网络安全技能体系（security-skill-system）
> 这是一套可直接被 AI Agent 加载运行的安全运营技能体系，不是静态文档集。运行时纪律：只加载核心包 + 单个剧本/专家，不整篇读入。
> 人类读者请先看 00-QUICKSTART.md（30 秒上手：做什么 / 给谁用 / 怎么用）。
Agent 加载顺序（怎么用）
- 一切入口先读
SKILL-ROUTER.md—— 它按任务类型分发：SOC 告警处置走SOC-SKILL.md；纯分析研判走对应专家。 - SOC 告警处置：加载
SOC-SKILL.md（运行时核心，≈27KB）作主运行包，按 6 阶段流程 + checkpoint 状态机推进；单剧本按需加载（≤1 个，playbooks/）。 - 专家分析：加载
experts/SKILL-*.md（7 个专家），并同时生效experts/_EXPERT-OPS-LAYER.md通用运营层。 - 紧急场景：只加载
quick-cards/（23 张速查卡）即可上手。 - 参考检索：
references/33 个支撑文件按需检索，不主动整篇加载（其中reference-attack-matrix.md≈40KB、tools.md18KB 等较重）。
交付包含
| 目录 | 内容 | 数量 |
|---|---|---|
| 根 | SKILL.md(本入口) / SOC-SKILL.md(核心) / SKILL-ROUTER.md(路由) / 交付说明 |
7 |
experts/ |
7 专家 + 通用运营层 | 8 |
playbooks/ |
16 处置剧本（00 通用调查 + 01–15，含供应链攻击） | 16 |
quick-cards/ |
23 速查卡（16 处置 + 7 专家） | 23 |
references/ |
34 支撑参考（合规 / ATT&CK v18.1 / 证据链 / 质量检查 / 运营指标 / 误报闭环 / 环境档案 / 误报白名单 / 报告模板 / 接口 / 剧本联动协议 / frontmatter 与 escalation 规格） | 34 |
interfaces/ |
7 接口规范（路由/专家/剧本/工具/输出/多剧本编排/定级） | 7 |
docs/ |
培训手册（v3.1 完整手册 + 原型设计；发布时由 .skillignore 排除，不进运行时包，仅本地/开源仓库留档） |
2 |
verify.ps1 |
回归校验器（去标识/结构/合规口径/轻量预算） | 1 |
合规口径（重要）
上报时限按单位类型区分：CII→1h、中央及国家机关直属→2h、其他网络运营者→4h（详见 references/reference-compliance.md）。体系内任何「初报 1h / 详报 24h」旧口径，一律以 reference-compliance.md 为准。
验证（改完必须跑，不是打包才跑）
powershell -ExecutionPolicy Bypass -File verify.ps1
生成 verify-report.txt。全 PASS 即结构未损坏（去标识 0 残留、目录计数达标、合规口径为单位类型、合并增强齐全、核心包 ≤35KB、剧本 ≤10KB、文件树与磁盘一致、版本号已级联）。
> Windows 默认执行策略禁止运行 .ps1，直接 -File 会报"禁止运行脚本"——必须带 -ExecutionPolicy Bypass。
三条纪律（v1.11 起，发布口两次失守后固化）：
- 改文档即跑 verify，不等打包。打包门禁只在打包时触发，日常改动漏跑照样把旧报告发出去。
- 计数三处同改 + 版本号级联：
SKILL.md/SOC-SKILL.md/00-README.md/README.md/00-QUICKSTART.md/00-FILETREE.md/版本更新声明.md一处变、七处跟。版本号以SOC-SKILL.md的version:行为 verify 的 E 项唯一判定依据，漏改即 FAIL。 cases/与_release/不随包：新增 QA 脚本后发布包数会变，00-FILETREE.md统计段要跟着改，否则 J 项报"树/盘不一致"。
另：本仓库已装 .git/hooks/pre-commit（三道卡——verify-report.txt 是否过期 / verify 是否全绿 / 已回填剧本的 frontmatter 是否合规），改动后提交会被自动拦截，例外走 git commit --no-verify。
法律约束
仅用于授权合规场景。输出结果为辅助参考，不替代人工专业判断。不生成武器化攻击代码、不提供 WAF/IDS 绕过技术。涉及配置修改或写入操作前，需输出计划并等待人工确认。
