用途：该技能让 AI 执行数字取证与事件响应（DFIR）任务，包括检测异常、分析取证物和缓解威胁，主要围绕 Volatility 内存分析与 Autopsy 磁盘取证展开，帮助系统化调查入侵事件。适用于恶意软件感染或数据泄露等活跃事件、蓝队主动威胁狩猎及事后复盘，不适用于日常监控。
主要能力：内存取证，用 Volatility 解析内存转储、提取进程与网络连接；磁盘分析，用 Autopsy 检查文件系统、识别已删除文件与时间线；事件响应，自动化取证物收集与威胁缓解（如脚本隔离主机）；恶意软件检测，用 YARA 规则扫描二进制匹配失陷指标（IOC）；报告，从分析数据生成时间线与报告以保存证据。
使用方式：通过 OpenClaw 的 Python API 导入模块并调用方法，需显式指定输入文件或目标；CLI 工具封装为 OpenClaw 函数执行；长任务用异步模式，如 await openclaw.dfir.analyze()。认证通过环境变量传入，例如运行前设置 $DFIR_API_KEY。API 端点包括 /api/dfir/analyze-memory（POST JSON，如 {"file_path": "memory.dump", "profile": "Win10x64"}）与 /api/dfir/scan-disk（POST JSON，用 Authorization: Bearer $DFIR_API_KEY 认证）。本地工具可用 YAML 配置，如 tools: volatility: /usr/bin/volatility。依赖需安装，如 pip install volatility3 或系统包。
限制与注意：需安全处理文件路径避免泄露；通过 HTTP 状态码检查错误（如 401 认证失败、404 文件缺失），代码中用 try-except 捕获 openclaw.DfirError；对瞬时问题可用 openclaw.utils.retry() 重试至多 3 次；命令前校验输入，如 os.path.exists()。该技能与威胁情报、安全监控相关，依赖蓝队集群，并与红队技能（如渗透测试）相冲突。具体收费、价格与部署平台暂未提供。