用途：D3FEND — Evict 面向正在发生、需要遏制与清除的安全事件响应，提供按 MITRE D3FEND 框架组织的清除操作指引。
主要能力与工作流：一、凭据清除，涵盖账号锁定（即时遏制，可能影响业务，需准备解锁流程）、身份验证缓存失效（确认会话劫持后强制全系统重新认证）、凭据撤销（证书或令牌被盗时更新 CRL 并轮换密钥）。二、对象与文件清除，涵盖文件隔离/删除/从干净备份恢复、邮件移除（钓鱼或恶意载荷投递）、注册表项删除（清除持久化）、DNS 缓存清除（响应投毒）、域名注册下架（钓鱼站点）。三、进程与系统清除，涵盖进程挂起（暂停以分析）、进程终止（结束恶意进程）、会话终止（断开攻击者）、主机关机/重启（紧急遏制）、磁盘操作（格式化、擦除、分区以净化）。
使用方式：当处于需要遏制的活跃安全事件时使用，按上述三类工作流选择动作；详细内容可加载 references/credential_eviction.md、references/object_eviction.md、references/process_system_eviction.md 三个参考文件。
不适用场景：构建检测或监控用 d3fend-detect；系统加固或预防用 d3fend-harden；网络分段用 d3fend-isolate；取证调查与证据保全用 incident-management-engineer；事件后恢复与还原用 d3fend-restore。
限制：资料未提供具体命令、脚本、平台兼容性或收费信息，暂未提供。