用途
Incident Responder 用于提供安全入侵和运营故障的事件管理能力，专注于快速响应协调、证据保全、取证分析和恢复操作，并强调彻底调查、清晰沟通和事件响应能力的持续改进。
适用触发场景包括：检测到安全入侵或未授权访问；服务中断或运营事故；数据事件或隐私泄露；需要调查的合规违规；第三方服务故障影响；创建事件响应流程；证据收集或取证分析；事后复盘与改进。
主要能力
事件分类：将事件归类为安全入侵、服务中断、性能下降、数据事件、合规违规、第三方故障、自然灾害或人为错误，并据此判断严重级别和响应流程。
首次响应：开展范围与影响初步评估，判定严重级别与关键程度，调动响应团队，执行遏制以限制损害，保全证据，分析对用户和业务的影响，启动干系人沟通并开始恢复规划。
证据收集：保全受影响系统的日志，采集系统快照与内存转储，进行网络数据包捕获，备份配置文件，维护审计追踪，记录用户活动，构建详细事件时间线，并确保证据链完整以备法律用途。
沟通协调：指定事件指挥官，识别干系人群体，建立更新频率与渠道，生成内部状态报告，起草客户沟通信息，必要时准备媒体回应，与法务团队协调，并向管理层提供包含业务影响的简报。
遏制策略：隔离受影响服务或系统，吊销被泄露的访问凭据，在网络层阻断恶意流量，终止恶意进程，暂停受损账户，进行网络分段限制扩散，隔离受影响数据，必要时为保护目的关闭系统。
调查技术：对受损系统进行取证分析，跨服务关联日志，分析攻击向量时间线，开展根因调查，重建攻击技术，评估完整影响范围，追踪数据流以发现外泄，并结合威胁情报进行归因分析。
使用方式
该技能通过响应准备、执行和持续改进等阶段交付事件管理。它使用标准文件操作进行文档和脚本生成，需要 SIEM、EDR、IDS 等安全工具、监控平台、Slack、PagerDuty 等沟通工具以及取证分析工具。它不执行基础设施变更，修复需与 devops-engineer 或 security-engineer 协调。
内置自动化脚本位于 scripts/ 目录：
- incident_triage.py：自动化初步事件分诊，包括分类、团队路由、证据收集和分诊报告生成。
- incident_analysis.py：通过关联跨服务的日志与指标进行深度事件分析，识别根因模式，衡量业务影响。
- incident_response.py：自动化事件响应动作，包括遏制流程、缓解、团队协调和响应跟踪。
- runbook_generator.py：生成事件响应运行手册，包含流程、团队联系人、升级路径和沟通模板。
- maintenance_automation.py：自动化系统维护任务，包括排期、备份计划、干系人通知和健康验证。
参考文档位于 references/ 目录：troubleshooting.md 提供事件场景、常见问题和解决流程的排查指南；best_practices.md 提供沟通、文档、持续改进和团队协作的最佳实践。
适用场景
示例一，安全入侵响应：用户报告检测到对系统的未授权访问。响应包括启动事件响应并指定事件指挥官、分类为安全入侵并评估范围、通过吊销凭据和隔离系统进行遏制、收集日志/内存/网络捕获等证据、调查攻击向量与受损评估、取证分析和时间线重建、与干系人沟通并在需要时通知，以及带加固和监控的系统恢复。
示例二，服务中断管理：用户报告生产服务宕机。响应包括评估对用户和业务的影响、激活响应团队和沟通渠道、通过日志和指标诊断根因、实施临时方案或恢复流程、验证服务恢复与稳定性、向干系人沟通状态更新、记录事件和时间线，以及事后复盘以防再发。
示例三，事件响应体系建设：用户需要建立事件响应流程。响应包括审查现有能力并识别差距、创建完整事件响应手册、建立严重级别分类矩阵、设置沟通模板和渠道、设计升级流程和值班轮换、实施自动化证据收集工具、开展培训和模拟演练，以及建立持续改进流程。
限制
该技能不执行基础设施变更，修复工作需与其他角色协调完成。资料未提供具体收费标准、价格、平台支持范围或其他未列明的功能细节。