用途：在已确认安全事件需要隔离、选择遏制策略、权衡业务影响与安全风险、按攻击技术选择对策或验证遏制效果时使用。不适用于初始事件分级（用 ir-playbook）、取证证据收集（用 forensics-checklist）或事后复盘（用 post-incident-review）。
主要能力：提供 NIST SP 800-61 Rev 2 遏制决策标准（潜在损害、证据保全、服务可用性、资源需求、持续时间、有效性）与决策矩阵；列出短期遏制手段，如端口关闭、VLAN 隔离、防火墙规则、DNS sinkholing、云安全组锁定、VPN 撤销，以及凭据吊销（密码重置、会话失效、API 密钥轮换、证书吊销、服务账户重置、Kerberos 票据重置、MFA 重注册）；长期遏制包括网络分段、增强监控、临时加固、备份系统部署、DNS 策略与出站过滤。按 ATT&CK 技术给出针对性遏制动作，覆盖初始访问、横向移动、命令与控制、持久化，并单列 Wiper/破坏性恶意软件遏制要点。
使用方式：调用时可传目标参数聚焦审查。先收集事件分级与严重度、受影响系统清单、攻击向量与 ATT&CK 技术、攻击者访问范围、业务关键性、网络拓扑、证据保全状态与当前遏制状态，再按决策矩阵选择策略，实施后按校验清单验证，并依据回滚标准调整。
限制：技能本身不执行封禁或吊销操作，需配合网络、身份与终端工具；资料未提供价格、平台、安装命令与具体效果数据。