用途：在安全事件完全解决并完成恢复后，或桌面演练、IR 模拟、重大未遂事件之后，以及季度事件趋势评审和 IR 手册更新时，组织结构化的事后复盘，识别根因、记录有效与失效环节，产出可执行的改进建议。
主要能力：按流程收集事件数据、开展无指责复盘会议、执行根因分析、计算响应指标、记录发现并创建行动项、更新手册与检测规则。
使用方式：先决条件为事件已完全解决（遏制、根除、恢复完成），已收集事件时间线与文档，响应人员可参会，有协作讨论场地，并有工单系统数据用于指标分析。步骤包括：从工单系统导出事件时间线，例如 curl -s "https://thehive.local/api/v1/case/$CASE_ID/timeline" -H "Authorization: Bearer $THEHIVE_API_KEY" | jq '.' > incident_timeline.json；从 SIEM 提取检测与响应指标；汇总响应者操作与时间戳。随后召开约 90 分钟的无指责复盘会，议程含事件摘要、时间线回顾、有效之处、待改进项、根因分析、行动项与手册更新。根因分析可用 5 Whys 或鱼骨图。再计算 MTTD、MTTC、MTTR 等指标，创建带负责人与截止日期的行动项，并更新 IR 手册与 Sigma 等检测规则。
适用场景：勒索软件复盘、钓鱼活动评审、云配置错误事件、内部威胁评审、第三方泄露影响评估。
限制：资料未提供具体收费、价格、平台支持范围或效果保证；部分命令与接口地址为示例，需按实际环境替换。