用途：按 NIST SP 800-61 事件响应生命周期，指导安全事件的检测、遏制、根除、恢复与事后分析，适用于勒索软件、数据泄露、DDoS、凭据泄露、内部威胁等场景。
主要能力：对事件分类并评定严重级别；界定受影响主机、账号、数据与网段范围；在改动前保全证据（内存转储、磁盘镜像、进程列表、网络连接状态）；收集认证、应用、防火墙/IDS、DNS、代理等日志；遏制威胁（隔离系统、禁用账号、封禁 IP、吊销密钥）；重建时间线、定位初始访问向量与横向移动、识别持久化机制并整理 IOC；根除恶意程序与后门、修补漏洞、重置凭据；从干净备份恢复并加强监控；输出事件报告、IOC 清单、事后复盘与整改待办。
使用方式：需可访问 ${CLAUDE_SKILL_DIR}/logs/ 下的系统与应用日志、PCAP 或 SIEM 告警导出、事件响应团队联系与升级路径、可用的备份与恢复流程、${CLAUDE_SKILL_DIR}/incidents/ 写权限，以及 Volatility、Autopsy/FTK Imager、tcpdump/Wireshark 等取证工具。报告写入 ${CLAUDE_SKILL_DIR}/incidents/incident-YYYYMMDD-HHMM.md，证据存于 ${CLAUDE_SKILL_DIR}/incidents/evidence/。
限制：资料未提供具体收费、价格、平台支持范围与效果数据；日志缺失、证据被污染、攻击者仍在活动、权限不足或备份被加密等情况需按错误处理表应对，必要时优先遏制而非调查。