用途
该技能用于在怀疑或确认安全事件时提供结构化的响应指导，覆盖从检测、遏制到恢复和复盘的完整流程。触发场景包括：怀疑或确认安全入侵、未授权访问；需要对事件进行严重性分级并决定升级；遏制威胁（隔离系统、吊销凭证、封禁 IP）；保留取证证据或维护监管链；向利益相关者、高管或监管机构通报事件；从系统中根除恶意软件、后门或持久化访问；撰写安全事件报告或事后复盘。
不适用于：主动安全加固或架构评审（应使用后端工程安全参考）；尚未成为活跃事件的漏洞披露或漏洞赏金分类。
主要能力
技能以 NIST SP 800-61 框架为核心，定义六个阶段：准备、检测与分析、遏制、根除、恢复、经验教训。各阶段并非严格顺序，遏制与根除可能重叠，检测与分析贯穿全程。
严重性分级在检测时分配，并随事实更新重新评估：P1 为活跃入侵且持续数据外泄或系统失陷，需立即 7×24 响应；P2 为确认失陷但影响已受控或不明，1 小时内响应；P3 为可疑活动但未确认失陷，4 小时内响应；P4 为潜在指标但无失陷证据，下一工作日处理。存疑时应升级到更高严重性。
IOC 类型分为原子型（IP、域名、邮箱、文件哈希，波动性低）、计算型（网络流量模式、YARA 规则、行为签名，波动性中）、行为型（TTP 模式、横向移动指标，波动性高）。建议优先使用行为型 IOC 构建检测规则，并映射到 MITRE ATT&CK 技术。
监管链要求记录证据的收集、处理和转移过程，适用于法律程序、监管合规（HIPAA、PCI-DSS、GDPR）、保险索赔和内部纪律处分。每项证据需记录：内容、收集时间、收集人、存储位置、后续访问者。
使用方式
技能提供常见任务的检查清单和模板：
检测与分类：初始分类检查表（触发源、受影响系统与数据、攻击者是否仍活跃、是否涉及受监管数据、业务影响），严重性矩阵快速参考，检测后 15 分钟内在事件频道发布初始严重性评估。
遏制漏洞：分两阶段。短期遏制（立即执行，不等完整调查）：隔离受影响主机但不断电（避免丢失内存证据）、吊销或轮换可能暴露的凭证、在防火墙和 DNS 层封禁攻击者控制的 IP 和域名、禁用失陷服务账户或 API 密钥、在修复前保存快照。长期遏制（数小时内）：将受影响系统移至隔离网段、在相邻系统部署额外监控、验证备份干净且早于入侵、确定攻击者是否建立持久化、对外沟通前与法务协调。
保留取证证据：按波动性顺序采集——CPU 寄存器和缓存、内存转储（avml、WinPmem 或云厂商内存捕获 API）、网络连接（ss -tnp、netstat -ano、ARP 缓存）、运行进程（ps auxf、lsof）、文件系统（MAC 时间、最近修改文件）、磁盘镜像（dd 配合写阻断器或云快照）。提供监管链日志模板，包含证据 ID、描述、收集人、收集时间、工具、SHA-256 哈希、存储位置、访问链。
事件沟通：分层沟通模型。内部响应者每 30-60 分钟更新；高管模板包含事件概述、当前状态、业务影响、正在采取的行动、下次更新时间、联系人；客户/外部通知需先咨询法务，GDPR 要求知悉后 72 小时内通知监管机构。沟通中不得推测，只陈述已确认事实。
根除与恢复：根除检查表（移除所有恶意软件、后门、植入物；消除持久化机制；轮换所有失陷凭证；修补初始访问漏洞；重装或验证系统干净；部署新 IOC 检测规则）。恢复检查表（系统打补丁加固后恢复生产；增强监控至少 30 天；验证备份干净；审查访问控制至最小权限；通知利益相关者）。
撰写事件报告：提供完整报告模板，包含事件 ID、严重性、状态、检测/解决时间、持续时间、作者、审核人、执行摘要、时间线表格、根本原因、影响、做得好的地方、可改进的地方、行动项表格、证据引用表格。P1 和 P2 事件必须书面报告，P3 需简要记录，事件关闭后 5 个工作日内分发。
复盘改进：会议结构（P1 为 60-90 分钟，P2 为 30 分钟），包含时间线回顾、做得好的地方、可改进的地方、行动项、检测缺口分析。改进类别包括检测、预防、流程、培训。行动项需在工单系统跟踪并在下次安全评审周期检查完成情况。
适用场景
适用于安全工程师和从业者在怀疑或确认漏洞时快速精确响应，包括：活跃入侵的遏制与取证、凭证泄露处理、恶意软件根除、事件报告撰写、监管合规通知、事后复盘与防御改进。
限制
技能内容为实践框架和检查清单，不包含具体工具安装命令或自动化脚本。部分内容（如 GDPR 72 小时通知、各州泄露通知法）需结合具体司法管辖区和法务意见。技能明确不适用于主动安全加固、架构评审、未成为活跃事件的漏洞披露或漏洞赏金分类。