用途：为特定事件类型编写可复用的结构化响应流程文档，涵盖检测与分诊、遏制、根除、恢复、事后复盘与沟通。适用于从零建立或成熟化事件响应项目、新型攻击后补充流程、SOAR自动化、合规审计（SOC 2、PCI-DSS、HIPAA）所需文档，以及针对特定威胁场景做能力差距分析；不适用于一次性临时调查。
前提：需要组织风险评估（按可能性与影响排定首要场景）、采用的IR标准（NIST SP 800-61r3或SANS PICERL）、带业务关键性评级与数据分类的资产清单、定义事件指挥官/SOC分析员/系统管理员/法务/沟通角色的RACI表、现有检测能力清单，以及构建自动化剧本时的SOAR平台访问权限。
主要能力：先选定并界定单一事件类型（如勒索软件、钓鱼/凭据泄露、商业邮件欺诈、恶意软件、数据泄露、DDoS、内部威胁、账户接管、Web与云基础设施失陷），定义触发条件；再按统一模板编写，包含元数据、RACI矩阵、检测与分诊、遏制、根除、恢复、事后、沟通、附录；同时写清决策树与升级标准（如P1至P4分级、数据外泄、涉客户数据、第三方与执法介入）；技术步骤须写明具体工具操作而非泛化指引；可映射到Cortex XSOAR、Splunk SOAR、TheHive、Tines等平台，定义自动化边界与人工审批关口。
使用方式：按六步推进——选定与界定事件类型、定义剧本结构、编写决策树与升级标准、定义具体技术流程、集成SOAR、通过桌面推演与实弹演练测试维护；每次真实事件后更新，每季度复核联系人与工具流程，并跟踪MTTC、MTTR、误报率等指标。输出为剧本文档，含RACI矩阵、流程步骤、决策树、升级矩阵与指标目标。
限制：资料未提供具体收费、价格或平台支持范围；需先具备风险评估、资产清单与角色定义等前提；不适用于一次性调查；编写时应避免过度泛化、遗漏通知计划与转化标准、缺少版本管理与复核周期。