# security-case-management

Управляет инцидентами в Elastic Security через Kibana Cases API. Скилл создаёт кейсы, ищет связанные алерты и добавляет заметки расследования прямо в чате агента.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 4100 установок · ★ 601
- Автор: elastic
- Лицензия: Apache-2.0 · policy=mirror · начало файла — в конце страницы
- Исходник: https://github.com/elastic/agent-skills/tree/HEAD/skills/security/case-management/SKILL.md
- Обновлён: 2026-10-23
- HTML: https://affpapa.org/nevibecode/skills/security-case-management

## Что делает

Скилл вызывает Kibana Cases API через скрипт `skills/security/case-management/scripts/case-manager.js` и возвращает ответы в формате JSON. Через него агент заводит кейсы расследований, прикрепляет к ним алерты безопасности, обновляет статус или серьёзность и оставляет комментарии аналитика. Для пакетной привязки алертов предусмотрена команда `attach-alerts` с паузой в 2 секунды между вызовами и повтором при лимитах API.

Для работы нужен Node.js 22+ и доступ к инстансу Kibana по сети. В окружении или файле `.env` задают `KIBANA_URL`, а также `KIBANA_API_KEY` либо пару `KIBANA_USERNAME` и `KIBANA_PASSWORD`. Зависимости ставят вручную командой `cd skills/security && npm install`.

Этот инструмент жёстко привязан к значению `owner: securitySolution`, поэтому для кейсов Observability или Elasticsearch он не подходит. Для автоматических операций создания и обновления обязательно передавать флаг `--yes`, иначе скрипт ждёт подтверждения от пользователя.

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add elastic/agent-skills --skill security-case-management -a claude-code
```
```bash
npx skills add elastic/agent-skills --skill case-management -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/case-management/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/case-management/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add elastic/agent-skills --skill case-management -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/case-management/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add elastic/agent-skills --skill case-management -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/case-management/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install elastic/agent-skills case-management
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/case-management/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add elastic/agent-skills --skill case-management -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/elastic/agent-skills --path skills/security/case-management
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/case-management/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add elastic/agent-skills --skill case-management -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/elastic/agent-skills/tree/HEAD/skills/security/case-management/SKILL.md

## Когда брать
- создавать кейсы расследований в Elastic Security с тегами и уровнем важности
- прикреплять отдельные алерты или пачки событий к инциденту через Kibana API
- искать открытые кейсы по имени хоста или идентификатору агента
- добавлять комментарии расследования и менять статус инцидента

## Примеры запросов агенту
- Найди открытые кейсы по хосту win-srv-01 и выведи их список
- Создай критический кейс по атаке DLL sideloading с тегом classification:malicious
- Привяжи алерты к инциденту и добавь комментарий по анализу процессов

## Похожие
- [incident-response](https://affpapa.org/nevibecode/skills/incident-response.md) — скилл · 634 установки
- [soc-operations](https://affpapa.org/nevibecode/skills/soc-operations.md) — скилл · 320 установок
- [test-case-management](https://affpapa.org/nevibecode/skills/test-case-management.md) — скилл · 1100 установок
- [incident-management](https://affpapa.org/nevibecode/skills/incident-management.md) — скилл · 339 установок
- [Security Monitoring](https://affpapa.org/nevibecode/skills/security-monitoring.md) — скилл · 4600 установок
- [security-comms](https://affpapa.org/nevibecode/skills/security-comms.md) — скилл · 328 установок

Из того же набора: [elastic/agent-skills](https://affpapa.org/nevibecode/by/elastic/agent-skills.md) — 25 карточек

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md