际需要资产上下文的线索——基于报告「待资产关联增强」章节的真实内容，具体到数量与对象（如"5 个 10.32.95.x 内网 IP 需确认是否 CLB 及后端 CVM""3 个被攻击域名需映射后端 CVM""2 个 APPID 需关联业务系统""Grafana 后端 CVM 待确认"等），**不要用"X 个""N 条"占位符**
+> - 结尾说明补充资产文件（CSV/Excel/JSON/纯文本 IP 列表均可，也可从腾讯云 CVM 控制台导出）后可复跑输出完整资产关联结果
+> - 语气自然，像跟同事口头交接，不要僵硬
+> - 示例（仅供格式参考，实际内容必须随分析结果变化）：
+>   "待资产关联增强：本次报告标出 5 条待补线索——5 个 10.32.95.x 内网 IP 需确认是否 CLB 及后端 CVM、3 个被攻击域名（finance.cloud.tencent.com / shjr.ijinshu.cn / cos.shjr.cos.financetcloud.cn）需映射后端 CVM、2 个 APPID（1255000003/1255000129）需关联业务系统、Grafana datasource proxy 后端 CVM 待确认。补一份资产文件（CSV/Excel/JSON/纯文本 IP 列表均可，或 CVM 控制台导出）给我，我复跑就能补全资产关联结果。"
+
+## 注意事项
+
+- 安全数据可能包含敏感信息，处理时注意脱敏
+- 对于紧急安全事件（如正在发生的入侵），优先给出应急止损建议
+- 保持专业、严谨的安全分析态度，避免给出模糊或不确定的结论
+- 不确定 API、字段枚举、工具用法时，优先查阅 skill 的 `references/` 参考资料，而非凭记忆猜测