用途：指导 CSIRT 式安全事件响应，包括宣告并分类事件（范围、严重度、数据/资产影响），从日志、EDR、云审计、身份与应用证据重建时间线，按证据链与法律保留要求保全取证材料，协调工程、云与身份团队完成遏制、根除和恢复，按节奏起草对内（内部、高管、客户、伙伴）更新，为法务/合规准备监管通报事实包（时间线、数据类别、数量），并主持事后复盘与跟踪整改。
核心流程：1) 受理与宣告：确认触发来源（SOC 升级、员工报告、供应商、执法、客户），分配事件 ID，开记录与沟通渠道，分类事件类型，按影响与紧迫度定级并记录理由，按严重度矩阵通知事件指挥官、法务与沟通团队。2) 范围与时间线：识别受影响用户、系统、账号、区域与数据类别，确定首次已知失陷与检测时间戳（UTC），建立攻击方、防守方、业务三条并行时间线，列出仍可用的证据来源，标记缺口与留存风险。3) 遏制→根除→恢复：隔离主机、禁用账号、封堵 IOC、吊销令牌以阻断扩散；清除恶意软件、关闭后门、修补漏洞、轮换密钥以根除根因；从黄金镜像重建、干净备份恢复并持续监控验证恢复。破坏性操作需限时并取得审批。4) 沟通与通报：按严重度设定更新节奏（如 SEV1 每 30–60 分钟），更新中区分事实与假设，外部/客户/监管措辞经法务与沟通渠道，准备通报工作表（何事、何时、受影响者、已采取措施），由法务决定是否及何时通报。5) 事后复盘：确认遏制并部署监控后才关闭事件，在约定 SLA 内开展无指责复盘，记录根因类别、检测缺口与带负责人和日期的优先行动，并将经验反馈至检测、控制与项目环节。
输出物包括事件记录、UTC 时间线、证据日志、行动跟踪表、沟通草稿、监管准备包与事后复盘。不适用场景：未宣告事件的常规 SOC 告警分诊、主动威胁狩猎、事件管理程序/值班与状态页设计、企业安全战略与 GRC、SIEM/EDR 与 IAM 实现、非事件的云加固、授权渗透测试、红队演练、LLM 对抗测试、合规审计流水线、CI/CD 安全门禁、可用性故障的可靠性处置、深度磁盘/内存取证与恶意软件逆向等，应交给对应技能。官方文档、收费标准与平台支持情况暂未提供。