用途：这是一个结构化事件响应（IR）剧本技能，供 SOC 分析师、安全工程师、vCISO 使用，预计耗时 30-60 分钟，输出含严重度分类、遏制决策树、沟通模板、升级标准和事后交接清单的事件响应计划。可通过参数指定审查目标，如 $ARGUMENTS。
适用触发条件：检测到潜在或已确认安全事件、需要按类型（恶意软件、未授权访问、数据外泄、拒绝服务、内部威胁等）分类、需要遏制决策指导、需要规划利益相关方通报、需在遏制前保全证据、需评估升级标准、或活动响应阶段结束需移交给事后复盘时。不适用于纯取证证据收集（用 forensics-checklist）、仅聚焦遏制战术（用 containment）或仅事后复盘（用 post-incident-review）。
流程：遵循 NIST 四阶段生命周期（准备；检测与分析；遏制、根除与恢复；事后活动），并与 SANS 六步（准备、识别、遏制、根除、恢复、经验教训）对应。先核对 IR 就绪清单（团队、计划、通信渠道、取证工具、日志、法律顾问、网络保险、外部 IR、合规要求、证据保管）。检测阶段按 NIST 分类法归类事件，依据功能影响、信息影响与可恢复性评定 SEV-1 至 SEV-4，并记录 IOC 分析（类型、值、来源、时间、受影响系统、情报富化、ATT&CK 技术、置信度）。遏制阶段提供决策树（按攻击是否持续、是否外泄、是否横向移动、系统是否关键，选择立即/短期/监控/手术式/标准遏制），并给出擦除型恶意软件专项响应（与勒索软件的区别、不可变备份、归因与 FBI/CISA 通报）。之后是根除与恢复步骤及内部高管、法律/合规、监管通报模板。
限制：以上仅为技能资料描述的工作流与方法，实际执行需结合组织自身 IR 计划与合规义务；资料未提供具体价格、收费、平台支持或部署方式信息，暂未提供。