用途：协助安全团队记录和管理事件响应全过程，从检测到复盘形成结构化文档与报告。
主要能力：事件时间线构建与事件关联；结构化事件记录与审计轨迹；数字证据保管链（chain of custody）跟踪；面向技术、管理层和合规受众生成 IR 报告；记录响应手册（playbook）执行过程；支持事后复盘（lessons learned）并生成发现与建议。
使用方式：通过 Python 模块 ir_utils 调用，核心类包括 Incident、IncidentTimeline、EvidenceTracker、PlaybookExecution、LessonsLearned。事件按 identification、containment、eradication、recovery、lessons_learned 阶段推进；时间线事件自动按时间戳排序，可导出 Markdown、JSON 与 CSV。可用环境变量 IR_EVIDENCE_PATH 和 IR_REPORT_PATH 配置证据与报告路径。
适用场景：勒索软件等安全事件的响应记录、取证证据管理、响应手册执行留痕、事件复盘与合规报告。
限制：不自动执行响应动作（无编排能力）；证据元数据仅本地存储；无工具集成，需人工录入数据；阶段名必须使用规定值，否则报错（如 contain 会出错）。API 详细参考与 NIST SP 800-61 为文档依据。