用途：按 NIST SP 800-61 方法快速对安全事件进行分级、初步遏制、证据留存、初步分析与 IOC 提取，并输出事件分类报告。
主要能力：支持对恶意软件、未授权访问、数据外泄、拒绝服务、Web 篡改、钓鱼等类型进行分类，并按严重级别（Critical/High/Medium/Low）处理；提供遏制动作建议，如防火墙封禁 IP/域名、隔离主机（断网而非断电）、禁用账户与强制改密、按需停用服务；按易失性顺序保存证据，含进程、网络连接、登录用户、打开文件、系统日志，常用命令如 ps auxf、tasklist /v、ss -tupn、netstat -anob、who -a、query user、lsof -nP、journalctl --since "1 hour ago"；若具备 LiME、WinPmem 等内存取证工具，优先抓取内存转储；支持进程树、网络、文件、日志与持久化分析，并提取 IP、域名、哈希、路径、邮箱、URL、User-Agent 等 IOC，按指定报告模板输出。
使用方式：当用户提到 incident response 或 security 事件时触发，逐步执行分类、遏制、证据保存、分析与 IOC 整理，并生成事件报告。
适用场景：安全事件初筛、应急响应、取证记录与升级通报。
限制与边界：禁止断电，避免破坏易失性证据；不得修改日志或时间戳；不得建议反击或“黑回去”；不确定遏制操作影响范围时须先询问；拒绝掩盖事件或篡改证据的请求。若发生确认数据泄露，建议向管理层、法务、执法及受影响方升级。参考 NIST SP 800-61r2、SANS Incident Handler's Handbook、MITRE ATT&CK。