dt-sec-contextualization

安全上下文关联技能

将安全信号和实体属性集解析为运行时 Dynatrace Smartscape 实体，汇总不同实体层级的发现，并关联落在不同层级的 信号（例如，针对 K8S_POD 的检测与针对 KUBERNETES_NODE 的 CVE），方法是通过共享的运行时实体建立联系。

此技能涵盖的内容

• 身份 → Smartscape 映射 — 给定一行包含以下任意字段的数据： dt.smartscape_source.id、container_image.digest、container_image.id、 host.ip、dt.entity.* 或 k8s.*，将其解析为任意指定层级的 Smartscape 实体（CONTAINER / K8S_POD / workload / K8S_NODE / HOST / cloud / GENAI_SERVICE — AI/GenAI 工作负载）。
• 制品 → 运行时桥接 — container_image.digest → smartscapeNodes CONTAINER → is_part_of.* → 父级工作负载，或通过 runs_on.host → HOST。无需预先填充 dt.smartscape_source.id 即可使用。
• 跨层级关联 — 通过分层实体匹配，判断两个发现（例如，来自不同路径的检测和 CVE）是否通过共享的运行时实体相关联。第 1 层：实体 ID 完全匹配；第 2 层：工作负载/Pod/主机名称相同；第 3 层：命名空间/集群相同（仅作上下文参考，不参与评分）。
• Pod → 节点拓扑 — 通过 k8s.node.name（共同投影字段）或 Smartscape 边遍历，将 K8S_POD 解析为对应的 K8S_NODE。用于判断“检测命中 Pod X——该 Pod 是否运行在存在漏洞的节点上？”
• 覆盖匹配方案 — dt-sec-insights 覆盖率统计查询共享的 2 路和 3 路容器→工作负载匹配模式。
• 实体丰富 — 给定发现、IoC 匹配结果或原始 Smartscape 节点，生成按实体划分的风险级别细目和实体键集合，供下游评分使用。
• IoC 丰富 — 通过反向查询已摄取的 THREAT_REPORT 事件（其可观测对象数组中包含该 IoC），为已匹配的 IoC（IP / 域名 / URL / 邮箱 / CVE / 哈希 / MITRE TTP）补充对手方上下文（攻击者、恶意软件家族、MITRE 技术、目标、提供方）。

何时使用此技能

意图 / 触发条件	参考文档
将发现 / IoC 匹配结果映射到工作负载、主机或云实体	identity-mapping.md -> entity-enrichment.md
此容器镜像 / 摘要对应哪个 Smartscape 实体？	identity-mapping.md § Mapping Primitive（Path 2 - container digest）
此检测和此 CVE 是否通过共享实体相关联？	correlation-and-coverage.md § Correlation
Pod X 触发了检测——它是否运行在存在漏洞的节点上？	correlation-and-coverage.md § Correlation（Pod->Node Topology）
按实体汇总风险（Critical/High/Medium/Low）	entity-enrichment.md
覆盖匹配方案——产品 Y 覆盖了哪些工作负载？	correlation-and-coverage.md § Coverage
哪些实体身份字段与某种发现类型相关？	identity-mapping.md § Data Model
为已匹配的 IoC（IP/domain/hash/CVE/...）补充威胁报告中的对手方上下文	ioc-enrichment.md
将发现限定到 AI/GenAI 工作负载；确定哪些进程属于某项 AI 服务；将进程解析为其所属的 AI 服务	identity-mapping.md § Mapping Primitive（Path 4 - GENAI_SERVICE -> SERVICE -> PROCESS）

此技能的组织结构

1. SKILL.md（本文件）——入口和路由。
2. references/
   • identity-mapping.md —— 通用的身份到 Smartscape 解析器（映射原语 Paths 1/2/3/4）、预检标识符检查、级别选择和实体身份字段指南。
   • entity-enrichment.md —— 映射原语的使用场景：云（Path 1）、K8s 工作负载（三路匹配）、按 IP 查找主机、按实体查找主机、自然语言回退、问题→实体→发现链路。按实体划分的风险级别明细（Critical/High/Medium/Low）。
   • correlation-and-coverage.md —— 跨级别实体收敛、Pod→节点拓扑解析、评分约定，以及与 dt-sec-insights 共用的双路/三路覆盖匹配方案。
   • ioc-enrichment.md —— IoC 反向查找增强：将匹配到的 IoC 归因于已摄取的 THREAT_REPORT 事件，并呈现对手背景信息（行为者 / 恶意软件 / MITRE / 目标）。提供单个和批量（按 IoC）模板，以及受支持的 IoC 分类。

通用最佳实践

1. 始终先加载 dt-dql-essentials —— DQL 语法和函数名称与 SQL 不同。生成查询前，请确认所有函数。
2. 每个查询都以具名模板为依据 —— 不要自行编写 Smartscape 联接。三路匹配、digest→CONTAINER→工作负载，以及 Pod→节点遍历模式都很精确；偏离这些模式会导致结果静默为空。
3. 执行完整三路增强前，先运行预检 —— 外部提供方差异很大。运行开销较大的 append 链之前，请确认至少有一条标识符路径已填充。
4. 信任 Path 1 前，先检查 dt.smartscape_source.type —— dt.smartscape_source.id 非空并不能证明已解析到工作负载级别；该字段可能指向命名空间、集群或云资源。只有 K8s 工作负载类型（K8S_DEPLOYMENT、K8S_DAEMONSET、K8S_STATEFULSET、K8S_CRONJOB、K8S_JOB、K8S_REPLICASET）才符合通过 Path 1 增强工作负载的条件。
5. 尽早去重，并在 append 后再次去重 —— 联接前先去重，以合并重新摄取的重复项；由于同一发现可能匹配多条路径，因此还要在 append 后再次去重。
6. 第 3 层关联仅作背景信息 —— 两条发现共享同一命名空间/集群，不会提高暴露评分。绝不要将集群级共享属性视为实体级关联的证据。
7. 将拓扑查询交由 dt-obs-kubernetes 处理 —— Pod→节点放置和 Smartscape 边遍历模式位于 dt-obs-kubernetes/references/pod-node-placement.md。不要在此处重新编写；请引用这些模式，并在 correlation-and-coverage.md 中应用其输出。
8. 不要使用 dt.system.bucket 筛选条件 —— 安全事件数据可能位于任意存储桶中；按存储桶筛选可能会隐藏发现。
9. 此处唯一允许查询 security.events 的 THREAT_REPORT 用法是反向查找。 ioc-enrichment.md 会将匹配到的 IoC 归因于报告（IoC → 报告）。宽泛的 THREAT_REPORT 概览、IOC 汇总以及报告→环境关联应保留在 dt-sec-insights（threat-intelligence.md）中。绝不要在此处编写发现/态势查询。

相关技能

技能	作用
dt-dql-essentials	首先加载。 核心 DQL 语法、函数和 Smartscape 模式。
dt-sec-insights	映射原语的使用方；负责发现项架构查询和覆盖率计数逻辑。在 threat-intelligence.md 中负责正向威胁情报（报告 → 环境关联、概览、IOC 汇总）；本技能仅负责反向 IoC → 报告补充信息（ioc-enrichment.md）。
dt-sec-ioc-hunting	将跨证据关联和实体补充信息工作路由到本技能。
dt-obs-kubernetes	Pod → 节点拓扑；K8s 实体放置模式。
dt-obs-hosts	主机清单；为 HOST/PROCESS_GROUP 发现项提供进程级上下文。
dt-obs-aws / dt-obs-azure / dt-obs-gcp	用于云实体补充信息的云 Smartscape 拓扑。