用途：该模块是事件响应（IR）的编排层，不用于漏洞挖掘。当漏洞被利用或生产环境出现审计缺口时，用它完成两件事——审计组织是否真的具备事件响应能力（Half A 就绪度审计），以及按阶段执行事件处置（Half B 执行剧本）。
主要能力：就绪度审计逐项检查是否有书面 IR 剧本、联系人与值班树（含独立于主工具的带外通道）、break-glass 应急访问流程、法律/合规通报义务清单、证据处置能力、保险与厂商联系人、可验证的备份恢复，并给出 PRESENT/PARTIAL/ABSENT 评分与缺口清单。执行剧本按准备、检测与分析、遏制、清除、恢复、经验教训六阶段组织，含接报表单、第一小时清单、升级与沟通链、复盘骨架，覆盖泄露令牌、Webshell/RCE、数据库外泄、恶意依赖、仓库泄密五类场景。
使用方式：审计期间只读，变更动作仅出现在执行半部分且仅在实际宣布事件时使用，绝不为“测试”生产而执行。每条动作从第零分钟起记录在事件工单中。轮换与重建引用 TOK、SUPPLY、DR、LOGMON、DETECT 等兄弟模块，验证扫描使用 tools/run-all-sweeps.sh。
适用场景：需要评估或运行事件响应能力的团队。
限制：不提供法律建议，通报义务只作通用说明，须自行核实辖区与合同要求；不包含检测规则编写（属 DETECT）、主机取证镜像分析（属 DFIR 配套）、备份设计（属 DR）、密钥存储规范（属 HSECRET）及泄露状态的法律判定。价格、平台支持等信息暂未提供。