用途：当 EDR 或杀毒软件检测到终端恶意软件执行、用户报告感染迹象、威胁情报指向针对本行业的恶意活动、网络监测发现 C2 信标流量，或沙箱对文件返回恶意判定时，使用本技能进行企业终端恶意软件事件响应。注意：不用于研究场景下的样本分析，逆向工程应使用专门的恶意软件分析流程。
主要能力：确认感染并收集初始指标（检测名、文件路径、SHA-256、进程树、投递方式、网络通信、持久化）；评估感染范围，排查横向传播与 C2 通信；通过 EDR 隔离、防火墙/DNS 封堵、哈希阻断、邮件隔离、禁用账号等手段遏制；对样本做沙箱动态分析，识别全部持久化机制、文件与网络 IOC，并映射 MITRE ATT&CK 技术；清除恶意工件与持久化，必要时用干净镜像重装；恢复系统并监控复发。
使用方式：需具备可见进程树和主机隔离能力的 EDR、恶意软件沙箱（Cuckoo、ANY.RUN、Joe Sandbox、Hybrid Analysis）、威胁情报平台（VirusTotal、MalwareBazaar）、取证镜像工具（FTK Imager、KAPE）、干净系统镜像以及 MITRE ATT&CK 参考。按“确认检测→范围评估→遏制→分析→清除→恢复验证”的顺序执行，最后输出包含时间线、IOC 和清除状态的事件响应报告。
适用场景：如 Emotet 加载器投递 Cobalt Strike 等实际事件，需同时处理多阶段载荷、提取 C2 配置并检查凭据窃取与横向移动痕迹。
限制：未提供具体定价、平台版本或量化效果数据；实际执行依赖组织既有的 EDR、沙箱与情报能力。