用途：在安全事件完成遏制后，依据 MITRE D3FEND 指导恢复工作，包括恢复用户访问、文件与数据、配置和系统。
适用时机：遏制后重发凭证、解锁账户；从备份恢复文件、数据库与配置；用磁盘镜像或干净基线重建系统；清除恶意软件后恢复邮件与软件；在恢复生产前验证系统；记录恢复动作供事后复盘。
不适用：事件遏制或清除应使用 d3fend-evict；检测工程与监控用 d3fend-detect；加固预防用 d3fend-harden；备份策略设计用 infrastructure-engineer；业务连续性规划用 cybersecurity。
核心流程： 一、恢复访问：重发凭证（生成新令牌/证书/密码并安全分发）、解锁账户（验证身份，必要时重置 MFA）、恢复网络访问（重新启用防火墙规则并确认无持久化）、恢复用户账户（校验 AD/Azure AD 与组成员关系），详见 references/restore_access.md。 二、恢复对象：从备份、卷影副本或干净来源恢复文件；从归档或备份恢复邮件；通过时间点恢复与事务日志重放恢复数据库；恢复磁盘镜像（裸机恢复、虚拟机快照）；从版本控制或备份恢复配置，详见 references/restore_objects.md。 三、恢复软件与系统：从可信来源重装软件；用加固黄金镜像重建系统；校验完整性（哈希校验、签名验证）；重新应用补丁与更新；重新接入网络前运行漏洞扫描，详见 references/restore_systems.md。
加载参考：恢复访问加载 references/restore_access.md；恢复对象加载 references/restore_objects.md；恢复系统加载 references/restore_systems.md。
限制：具体工具、命令与平台未在资料中提供。