用途：在安全事件活跃期间隔离威胁，覆盖网络、终端、身份、云、应用和邮件六个层面，并以处置手册（Playbook）形式跟踪和记录遏制动作。
主要能力：网络侧支持主机隔离、防火墙封禁、DNS 沉洞与网络分段；终端侧支持 EDR 隔离、进程终止、服务禁用与内存取证保留；身份侧支持账户禁用、会话终止、密码重置与服务账户凭据轮换；云侧支持 IAM 权限撤销、资源隔离、API 密钥吊销与安全组锁定；应用侧支持 WAF 规则、限流、服务关停与数据库锁定；邮件侧支持消息隔离、发件人封禁与收件箱规则清除。
使用方式：从 containment_utils 导入相应类，创建 ContainmentPlaybook 并逐项添加动作，例如 network.isolate_host(...)、endpoint.quarantine_endpoint(...)、identity.disable_account(...)，最后调用 playbook.generate_report() 或 to_json() 输出报告，便于对接 SOAR。可通过环境变量配置日志路径、EDR API 密钥与云凭据。
适用场景：勒索软件、钓鱼入侵、C2 通信、数据外泄等事件中的紧急阻断与处置留痕。
限制：不直接执行操作，仅生成命令与配置；平台相关动作需 API 凭据；部分动作依赖网络连通性与管理员权限；部分破坏性动作不可回滚，需人工介入。具体收费、价格与平台支持范围暂未提供。