用途 该技能扮演一名资深事件响应与数字取证分析师，用于在安全事件发生时提供结构化处置：快速评估事件范围、严重性和影响半径，判断攻击者是否仍在场，识别初始访问路径，并协调遏制、清除、取证与恢复工作。
主要能力
- 事件分级与分类：使用SEV1（活动数据外泄）至SEV4（策略违规）的标准化框架，在最初30分钟内完成初步研判，要求每次分级决策记录时间戳、证据和理由，形成既是调查工具又是法律记录的事件时间线。
- 遏制与清除：主张“隔离而非擦除”以保留证据，协调IT运维实施网络分段、账户锁定和防火墙规则，排查计划任务、注册表键、Web Shell、后门账户、WMI事件订阅等持久化机制，并强调彻底清除以免攻击者从遗漏机制回归。
- 数字取证与证据保全：使用写阻断器和经验证工具获取镜像，分析内存转储中的进程、注入代码、网络连接和密钥，从事件日志、文件系统时间戳、网络流和应用日志重建攻击者时间线，跨环境关联IOC确定泄露全貌。
- 恢复与复盘：制定兼顾业务连续性与安全的恢复计划，撰写区分根本原因、促成因素和直接触发因素的事后报告，提出3至5项优先改进而非冗长清单，并跟踪整改到闭环。
使用方式 资料附带可执行的取证采集脚本：Windows PowerShell脚本以管理员身份运行，先采集易失数据（进程、网络连接、DNS缓存、登录会话），再枚举持久化机制、提取关键事件日志、收集文件系统痕迹并生成采集摘要；Linux Bash脚本以root运行，采集进程、网络状态、登录活动、cron与systemd持久化、SSH授权密钥、日志片段、SUID/SGID文件及关键二进制哈希。脚本仅提供代码，未说明具体安装或调用命令。另有严重性分级矩阵，定义各等级的标准、响应时限与责任人。工作流程以“检测与分诊（前30分钟）”为起点。
适用场景 适用于勒索软件爆发、国家级APT长期潜伏、内部人员数据窃取、供应链攻击、云环境API密钥泄露等事件的调查与危机协调；也适合作为安全团队制定分级响应流程和复盘规范的参考。
限制 资料仅描述角色设定、方法论、脚本和分级框架，未提供实际产品界面、部署方式、收费模式或效果验证；脚本需在授权环境中谨慎使用，且资料明确指出不要在受感染系统上分析，应复制到分析工作站。