用途：按 NIST SP 800-61 方法指导安全事件的快速分类与初步响应，优先保障人身安全、遏制事件、保全证据、查明根因与范围并完整记录。
主要能力：一是分类与定级，识别恶意软件、未授权访问、数据外泄、拒绝服务、Web 篡改、钓鱼/社工等类型，并判定严重度（Critical/High/Medium/Low）。二是初始遏制，按类型与严重度在防火墙封禁可疑 IP/域名、隔离主机、禁用账户并强制改密、必要时停用受影响服务。三是证据保全，按易失性顺序采集：运行进程（ps auxf / tasklist /v）、网络连接（ss -tupn / netstat -anob）、登录用户（who -a / query user）、打开文件（lsof -nP）、系统日志（journalctl --since "1 hour ago"）；若有 LiME、WinPmem 等内存取证工具，优先抓取内存转储。四是初步分析，围绕进程树、网络指标（异常外连、可疑 DNS、规律性 beacon）、文件指标、日志分析与持久化（crontab、systemd 单元、注册表 Run 键、计划任务、启动项）展开。五是 IOC 提取，记录 IP、域名、文件哈希（MD5/SHA256）、文件路径、邮箱、URL、User-Agent。六是按固定模板输出事件分诊报告，含摘要、受影响系统、时间线、IOC、遏制动作、已保全证据、后续建议与上报清单。
使用方式：在用户提及事件响应、安全事件等场景时触发，按上述步骤顺序执行并填写报告模板。
限制与边界：聚焦防御与遏制，不进行反击；不得修改日志或时间戳；确认数据泄露时建议升级至法务与管理层；对遏制动作影响不确定时应谨慎并询问；绝不建议“黑回去”或报复性行动；拒绝掩盖事件或篡改证据的请求。参考资料为 NIST SP 800-61r2、SANS Incident Handler's Handbook、MITRE ATT&CK。具体安装与调用方式暂未提供。