Merge pull request #10 from AgentFlocks/docs/device-access-inspection

Update device access and inspection docs

Author: xiami762

docs/flocks_docs.md

@@ -36,8 +36,7 @@
 | 场景案例 | 告警研判 | [告警研判](md/scenarios.md) |
 | 场景案例 | 告警降噪 | [告警降噪](md/scenarios/alert-noise-reduction.md) |
 | 场景案例 | 主机巡检 | [主机巡检](md/scenarios.md) |
-| 场景案例 | 内网安全产品接入 | [内网安全产品接入](md/scenarios.md) |
-| 场景案例 | 浏览器自动化与网页登录 | [浏览器自动化与网页登录](md/scenarios.md) |
+| 场景案例 | 设备接入与巡检 | [设备接入与巡检](md/scenarios/device-inspection.md) |
 | 运维与排障 | 日志与结果查看 | [日志与结果查看](md/operations.md) |
 | 运维与排障 | 安装排查 | [安装排查](md/operations.md) |
 | 运维与排障 | 升级方式 | [升级方式](md/operations.md) |

docs/img/scenarios/device-inspection/connected-devices-query.png

@@ -47,7 +47,7 @@ features:
     linkText: 设备接入
   - icon: 🛡️
     title: 安全场景实践
-    details: 告警研判、主机巡检、内网安全产品接入、浏览器自动化等典型场景，均有可复用的最佳实践。
+    details: 告警研判、主机巡检、设备接入与巡检等典型场景，均有可复用的最佳实践。
     link: /md/scenarios
     linkText: 查看场景实践
 ---

docs/img/scenarios/device-inspection/device-inspection-result.png

@@ -121,4 +121,4 @@
 - [Skills 技能库](/md/modules/skills)：维护设备方法论和巡检规范。
 - [Workflow 工作流](/md/modules/workflow)：把设备操作固化为流程。
 - [任务中心](/md/modules/tasks)：配置周期设备巡检。
-- [场景实践 · 网安设备巡检](/md/scenarios/device-inspection)：设备巡检场景说明。
+- [场景实践 · 设备接入与巡检](/md/scenarios/device-inspection)：设备接入后的巡检场景说明。

docs/img/scenarios/device-inspection/device-inspector-agent-config.png

@@ -11,7 +11,7 @@
 | --- | --- |
 | 告警很多，不知道先处理哪条 | 告警研判、告警降噪 |
 | 想把告警处理变成持续运营 | 告警研判、任务中心 |
-| 我要接入内网安全设备 | 内网安全产品接入、工具清单 |
+| 我要接入内网安全设备并做巡检 | 设备接入与巡检、设备管理 |
 | 需要查 IOC / 域名 / IP 画像 | 威胁情报与 IOC 研判、内网 IP 资产画像 |
 | 发现主机可疑行为，需要取证 | 主机巡检 / 应急取证 |
 | 我想测绘/核查资产和暴露面 | 互联网资产测绘 |
@@ -47,19 +47,11 @@
 
 ---
 
-### [内网安全产品接入](/md/scenarios/network-integration)
+### [设备接入与巡检](/md/scenarios/device-inspection)
 
-将 TDP / NDR / HIDS / EDR / 情报源等系统接入 Flocks。推荐优先级为 API、日志推送、浏览器兜底。提供 API 文档后，Rex 可以辅助生成工具、验证调用链路并完成调试。
+先通过 [设备管理](/md/modules/devices) 接入 TDP / NDR / HIDS / EDR / 防火墙等安全设备，再由设备巡检 subagent 周期性读取健康状态、规则库、日志和性能指标，汇总成巡检报告并在异常时通知。
 
-> 典型输出：可复用的 API 工具 · MCP 接入 · Tools 目录沉淀
-
----
-
-### [浏览器自动化与网页登录](/md/scenarios/browser-automation)
-
-当设备没有 API 或 API 覆盖不足时，可由 Rex 打开网页、登录并提取页面数据。本机安装与 Docker 部署在交互式登录能力上存在差异；浏览器更适合作为接入桥梁，后续可将发现的后端接口固化为稳定 API 工具。
-
-> 典型输出：页面数据抓取 · 后端接口发现 · 从浏览器到 API 的沉淀路径
+> 典型输出：接入设备清单 · 巡检健康度表 · 异常摘要 · 通道通知
 
 ---
 

docs/index.md

@@ -1,8 +1,8 @@
-# 网安设备巡检
+# 设备接入与巡检
 
-网安设备巡检的核心问题是：企业中多类安全设备分布在不同网段、归属不同管理员，如何周期性确认它们在线、规则库有效、日志未中断且性能无异常。
+设备接入与巡检的核心问题是：先把企业中的 TDP、NDR、HIDS、EDR、防火墙等安全设备接入 Flocks，再周期性确认它们在线、规则库有效、日志未中断且性能无异常。
 
