本技能用于安全事件的遏制阶段，参考框架为 NIST SP 800-61 Rev 2（遏制、根除与恢复）和 MITRE ATT&CK 企业矩阵。适用角色为 SOC 分析师、安全工程师，预计耗时 15-30 分钟，产出包含短期与长期行动的遏制计划、业务影响权衡分析、映射到 ATT&CK 的对抗措施以及回滚标准。
一、使用场景 当目标通过参数传入时，评审聚焦于该参数指定的对象。满足以下任一条件时可调用本技能：事件正在进行并需要隔离受影响系统，防止进一步破坏或横向移动；需要在网络隔离、凭据吊销、DNS 黑洞等遏制方式中做选择；遏制行动可能中断业务，需要结构化框架评估权衡；已识别的 ATT&CK 技术要求特定对抗措施（例如凭据窃取需要吊销凭据而非仅做网络隔离）；此前的遏制措施不足，需要评估并升级。 不适用场景：初始事件分诊与分级（使用 ir-playbook）、取证证据收集（使用 forensics-checklist）、事后复盘（使用 post-incident-review）。
二、所需上下文 选择遏制策略前应收集：事件分类与严重度（来自 ir-playbook 评估）、受影响系统清单（主机名、IP、云资源 ID、运行服务及其业务功能）、攻击向量与技术（已知 ATT&CK 技术，含初始访问、横向移动、持久化、C2）、攻击者访问范围、受影响系统的业务关键性、网络拓扑、证据保全状态（遏制动作可能破坏证据）、当前遏制状态。
三、流程 第 1 步：遏制决策准则。依据 NIST SP 800-61 Rev 2 第 3.3.1 节评估潜在损害、证据保全、服务可用性、资源需求、持续时间、有效性六项因素。资料给出遏制决策矩阵：威胁严重度高且业务关键性低时完全隔离；威胁高、业务关键性高时采用外科式精准阻断加监控；威胁低、业务关键性低时标准隔离并计划重建；威胁低、业务关键性高时增强监控加计划响应。 第 2 步：短期遏制。目标是快速阻断即时威胁，在数分钟至数小时内执行。网络隔离策略包括端口关闭、VLAN 隔离、防火墙规则、DNS 黑洞、云安全组锁定、VPN/远程访问吊销，资料列出各自适用条件与局限。凭据吊销策略包括密码重置、会话失效、API 密钥轮换、证书吊销、服务账户重置、Kerberos 票据重置（按微软指引两次重置 krbtgt）、MFA 令牌重置，并说明作用范围。 第 3 步：长期遏制。在阻断攻击者的同时维持运营，为根除做准备，包括网络分段加固、增强监控部署、临时系统加固、备份系统部署、DNS 策略与出站过滤等，并给出持续时间建议。 第 4 步：按 ATT&CK 技术的遏制。针对初始访问（钓鱼、面向公网应用利用、有效账户、供应链、外部远程服务）、横向移动（远程服务、替代认证材料、远程服务利用、工具横向传输）、命令控制（应用层协议、协议隧道、加密信道、动态解析）、持久化（计划任务、自启动、Web Shell、创建账户）分别列出具体遏制动作。 第 4b 步：擦除型恶意软件遏制。与勒索软件不同，目标是阻止破坏而非保留数据。优先顺序为：立即网络分段；对未受影响系统抢先关机（与勒索软件保留内存取证的建议相反）；保护备份基础设施（断开备份代理与 NAS/SAN 复制）；阻断传播协议（SMB 445、WMI 135/5985/5986、RDP 3389、PsExec/管理共享）；禁用被入侵的服务账户。资料还列出擦除相关 ATT&CK 技术（T1485、T1490、T1561.001、T1561.002、T1047、T1484.001）及对应动作，并强调确认擦除活动时不应观望监控，应果断立即遏制。 第 5 步：遏制有效性验证。通过检查清单确认 C2 通信被阻断、横向移动被阻断、被泄露凭据已吊销、持久化已清除、业务服务正常、证据完整。若出现新的 C2 连接、新的被入侵账户、遏制范围外活动、新持久化机制，则视为遏制失败，升级为完全网络隔离并寻求外部事件响应支持。 第 6 步：回滚标准。当遏制造成超出事件影响的不可接受业务中断时，降级为外科式遏制并增强监控；当取证需要受控观察攻击者通信时，在监控与法律批准下放宽阻断；当前作用范围错误（误报）时解除无关系统控制；根除完成并验证后分阶段退出遏制并保持监控。