菜单
腾讯主机安全 (CWP/云镜) 告警 L1 分析 skill 消费 L0 适配层 (soc-alert-pipeline) 输出的 parsed 字段, 基于主机安全威胁场景知识库, 产出: - 威胁判定 (TTP / ATT&CK 映射) - 处置建议 - 标准化案例文档 适用场景: - 单条主机安全事件的深度分析 - 批量分析 (L0 JSONL → L1 cases/*.md) - 联调: 主机安全 ↔ 御界 (L2 消费 L1 输出) 不适用: - raw_log 解析 (用 soc-alert-pipeline) - 跨产品关联 (用 L2, 暂未实现)
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/infometa/workbuddyskills --skill cwp-analyzer命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
快速生成公司一页纸概览（Tearsheet），涵盖业务描述、关键财务、估值、股东结构和近期催化。 触发词：公司速览、tearsheet、公司概况、一页纸、公司简介、company overview、快速了解、公司画像
构建DCF现金流折现模型和三表财务模型（利润表、资产负债表、现金流量表联动）。 触发词：DCF、现金流折现、财务建模、三表模型、估值模型、WACC、自由现金流、financial model、valuation model
盈利分析技能，支持两种模式： - Preview 模式：业绩发布前的前瞻分析、情景假设、关键观测指标 - Analysis 模式：业绩发布后的深度解读、Beat/Miss 分析、估计修正 触发词：earnings analysis、earnings preview、业绩分析、业绩前瞻、财报分析、季报解读、pre-earnings、post-earnings、Q1/Q2/Q3/Q4 results
基于 SOC 职业分类
正在显示 SKILL.md
| name | cwp-analyzer |
| version | 1.0.0 |
| triggers | ["CWP","云镜","主机安全告警","暴力破解","反弹Shell","CWPP"] |
| description | 腾讯主机安全 (CWP/云镜) 告警 L1 分析 skill 消费 L0 适配层 (soc-alert-pipeline) 输出的 parsed 字段, 基于主机安全威胁场景知识库, 产出: - 威胁判定 (TTP / ATT&CK 映射) - 处置建议 - 标准化案例文档 适用场景: - 单条主机安全事件的深度分析 - 批量分析 (L0 JSONL → L1 cases/*.md) - 联调: 主机安全 ↔ 御界 (L2 消费 L1 输出) 不适用: - raw_log 解析 (用 soc-alert-pipeline) - 跨产品关联 (用 L2, 暂未实现) |
这是 L1 产品分析 skill, 在 L0 适配层之上:
SOC 导出 xlsx
↓
soc-alert-pipeline (L0) → parsed dict
↓
cwp-analyzer (L1, 本 skill) → 案例文档 + 威胁判定
↓
L2 关联 (soc-correlation, 暂未实现)
| 场景 | TTP | 关键信号 | detector |
|---|---|---|---|
| 暴力破解 | T1110 | 同 src_ip 多次 count 累加 / 状态码特征 | ttp_detectors/brute_force.py |
| 反弹 Shell | T1059.004 | cmd 含 /dev/tcp / bash -i / nc -e | ttp_detectors/reverse_shell.py |
| 持久化 | T1543 / T1546 | crontab / systemd / ssh authorized_keys | ttp_detectors/persistence.py |
| 横向移动 | T1021 / T1570 | ssh/smb 跨主机异常 / 端口扫描 | ttp_detectors/lateral_movement.py |
详见 references/threat-catalog.md。
# 1. 先用 L0 跑一遍 (确保 parsed 字段可用)
python3 ../soc-alert-pipeline/scripts/l0_parse.py \
<xlsx_path> --out /tmp/cwp_l0.jsonl
# 2. 用 L1 分析 (单条 / 批量)
python3 scripts/l1_cwp_analyze.py /tmp/cwp_l0.jsonl --out cases/
# 3. 产出: cases/ 目录下一堆 {event_id}.md
ls cases/
详见 references/case_template.md, 包含:
L0 → L1 输入 (parsed dict):
{
"src_ip", "dst_ip", "src_port", "dst_port", "protocol",
"host_ip", "hostname",
"process", "process_path", "cmd", "user",
"rule_id", "rule_name", "status", "category",
"event_time", "event_time_raw",
"_raw_kv": { ... } # 完整 kv 兜底
}
L1 → L2 输出: 每个案例文档, 含 correlation_hints 段, 供 L2 关联键:
threat:
correlation_hints:
pivot_keys: ["host_ip", "src_ip"]
time_window_min: 60
status 字段值映射:
type 字段值映射:
count 字段语义:
主机安全产品代号:
| 日期 | 变更 | 原因 |
|---|---|---|
| 2026-07-06 | 初版 | L0 跑通后建 L1 |
| TODO | 接入 status / type 码表 | 等用户提供腾讯云镜官方文档 |