-Flocks 的做法是构建专门的设备巡检 Agent，对接各厂商管理 API，并通过定时任务周期性执行；发现异常后立即通过通道外发并保留记录。
+Flocks 的做法是用 [设备管理](/md/modules/devices) 维护设备清单、API / web2cli 能力和设备 Skill，再由设备巡检 subagent 执行只读巡检；发现异常后立即通过通道外发并保留记录。
 
 ## 场景简介
 
@@ -11,11 +11,25 @@ Flocks 的做法是构建专门的设备巡检 Agent，对接各厂商管理 API
 | 场景 | 对象 | 关心的问题 |
 | --- | --- | --- |
 | [主机巡检 / 应急取证](/md/scenarios/host-forensics) | 业务主机（Linux / 少量 Windows） | 有没有被攻陷？有没有挖矿 / webshell？ |
-| 网安设备巡检（本页） | 安全设备自身（NDR / HIDS 管理端 / 防火墙 / 情报源） | 设备是不是还活着？还能不能防？ |
+| 设备接入与巡检（本页） | 安全设备自身（NDR / HIDS 管理端 / 防火墙 / 情报源） | 设备有没有接入？是不是还活着？还能不能防？ |
 
 实际交付中，设备巡检是较容易落地的自动化场景之一。由于所有查询均为只读操作，不涉及上机命令和人工弹窗，因此适合做成常态化定时任务。
 
-## 输入与输出
+## 设备接入
+
+接入设备时优先参考 [设备管理](/md/modules/devices)。设备管理对应 WebUI 中的 **数据源与设备** 页面，负责维护设备基础信息、连接状态、API 能力、web2cli 动作和设备 Skill。
+
+![查看已接入设备](../../img/scenarios/device-inspection/connected-devices-query.png)
+
+典型接入路径：
+
+1. 在 **数据源与设备** 中选择设备类型，例如 TDP、NDR、HIDS、SIEM、防火墙或威胁情报源。
+2. 填写 endpoint、Token、AK/SK、Secret 或账号凭证。
+3. 执行连接测试，确认网络可达、凭证有效、字段可被工具或 Agent 消费。
+4. 按设备条件选择能力：API 完整时优先接 API；只有 Web 控制台时补充 web2cli；巡检方法稳定后沉淀设备 Skill。
+5. 绑定任务中心或 Workflow，让巡检流程能够周期运行。
+
+## 巡检输入与输出
 
 ### 典型输入
 
@@ -35,14 +49,22 @@ Flocks 的做法是构建专门的设备巡检 Agent，对接各厂商管理 API
 | 依赖项 | 要求 |
 | --- | --- |
 | 模型 | 默认模型即可；巡检逻辑本身不重推理，模型主要用于"结果总结 + 异常判断"——参考 [模型配置](/md/communication-models) |
-| 设备 API | 各安全设备的管理 API 已接入 Flocks Tools——参考 [内网安全产品接入](/md/scenarios/network-integration) |
+| 设备接入 | 安全设备已在 [设备管理](/md/modules/devices) 中完成接入，并具备 API、web2cli 或设备 Skill 能力 |
 | 通道 | 企微 / 钉钉 / 飞书任一通道已连通——参考 [通道配置](/md/communication-channels) |
 | 任务中心 | 用于驱动每小时定时执行——参考 [任务中心](/md/modules/tasks) |
 | 基线阈值 | 建议预先写入 Skill：在线 / 离线判定标准、规则库过期天数、性能阈值 |
 
+## 巡检原理
+
+设备巡检由专门的 subagent 执行。Rex 负责理解目标、选择设备巡检 subagent 并把设备清单、巡检项和输出要求交给它；subagent 在自己的执行循环里调用设备 API、web2cli、文件读写和通道工具，完成取数、判断、汇总和通知。
+
+![设备巡检智能体配置](../../img/scenarios/device-inspection/device-inspector-agent-config.png)
+
+这个拆分的好处是：Rex 保持统一入口，设备巡检 subagent 专注于设备健康检查，长期复用时只需要维护该 subagent 的工具权限、Prompt、巡检阈值和输出格式。
+
 ## 操作步骤（WebUI）
 
