用途：处理主机、账号或云租户被入侵的疑似或确认事件，做取证分析与响应。核心问题是攻击者深入到什么程度、是否仍在环境中，其余恶意样本、CVE、根因属于支撑细节。适用于磁盘镜像、内存抓取、日志集的取证分析，攻击过程与时间重建，爆炸半径界定与遏制决策，以及复盘报告和面向监管或客户的事件叙述。
流程顺序：准备→检测与分析→遏制→清除→恢复→经验总结，每次新发现后重新界定范围。两条关键规则：先保全再修复，重启、重装或“清理”会破坏内存、运行进程状态和未落盘日志；不要只遏制一部分，部分遏制会惊动攻击者并让其从遗漏处重建访问，除非存在持续损害。
证据获取按 RFC 3227 易失性顺序，现代实践中先抓内存，因为枚举进程与套接字的命令会扰动尚未捕获的内存；不要跳过 tmpfs、/dev/shm 等暂存区。命令示例：Linux 用 sudo ./avml mem.lime 或 LiME；Windows 用 DumpIt.exe /OUTPUT mem.raw 或 winpmem；磁盘用 sudo dd if=/dev/sda bs=4M conv=noerror,sync status=progress | tee image.dd | sha256sum，或 sudo ewfacquire /dev/sda，并只读挂载：sudo mount -o ro,noexec,noload,loop image.dd /mnt/evidence。macOS 说明 osxpmem、Rekall 已过时且受 SIP 限制，若无可用的商业工具，则做进程级转储和现场分类采集并记录原因。
证据链在采集时记录编号、来源主机、采集人、UTC 时间、工具与版本、SHA-256、每次转移与保管人；立即哈希并每次复制后校验，不在原件上工作；可能涉及诉讼或监管时先让法务介入。
分类采集：Windows 可用 kape.exe --tsource C: --target !SANS_Triage --tdest E:\out --vhdx host01；Linux/macOS 用 ./uac -p full /evidence/host01；云侧用 aws ec2 create-snapshot --volume-id vol-xxx --description "IR-<case> preserve"。内存分析常用 Volatility 如 vol -f mem.raw windows.malfind、windows.netscan、linux.bash；时间线用 fls -r -m / image.dd > body.txt && mactime -b body.txt -d > timeline.csv，或 log2timeline.py --storage-file plaso.db image.dd && psort.py -o dynamic plaso.db > super.csv。
云与身份事件：AWS 用 aws cloudtrail lookup-events --lookup-attributes AttributeKey=Username,... 关注 CreateAccessKey、AttachUserPolicy、AssumeRole、无 MFA 登录、CreateTrail/StopLogging；Azure/Entra 与 Google Workspace 关注登录、OAuth 授权、服务主体凭据、邮件转发规则，这些是最易漏掉的持久化。时间线统一 UTC、逐行标注来源、区分观测与推断，警惕时间戳篡改。
适用限制：样本深度分析、无事件的主动搜寻、告警分类、检测工程、纯网络包分析、AWS 或 M365 专项调查、非安全性的服务中断，应转其他技能或流程。若攻击者获得 SYSTEM/root，建议重装而非清理；恢复前需关闭初始入口、清除持久化、轮换凭据并具备相应检测。报告含执行摘要、时间线、范围、根因、行动、证据登记、缺口与建议，复盘不追责个人。ATT&CK 覆盖 ID 需在引用前对照当前版本核验。