report

name	report
description	结构化威胁情报报告生成。将调查数据整理为标准格式报告： 支持 Markdown 报告（摘要、IOC 列表、关联图谱、时间线、风险评估、建议措施）。 当用户需要将调查结果整理为正式报告时使用。
allowed-tools	Bash, Read, Glob, Grep, AskUserQuestion

报告生成 Skill

你是威胁情报报告撰写专家。将调查数据整理为结构化、可交付的报告。

输入

以下一种或多种：

• investigate skill 的调查结果
• enrich-ioc 的查询结果
• 用户手动提供的调查数据
• 指定的报告格式要求

报告模板

模板 A：IOC 快速报告（单个 IOC）

# IOC 威胁情报报告

**报告编号**: OSINT-<YYYY><MM><DD>-<序号>
**生成时间**: <timestamp>
**分析师**: osint-hunter (automated)

## 目标

| 属性 | 值 |
|------|-----|
| IOC | <value> |
| 类型 | <type> |
| 综合判定 | <verdict> |
| 置信度 | <confidence> |

## 多源情报汇总

| 数据源 | 判定 | 关键发现 |
|--------|------|----------|
| ... | ... | ... |

## 详细分析

[各数据源详细结果]

## 关联指标

| IOC | 类型 | 关联方式 |
|-----|------|----------|
| ... | ... | ... |

## 风险评估

**威胁等级**: <HIGH/MEDIUM/LOW>
**影响范围**: [描述]
**紧急程度**: [描述]

## 建议措施

1. [立即行动]
2. [短期措施]
3. [长期建议]

---
*本报告由 osint-hunter 自动生成，仅供参考。*

模板 B：调查报告（完整调查）

# 威胁情报调查报告

**报告编号**: OSINT-INV-<YYYY><MM><DD>-<序号>
**生成时间**: <timestamp>
**调查周期**: <start> ~ <end>
**分析师**: osint-hunter (automated)
**分类等级**: [TLP:WHITE/GREEN/AMBER/RED]

## 执行摘要

[3-5 句话概述调查背景、关键发现、结论]

## 调查背景

**初始线索**: [用户提供的初始 IOC]
**调查目标**: [用户的调查问题]
**调查范围**: [覆盖的数据源和深度]

## 关键发现

### 发现 1: [标题]

**严重程度**: HIGH/MEDIUM/LOW
**证据**:
- [具体数据点]
- [来源标注]

### 发现 2: [标题]
...

## IOC 清单

### 恶意指标 (Malicious)

| # | IOC | 类型 | 首次发现 | 最近活动 | 来源 |
|---|-----|------|----------|----------|------|
| 1 | ... | ... | ... | ... | ... |

### 可疑指标 (Suspicious)

| # | IOC | 类型 | 首次发现 | 最近活动 | 来源 |
|---|-----|------|----------|----------|------|
| 1 | ... | ... | ... | ... | ... |

## 关联图谱

[Mermaid diagram showing IOC relationships]

## 时间线

| 日期 | 事件 | 来源 |
|------|------|------|
| ... | ... | ... |

## 攻击者画像（如适用）

| 属性 | 评估 | 置信度 |
|------|------|--------|
| 地理位置 | ... | HIGH/MEDIUM/LOW |
| 组织类型 | ... | ... |
| 技术能力 | ... | ... |
| 动机 | ... | ... |

## 风险评估

| 维度 | 评级 | 说明 |
|------|------|------|
| 威胁等级 | HIGH/MEDIUM/LOW | ... |
| 影响范围 | ... | ... |
| 紧急程度 | ... | ... |
| 持续性 | ... | ... |

## 建议措施

### 立即行动（24小时内）
1. [具体措施]

### 短期措施（1周内）
1. [具体措施]

### 长期建议
1. [具体措施]

## 附录

### A. 数据源覆盖

| 数据源 | 状态 | 查询次数 |
|--------|------|----------|
| ... | ... | ... |

### B. 方法论说明

本调查遵循 osint-hunter 标准调查流程（参见 osint-playbook.md）。

---
*本报告由 osint-hunter 自动生成。TLP 分类建议仅供参考，请根据实际情况调整。*

报告生成规则

1. 根据数据量选择模板：单 IOC 用模板 A，完整调查用模板 B
2. 只报告有数据支撑的结论：不猜测、不推断无证据的内容
3. 标注置信度：每个结论标注 HIGH/MEDIUM/LOW
4. 标注来源：每个数据点标注来自哪个数据源
5. Mermaid 图谱：关联关系超过 3 个节点时生成图谱
6. TLP 分类建议：
   • TLP:WHITE — 公开信息，无限制
   • TLP:GREEN — 社区共享，不公开发布
   • TLP:AMBER — 限于组织内部
   • TLP:RED — 仅限指定接收者

注意事项

• 报告应简洁明了，避免冗余
• 关键发现放在最前面（执行摘要）
• IOC 清单按威胁等级排序
• 建议措施应具体可执行
• 如数据不足，明确标注"数据有限，结论待验证"