用途：该技能面向安全事件响应，围绕 NIST 事件响应生命周期提供指导，包括准备、检测与分析、遏制、根除、恢复和事后活动。适用于用户提及取证、事件分类、证据保全、遏制策略或恢复流程等场景。
主要能力：按 NIST 框架梳理响应流程；对事件进行分级（Critical、High、Medium、Low）与分类（恶意软件、数据泄露、DDoS、内部威胁等）；评估 CIA 三要素影响、受影响系统与数据范围、威胁行为者与攻击向量；提供取证证据采集思路与最佳实践，如维护响应计划、定期演练、保全证据链、记录所有操作、有效沟通、从事件中学习。
使用方式：资料给出事件对象建模示例（IncidentSeverity、IncidentStatus、Incident 类及 add_event 时间线记录）与取证采集命令示例，例如 ps aux > processes.txt、netstat -an > network.txt、last > logins.txt、sudo dd if=/dev/mem of=memory.raw、sha256sum * > checksums.txt。这些命令与代码应保持原样使用。
适用场景：安全团队的事件响应流程设计、取证证据收集、事件分级与影响评估、遏制与恢复决策、事后复盘与根因分析。
限制：资料未提供具体收费、价格、平台支持范围或效果保证；未说明安装命令与集成方式。反模式包括无响应计划、响应延迟、破坏证据、文档不足、缺少事后复盘、跳过根因分析。参考资源为 NIST SP 800-61、SANS IR Process、TheHive Platform、Volatility Framework。