用途：在 ServiceNow 环境中处理安全事件，适用于发现潜在安全威胁、未授权访问、数据泄露或可疑活动时。
主要能力：按阶段覆盖检测与识别、分类、遏制、调查、根除与恢复、沟通、事后复盘。检测来源包括用户报告、SIEM 告警、审计日志异常、失败登录激增、异常数据访问。分类使用严重性矩阵（Critical/High/Medium/Low），并创建 sn_si_incident 记录。遏制阶段可锁定并停用账户、终止活动会话、记录工作笔记。调查阶段查询 sys_audit、syslog 等表收集证据并记录时间线。恢复阶段重置密码、重新启用账户并强制改密。沟通含面向用户与管理层的通知模板。复盘阶段关闭事件并记录根因与预防措施。
必要用法：需具备 sn_si.admin、security_admin 角色，可访问安全事件表、审计日志与系统日志，并启用 Security Incident Response（sn_si）插件。操作通过 SN-Query-Table、SN-Create-Record、SN-Update-Record、SN-Execute-Background-Script、SN-Add-Work-Notes 等工具执行，示例包括查询 sys_audit 中失败登录、创建安全事件、将 sys_user 的 locked_out 设为 true、active 设为 false、删除 v_user_session 记录等。
限制与注意：资料未提供具体收费、价格或平台支持范围。需保留证据、完整记录操作、遵循证据链、限制知情范围，数据泄露应引入法务。若无法访问安全事件表，检查 sn_si 插件与角色；审计日志缺失时检查表的审计标志。响应时限参考：Critical 15 分钟首次响应、1 小时遏制、24 小时解决；High 为 1 小时、4 小时、72 小时；Medium 为 4 小时、24 小时、1 周；Low 为 24 小时、1 周、2 周。