用途：对已关闭的安全事件开展结构化事后复盘（PIR），重建从事件创建到解决的完整时间线，识别检测与响应流程中的缺口，并生成经验教训文档。适用于重大事件关闭后 5-10 个工作日内，或低危事件的周期性复盘。
主要能力：按时间顺序重建事件时间线；计算关键响应指标（检测、遏制、根除、恢复、解决耗时）；识别被遗漏或延迟的检测缺口；分析响应有效性与流程遵循情况；记录根因与促成因素；生成可执行的改进建议与结构化经验教训记录。
使用方式：需具备 sn_si.analyst、sn_si.manager 或 sn_si.admin 角色，并拥有 sn_si_incident、sn_si_task、sn_ti_observable、sn_vul_vulnerable_item、sys_journal_field、sys_audit 等表的读取权限，以及 Security Incident Response、Threat Intelligence、Vulnerability Response 插件。流程包括：用 SN-Get-Record 获取已关闭事件记录；用 SN-Query-Table 查询工作笔记与评论、关联任务、审计日志、威胁可观测项与漏洞数据；计算 TTD、TTT、TTC、TTE、TTR 等指标；最后用 SN-Add-Work-Notes 写入复盘报告。也可通过 REST 接口访问对应表。
限制：资料未提供具体收费、价格或平台支持范围；时间线可能因工作笔记缺失而不完整，需借助审计日志、syslog 与任务时间戳补充；可观测项的 first_seen 可能反映入库时间而非攻击实际开始时间；漏洞数据可能因 CI 命名不一致而无法关联；审计日志可能因保留策略被清除。