القائمة
指导 Flocks 新建、添加和接入安全设备。Use when the user asks to create, add, onboard, or connect a new security device.
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
استنادا إلى تصنيف SOC المهني
用于处理深信服 EDR（终端检测与响应）相关任务，通过浏览器（CDP 直连）进行以下任务：终端状态查询、终端概况统计、失陷设备排查、设备运行状态查看等。只要用户提到 深信服 EDR、EDR、sangfor EDR 等需求时，必须先加载本 skill。本 skill 是 EDR 平台操作的唯一决策入口：在未阅读本 skill 前，不要直接使用 browser-use skill。
使用天眼 SkyEye Sensor 传感器侧精简 CLI 查询告警列表和告警统计。适用于用户提到"SkyEye Sensor""天眼流量传感器告警"场景。
配置现有 Flocks 工作流的发布、集成、触发器和发布配置模板；本 skill 只定义交互协议，具体配置问题必须来自工作流目录内的 guide.md
根据自然语言描述生成 flocks 内置工作流（workflow.md, workflow.json）。当用户提出创建/设计/生成/搭建工作流或任何多步骤流程（如告警调查、事件响应、SOP/Runbook 自动化）时使用本 skill。
用于处理 SkyEye/天眼/网神分析平台相关任务，适合通过API或者结合浏览器进行以下任务：告警列表查询、威胁级别筛选、攻击阶段分析、攻击结果排查、看板统计查看、趋势分析、系统状态查看、告警报告导出、PCAP 下载和样本文件获取等场景。只要用户提到 SkyEye、天眼、网神分析平台的相关操作时，必须先加载本 skill。本 skill 是 天眼 平台操作的唯一决策入口：在未阅读本 skill 并完成模式判断前，不要直接调用任何 `skyeye_*` tool。
使用统一的 Web2CLI 流程捕获网站的 XHR/Fetch 请求，并生成可复用的 CLI、Markdown 文档。通过浏览器的 `cdp-direct` 模式复用用户 Chromium 系浏览器登录态与 CDP 能力。适用于复现登录后操作、沉淀接口调用样例，或基于页面操作生成自动化工具时。
| name | device-integration-guide |
| description | 指导 Flocks 新建、添加和接入安全设备。Use when the user asks to create, add, onboard, or connect a new security device. |
用于处理 Flocks 设备接入相关对话。目标是把用户带到正确路径：设备创建、配置写入和敏感凭证走设备接入页面。
当用户提到以下意图时使用本 skill：
device_id：device_manage(action="connectivity_test")。如果用户没有给出 device_id，先调用：
device_manage(action="list")
从返回结果里确认目标设备、机房、工具集和 device_id。
如果设备不存在，提醒用户前往「设备接入」页面添加设备；不要伪造 device_id 或直接调用业务工具。
用户在设备接入页面创建或配置设备时，目标是帮助页面得到清晰的表单信息。
需要收集的信息：
storage_key。verify_ssl=true/false。当信息足够，并且当前任务是在设备接入页面生成配置草稿时，在回复末尾输出 JSON 代码块供页面一键回填：
{"storage_key":"<storage_key>","device_name":"<设备名称>","fields":{"base_url":"https://example.local"},"verify_ssl":false}
JSON 草稿规则：
没有合适已安装模板时，按用户描述选择路径：
tool-builder，目标是设备插件，不是普通 API 服务。web2cli，生成可维护的设备能力。如果用户已经明确选择 API、浏览器或 Workflow，不要重复询问接入方式。只有无法判断时，才用一句话澄清。
如果用户要写入或更新设备配置，应根据当前页面上下文整理表单草稿，让设备接入页面负责落库。
可以整理的非敏感字段包括：
base_urlhostportschemetimeouttenantregion不要在 JSON 草稿或聊天中写入敏感字段：
api_keysecretpasswordtokencookieauth_state如果用户的目标是补填密钥、修改密码、刷新 Token 或重新登录，只说明应该在设备接入页面对应字段中处理。
当需要给页面回填时，使用“新建设备与页面回填”中的 JSON 草稿格式。对于已有设备编辑，也只输出非敏感字段和 verify_ssl，并说明敏感字段在页面表单内填写。
配置在设备接入页面保存后，除非用户明确不需要，继续调用：
device_manage(action="connectivity_test", device_id="<device_id>")
连通性测试成功后，再选择少量只读、低风险的设备工具做基础冒烟验证。必须继续使用同一个 device_id。不要为了验证而执行写操作或高风险操作。
完成后汇报：
device_id。连通性或冒烟失败时，按最小排查顺序给建议：
verify_ssl 是否与设备证书状态匹配。device_manage(action="connectivity_test") 就声称设备已可用。