-### 步骤 1：准备设备清单与巡检项
+### 步骤 1：准备已接入设备清单与巡检项
 
 在 Workspace 或项目 Skill 里维护一份结构化清单，给巡检 Agent 当"输入"：
 
@@ -58,7 +80,7 @@ devices:
     checks: [online, rule_version, log_status, throughput]
 ```
 
-这份清单也可以存放在企业 CMDB 或资产管理平台中，由 Agent 先调用 API 拉取。
+这份清单也可以来自 [设备管理](/md/modules/devices)、企业 CMDB 或资产管理平台，由 Agent 先调用 API 拉取。
 
 ### 步骤 2：起一条会话，跑一次"手工巡检"验证
 
@@ -119,6 +141,13 @@ Rex 会在 [任务中心](/md/modules/tasks) 创建一条任务：
 | T+0:04 | 巡检台账写入，便于周度复盘 | 可用于 SLA 审计 |
 | T+1:00 | 下一轮自动触发，循环 | 7 × 24 运行 |
 
+一次 TDP + OneSec 设备巡检的案例结果通常会拆成两类报告：
+
+- **TDP Inspection**：输出机器数量、关键指标、功能状态、系统运行情况、组件状态、CPU 占用等，标出是否存在服务不可用或资源占用异常。
+- **OneSec Inspection**：输出接入设备数量、在线 / 离线状态、威胁行为、威胁事件清单、健康评估和数据采集说明，便于判断设备是否仍在持续产生日志和检测结果。
+
+![设备巡检案例结果](../../img/scenarios/device-inspection/device-inspection-result.png)
+
 ## 产出示例
 
 一份巡检快照（单轮）的典型结构：
@@ -176,12 +205,12 @@ Rex 会在 [任务中心](/md/modules/tasks) 创建一条任务：
 
 | 问题 | 处理 |
 | --- | --- |
-| 某厂商只给 Web 控制台，没有 API | 启用浏览器工具登录后台抓数据；发现稳定的后端接口后沉淀为 API 工具——参考 [浏览器自动化与网页登录](/md/scenarios/browser-automation) |
+| 某厂商只给 Web 控制台，没有 API | 在设备管理中补充 web2cli 动作，必要时启用浏览器工具登录后台抓数据；发现稳定的后端接口后再沉淀为 API 工具 |
 | 通道噪音大，每小时都在发 | 加静默策略：只在"新异常"或"持续异常超过 N 轮"时发 |
 | 设备太多，并发打爆接口 | 工具层加并发上限；或把清单拆两组交错执行 |
 | 规则库版本字段厂商不一 | 在每个设备的 Skill 里写一个"标准化适配器"，统一产出 `rule_version` / `rule_age_days` |
 | 想让 Agent 自动重启设备 | 不建议。Flocks 只做巡检 + 告警，重启类动作仍由运维侧人工执行 |
 
 ---
 
-相关：[场景总览](/md/scenarios) · [内网安全产品接入](/md/scenarios/network-integration) · [主机巡检 / 应急取证](/md/scenarios/host-forensics) · [任务中心](/md/modules/tasks) · [Skills 技能库](/md/modules/skills) · [通道配置](/md/communication-channels)
+相关：[场景总览](/md/scenarios) · [设备管理](/md/modules/devices) · [主机巡检 / 应急取证](/md/scenarios/host-forensics) · [任务中心](/md/modules/tasks) · [Skills 技能库](/md/modules/skills) · [通道配置](/md/communication-channels)

docs/md/modules/devices.md

@@ -140,15 +140,13 @@ export default defineConfig({
               ],
             },
             { text: '5.4 主机巡检 / 应急取证', link: '/md/scenarios/host-forensics' },
-            { text: '5.5 内网安全产品接入', link: '/md/scenarios/network-integration' },
-            { text: '5.6 浏览器自动化与网页登录', link: '/md/scenarios/browser-automation' },
-            { text: '5.7 威胁情报与 IOC 研判', link: '/md/scenarios/threat-intel' },
-            { text: '5.8 互联网资产测绘', link: '/md/scenarios/asset-discovery' },
-            { text: '5.9 跨设备深度调查', link: '/md/scenarios/cross-device-investigation' },
-            { text: '5.10 网安设备巡检', link: '/md/scenarios/device-inspection' },
-            { text: '5.11 内网 IP 资产画像', link: '/md/scenarios/ip-profiling' },
-            { text: '5.12 漏洞资产排查', link: '/md/scenarios/vuln-asset-matching' },
-            { text: '5.13 漏洞验证复现', link: '/md/scenarios/vuln-verification' },
+            { text: '5.5 设备接入与巡检', link: '/md/scenarios/device-inspection' },
+            { text: '5.6 威胁情报与 IOC 研判', link: '/md/scenarios/threat-intel' },
+            { text: '5.7 互联网资产测绘', link: '/md/scenarios/asset-discovery' },
+            { text: '5.8 跨设备深度调查', link: '/md/scenarios/cross-device-investigation' },
+            { text: '5.9 内网 IP 资产画像', link: '/md/scenarios/ip-profiling' },
+            { text: '5.10 漏洞资产排查', link: '/md/scenarios/vuln-asset-matching' },
+            { text: '5.11 漏洞验证复现', link: '/md/scenarios/vuln-verification' },
           ],
         },
         {