用途：对疑似失陷的 Ubuntu/Fedora 服务器、裸机或云 VM、Kubernetes 节点，以及经 cloudflared 暴露的 Python/Rust 服务主机，在 60-120 分钟内完成 DFIR 分诊。假设无 EDR、无预装取证工具、具备管理员 SSH 权限、单人响应。
主要能力：按易失性顺序采集网络状态、进程与内存、登录会话、计划任务、文件系统元数据、日志与备份；进行登录与会话取证（auth.log/secure、wtmp/btmp、lastlog、sudo/su 时间线、authorized_keys 清单）；持久化排查（cron、systemd 单元与定时器、rc.local、profile.d、ld.so.preload、SSH 配置、容器与编排自启动）；识别 webshell、被删除可执行文件、可疑行等指标形态；提供横向移动的污点追踪阅读指引；给出严重性评估与清除/重建建议。
使用方式：先建立响应者日志（UTC、追加式、记录未执行动作），再按步骤执行只读命令。核心原则：先保全后修复、证据全部外传至受控收集器、只读优先、严格按易失性顺序。示例命令包括 ss -tunap、lsof -nP -i、ps auxfww、last -aF、systemctl list-timers --all、find -newermt 等；内存采集可选 LiME（path=tcp:4444 format=lime，会改变内核状态）或 AVML，未预置工具时可跳过并记录。
适用场景：小型团队单人在键盘前的应急响应、云 VM 与 K8s 节点分诊、面向互联网服务的事后取证。
限制：不含完整磁盘取证、恶意软件逆向、Windows/macOS 主机与正式法律证据链（仅提供轻量响应者日志）；TABLETOP 演练仅限自有隔离实验主机，明确禁止在生产环境执行；具体收费、价格与平台支持信息暂未提供。