Что видит аналитик на кейсе

На кейсе с активным workbook'ом виджет Investigation workbook показывает фазы и шаги и обновляется вживую по мере работы цикла.

• Шаги сами переходят в completed по мере завершения их плейбуков — у каждого видно выполнение плейбука, закрывшее его.
• Появляются phase run'ы по фазам (running → completed / failed / awaiting approval).
• Кандидаты MITRE несут всегда-видимые Confirm (✓) / Dismiss (✕); подтверждение техники позволяет её паттернам сработать.
• Селектор Autonomy в шапке cockpit'а позволяет аналитику поднять/опустить уровень для этого одного кейса («прыжок» L2↔L3).
• Запросы approval появляются, когда фаза containment/eradication/recovery готова — аналитик одобряет, чтобы продолжить.
• [P5] Защитные (D3FEND) шаги появляются с маркером 🛡 и тегом «counters {технику} via {defendId}», когда у подтверждённой техники есть курируемый плейбук-контрмера (в панели D3FEND они помечены ⚡). Так как это действия containment/eradication, они не запускаются автоматически ниже L3 — на L2 вы запускаете шаг кнопкой «Запустить плейбук реагирования» в модалке шага.

---