用途：在事件已遏制、清除且恢复基本完成后，按 NIST SP 800-61 Rev 2 第 3.4 节要求开展结构化事后复盘（PIR），产出复盘报告，包含无指责回顾、根因分析、控制失效映射、指标与经验教训、整改跟踪计划。建议在事件关闭后 5 个工作日内进行。适用触发条件：事件已解决；组织 IR 流程要求对超过严重度阈值的事件复盘；多次类似事件需识别系统性根因；SOC 2、ISO 27001、PCI DSS 或网络保险要求记录事后分析与经验教训；未遂事件分析。事件仍处于遏制或清除阶段时不应使用，本技能仅用于解决后分析。
所需上下文：事件报告、事件时间线、参与人员名单与角色、沟通日志、证据与取证发现、当时已部署的安全控制、以往同类 PIR 报告、用于计算指标的时序数据。
主要流程：第一步开展无指责回顾，遵循无罪推定、聚焦系统而非个人、鼓励如实上报、分析与整改分离等原则，会议分为开场、时间线回顾、做得好的地方、可改进之处、根因分析、行动项、收尾。第二步重建时间线，覆盖攻击者与防御者动作及关键决策点。第三步根因分析，可用 5 Whys 或鱼骨图，从人员、流程、技术、环境、数据、外部六类归因，避免止步于“人为错误”。第四步计算 MTTD、MTTC、MTTR，以及驻留时间、遏制效率、升级时间、通知时间、复发率。第五步进行控制失效映射，区分预防性、检测性、纠正性控制，识别检测缺口、告警疲劳、配置漂移、补丁缺口、访问控制缺口、分段失败、流程缺口、沟通失败等模式。第六步形成经验教训与整改计划，按 P0（7 天）、P1（30 天）、P2（90 天）、P3（下季度）排序，输出报告章节。
限制：本技能不适用于事件仍活跃阶段；资料中未提供具体命令或安装方式，收费与平台信息暂未提供。