用途：在 ServiceNow 安全事件响应中，根据事件分类、严重程度、受影响资产、威胁指标和已知漏洞，生成结构化的推荐响应动作，并按遏制、根除、恢复、事后四个阶段组织，对齐 NIST SP 800-61 与组织 SOC 流程。
主要能力：按威胁类型（恶意软件、勒索软件、钓鱼、数据外泄、DDoS、内部威胁等）定制动作；按严重程度和业务关键性调整优先级；结合资产类型、环境与关键性；映射到现有剧本与运行手册；引用 MITRE ATT&CK 技术；生成后可作为工作笔记写回事件。
使用方式：需具备 sn_si.analyst、sn_si.manager 或 admin 角色，并安装 Security Incident Response（sn_si）、Threat Intelligence（sn_ti）、Vulnerability Response（sn_vul）插件，拥有相关表读取权限。流程为：读取事件记录、查询受影响资产、收集威胁指标、检查已知漏洞、查看已有响应任务、生成推荐动作、将动作写入工作笔记。可通过 MCP 工具（SN-Get-Record、SN-Query-Table、SN-Execute-Background-Script、SN-Add-Work-Notes）或对应 REST 接口操作。
适用场景：新事件创建时获取响应指引、事件升级时确保关键动作覆盖、初级分析师需要结构化指导、关闭前审查响应完整性、为重复威胁类型生成标准化响应计划。
限制：依赖上述插件与表权限；自定义分类可能无法识别，需查询 sys_choice 映射；无关联 IOC 时威胁特定动作受限；缺少对应剧本时只能基于内置威胁分类生成。具体收费、价格与平台支持范围暂未提供。