用途：该技能用于在安全事件中按标准阶段驱动结构化响应，或在事件结束后进行事后记录，涵盖即时行动、决策点、沟通以及不带指责的事后复盘。仅适用于你拥有或获授权防守的系统。
必要输入（如未提供则先询问）：正在发生什么（观察到的恶意软件、未授权访问、数据外泄、勒索软件、账号失陷等事件及发现方式）；目前范围（受影响系统/账号/数据、是否仍在持续、已知入口点）；环境与风险（PII、资金、可用性等风险及监管/通报义务）；资源（响应人员、可用工具与访问权限、既有IR计划）。
输出格式：事件响应：[事件]。包括严重度与摘要（如SEV1–3分类，两行说明已知情况与风险）；分阶段行动：分诊与宣布（确认为真实事件、分配严重度与事件负责人、启动时间线/日志）、遏制（在不破坏证据前提下止血：隔离主机、吊销会话/密钥、封禁IOC、禁用失陷账号，清除前保留快照/日志/内存等取证数据）、根除（关闭入口点、移除恶意软件/后门、修补被利用缺陷、轮换所有可能泄露的凭据/密钥）、恢复（从已知良好状态恢复、验证完整性、密切监控复发、审慎恢复服务）、事后（不带指责的复盘：时间线、根因、有效与无效之处、防止复发行动项）；沟通（内部、客户及监管/泄露通报义务与时限，起草暂持口径）；证据与证据链（为法律/执法介入需保留什么及如何保留）；IOC与检测（已见入侵指标及需新增的检测/监控）。
质量检查：先分类严重度并确立事件负责人与时间线；遏制在根除/清除前保留证据；根除处理根因并轮换所有可能暴露凭据；恢复从已知良好状态并加强监控；沟通覆盖内部、客户与监管通报时限；复盘不带指责并产出具体预防行动项。
反模式：清除/重建前未保留取证证据；跳过凭据轮换；沟通沉默；复盘指责个人；未监控复发即宣布恢复；对未拥有或未获授权的系统采取行动。
依据：NIST SP 800-61 / SANS PICERL（准备、识别、遏制、根除、恢复、经验教训）。