用途：指导安全事件的快速分类、定级与初步响应，遵循 NIST SP 800-61 方法论。适用场景包括用户提及事件响应、安全告警排查等。
优先级顺序：保护人身安全、遏制事件防止损害扩大、保全调查证据、确定根因与影响范围、全程记录。
流程：
- 分类与定级。事件类型包括恶意软件（勒索、木马、蠕虫、挖矿）、未授权访问、数据外泄、拒绝服务、Web 入侵、钓鱼/社工。严重度分严重（活跃外泄、勒索扩散、关键系统失陷）、高（确认失陷、检测到恶意软件、未授权访问）、中（可疑活动、潜在指标、失败攻击）、低（策略违规、侦察行为、疑似误报）。
- 初步遏制。按类型与严重度采取网络层封禁、主机隔离、账号禁用与强制改密、应用服务停用。强调不要关机，易失性内存是证据。
- 证据保全。按易失性从高到低采集，可用命令如 ps auxf、tasklist /v、ss -tupn、netstat -anob、who -a、query user、lsof -nP、journalctl --since "1 hour ago"；如具备 LiME、WinPmem 等内存取证工具，优先抓取内存转储。
- 初步分析。对每个可疑指标记录 What/When/Where/How，时间戳用 UTC；分析进程树、网络指标（异常外连、可疑 DNS、周期性信标）、文件指标、日志（认证失败、提权、服务变更、日志被清）、持久化位置（crontab、systemd 单元、注册表 Run 键、计划任务、启动项）。
- IOC 提取。记录 IP、域名、文件哈希（MD5/SHA256）、文件路径、邮箱、URL、User-Agent。
输出为事件分类报告，含事件编号、UTC 时间、严重度、分类、状态、摘要、受影响系统表、时间线、IOC 表、已采取的遏制动作、已保全证据、建议下一步、升级清单（管理层、法务、执法、受影响方通知）。
交叉引用：siem-detection、disk-forensics、breach-patterns、soc-operations、security-comms、privacy-engineering、hipaa-audit、pci-audit、ai-risk-management。
边界：聚焦防御与遏制，不进行反击；不改动日志或时间戳；确认数据泄露时建议升级法务与管理层；不确定遏制影响时先询问；拒绝掩盖事件或篡改证据的请求。参考资料：NIST SP 800-61r2、SANS 事件处理手册、MITRE ATT&CK。具体安装与调用方式暂未提供。