用途：当网络或系统出现未授权访问、IDS/IPS 告警显示正在被利用或数据外泄、SOC 确认需立即处置的真实安全事件、观察到横向移动或权限提升、或勒索软件在全面部署前被检测到时，用于执行快速遏制。
主要能力：按流程验证并分类事件、确定受影响范围、执行网络遏制（防火墙封禁攻击者 IP、交换机隔离 VLAN、DNS 层面封堵 C2 域名）、隔离受感染终端、在完全隔离前保全易失性证据、禁用受损账户、验证遏制效果。涉及 CrowdStrike Falcon、Microsoft Defender for Endpoint、SentinelOne、Palo Alto NGFW、Splunk/Elastic SIEM、Zeek、Velociraptor、Active Directory 等工具。
使用方式：需具备事件响应计划与预授权隔离权限、防火墙/交换机/终端管理控制台访问、EDR/XDR 与 SIEM 访问、取证镜像工具。流程包括：用 SIEM 关联告警并用 Falcon API 验证终端告警；用 Zeek 连接日志、Windows 事件日志和 AD 认证异常确定范围；在边界防火墙、交换机、DNS 执行遏制；通过 EDR API 隔离终端；用 winpmem、netstat、tasklist、dd、ss、ps 等采集易失性证据；用 PowerShell 禁用 AD 账户并撤销会话；用 tcpdump 和 SIEM 查询验证遏制效果。
适用场景：勒索软件加密前处置、活跃数据外泄、域控被攻陷、供应链投毒、内部人员外泄等。
限制：需预先具备 IR 计划、授权和相应工具访问权限；具体命令与 API 需按实际环境调整；资料未提供收费、价格或平台支持信息。