用途：为 SOC 团队开展讨论式桌面演练（tabletop exercise），在不执行真实技术操作的前提下模拟安全事件，用于年度或半年度响应测试（NIST、ISO 27001、PCI DSS 等）、新人培训、剧本验证、跨职能协调演练以及事后复盘补缺。资料明确说明它不能替代技术性紫队演练——桌面演练检验流程与决策，而非技术检测能力。
主要能力：以多阶段逐步升级的场景（如勒索软件攻击）组织演练，包含设计场景与目标、按时间点投放 inject（含背景、通报内容与引导问题）、推进主持流程、按检测与分诊、遏制决策、沟通、业务连续性等维度评分、生成事后报告（AAR）并跟踪整改事项。资料给出常见场景：勒索软件、数据泄露、供应链入侵、内部威胁、商业邮件诈骗。
使用方式：需指定有事件响应经验的主持人，确认参与者名单（SOC 一至三级分析师、SOC 经理、IT 运维、法务、HR、传播等），准备会议室或可共享屏幕的视频呼叫、按时间表投放的印刷或数字注入材料、评分卡，以及现有响应计划与剧本。流程为设计场景、创建定时注入、主持演练、评估响应、生成事后报告、通过查找表跟踪整改（示例 Splunk 查询保留了原样命令）。
限制：属于讨论式模拟，不执行实际技术动作，也不替代技术演练；资料未说明具体平台绑定、价格或部署要求。参考框架与工具包括 FEMA HSEEP、NIST SP 800-84、Immersive Labs、Infection Monkey、Archer。