用途：在已确认的入侵仍在进行、对手活跃于网络时执行遏制策略，阻止其继续操作并防止横向移动。适用于恶意软件横向扩散、账户被用于未授权访问、勒索软件加密传播、内部主机建立C2通信等场景。对手已不再活跃的善后清理不适用，应改用清除流程。
主要能力：分为短期遏制与长期遏制。短期包括通过EDR隔离受感染端点、在边界防火墙和内部DNS阻断C2 IP与域名、对C2域名做sinkhole、禁用受损账户并重置密码、撤销会话与令牌、轮换服务账户凭据、若域管受损则对KRBTGT执行两次重置（间隔12小时）、终止恶意进程、阻断恶意哈希、隔离恶意样本、关闭未受损关键服务器上的远程服务。长期包括创建网络ACL隔离受损VLAN、部署临时跳板机、对相邻网段做全流量捕获、在域控启用高级审计策略、部署金丝雀令牌与蜜罐账户。
使用方式：先评估遏制范围，借助EDR遥测与SIEM关联识别受损主机、用认证日志映射横向路径、确定受损凭据与C2通道、评估对手权限；再依次执行短期遏制、长期遏制、验证遏制有效性、在遏制过程中保存证据（内存转储、易失数据、事件日志、网络流量），最后向事件指挥官提交结构化状态报告。
前提条件：事件已定级为P1或P2；具备EDR控制台主机隔离能力；具备防火墙与交换机管理权限；具备AD或身份提供商管理权限；事件响应计划中已记录预先批准的遏制授权；有证据保存计划。
限制与注意：遏制不得破坏取证证据，避免直接关机导致易失内存丢失；仅禁用已知受损账户可能遗漏其他持久化机制；在确认对手访问被完全撤销前不应从备份恢复。资料未提供具体收费、价格或平台支持信息。