用途
Incident Response 是一个用于处理安全事件的结构化响应技能，提供 IR Playbook 与流程，帮助实现检测、遏制、根除与恢复过程，并配套步骤说明、脚本与模板。
适用场景（资料明确列出）：
- 响应活跃的安全事件（入侵、恶意软件、未授权访问）
- 构建事件响应 Playbook 与 Runbook
- 开展 IR 桌面演练与演习
- 搭建证据采集与取证能力
- 建立安全事件的沟通协议
- 执行事后复盘与流程改进
主要能力
事件响应阶段
资料给出的阶段划分：
- 准备（Preparation）：IR 团队名单与 7x24 联系方式、工具与特权访问就绪、Playbook 已编写并测试、证据采集工具包准备、沟通模板起草。
- 检测（Detection）：告警分诊与验证、初步评估与范围界定、严重级别分类、创建事件工单。
- 遏制（Containment）：短期遏制（止血）、变更前保留证据、系统隔离（网络/主机层）、必要时轮换凭证。
- 根除（Eradication）：根因分析、移除威胁行为者访问、修补被利用漏洞、清理被入侵系统。
- 恢复（Recovery）：从干净备份恢复系统、部署增强监控、分阶段恢复生产、验证业务连续性。
- 经验教训（Lessons Learned）：72 小时内事后复盘、时间线重建、更新文档、改进流程与检测。
严重级别分类
资料给出的分级：
- Critical (P1)：活跃数据泄露、完全中断、勒索软件；响应时间立即（< 15 分钟）。示例：数据正在外泄、勒索软件扩散。
- High (P2)：服务降级、可能泄露；< 1 小时。示例：未授权管理员访问、检测到恶意软件。
- Medium (P3)：影响有限、已遏制；< 4 小时。示例：单个用户钓鱼失陷、策略违规。
- Low (P4)：影响极小；下一工作日。示例：失败的暴力破解、被拦截的扫描活动。
证据采集脚本
资料包含三段脚本原文：
- Linux 证据采集脚本 linux-evidence-collect.sh（以 sudo 运行，采集系统信息、进程、网络状态、用户活动、计划任务、文件系统状态、内核模块、打开文件、systemd 服务、日志打包、Docker 与 Kubernetes 状态，并对证据文件计算哈希）。
- 内存采集脚本 memory-capture.sh（使用 LiME 采集内存，备选 cp /proc/kcore，采集 /proc/meminfo，并对内存转储做哈希）。
- AWS 证据采集脚本 aws-evidence-collect.sh（创建 EBS 快照、采集实例元数据、安全组规则、CloudTrail 事件、VPC 流日志配置，并将实例隔离到隔离安全组）。
取证命令参考
资料提供磁盘取证（dd 制作镜像、只读挂载、按修改时间/属主查找文件）、日志分析（暴力破解、提权、Web 攻击模式检索、时间线分析）、网络取证（tcpdump 抓包与可疑连接、DNS 隧道检查）、恶意软件分析（哈希比对 VirusTotal、strings 分析、检查加壳/混淆）等命令示例。
沟通模板
资料包含：内部初始通知、利益相关者更新、对外泄露通知（如需要）三类模板，含 Incident ID、严重级别、状态、影响评估、当前动作、下次更新时间、事件指挥官等字段。
IR Playbook：凭证泄露
资料给出 compromised-credentials 的 Playbook，触发条件为凭证窃取、暴力破解成功或凭证转储告警，步骤为验证、遏制、调查、根除、恢复、改进，并列出 AWS IAM 与 kubectl 相关处置命令。
故障排查
资料列出常见问题与对策，例如证据采集脚本因权限不足失败、系统被勒索软件加密无法访问、日志缺失或被篡改、因日志不足无法确定事件范围等。
使用方式
资料将其定位为 Skill（技能），用于在响应安全事件、编写 Playbook、演练、搭建取证与沟通流程时提供结构与操作参考。资料未提供安装命令、配置方式或具体调用步骤。
适用场景
面向 DevSecOps 与安全运营/事件响应场景，覆盖活跃事件响应、IR 流程建设、取证证据采集、事件沟通与事后复盘。
前提条件
资料列出的前提：IR 团队名单与值班轮换、升级路径；独立于生产系统的安全通信渠道；安装分析工具的取证工作站；具备证据链管控的证据存储；法务顾问联系方式；预先授权的事件响应动作文档化。
限制
资料未提供该技能的平台支持范围、收费信息、性能指标或效果数据，这些事实暂未提供。