用途：在确认发生大范围身份/租户失陷（如 Entra/AD 全域失陷、勒索软件、持有全局管理员或域管理员的持久化攻击者）时，指导重新夺回管理控制权、一次性协同清除攻击者并重建可信安全态势。不适用于常规告警分诊、单主机恶意软件、事前架构加固或 Sentinel 检测工程。
阶段划分：调查（异常已发现但范围未确认，先狩猎并保留证据，不打草惊蛇）、遏制（攻击者已确认但范围扩大，先建立可信基础 PAW 并保护核心资产）、清除（范围已知，对所有持久化一次性协同清除）、恢复（重置 krbtgt、联合身份机密、特权凭据）、加固（全面 MFA、PIM、PAW、监控扩展）、交接（移交持续安全运营与改进）。
主要能力与做法：立即聘请合格事件响应方（如 Microsoft Incident Response 或 DFIR 伙伴）；建立带外通信与专用管理工作站（PAW）等可信基础；修复前先快照系统并导出登录、审计、邮件及 Entra/AD 变更日志；在隐蔽模式下收紧条件访问、监控已知攻击者账户而不立即封禁；制定并预演清除运行手册，覆盖账户、应用注册与授权同意、邮箱规则与转发、计划任务、伪造 Kerberos 票据、联合/SAML 令牌及新增管理员角色；krbtgt 需间隔复制时间重置两次，轮换联合/SAML 签名证书、Entra Connect 同步账户及服务主体机密；加固阶段要求特权账户 100% 纳入 PIM 并使用抗钓鱼 MFA（FIDO2、Windows Hello for Business 或证书认证），部署针对已观察 TTP 的检测，并设 90 天观察期。
限制与护栏：不得从失陷环境发起清除；不得零散清除；不得因“密码已改”跳过 krbtgt 重置；不得遗漏服务主体与应用注册；不得过早宣布胜利；需记录经验教训并投入根因整改。资料未提供具体命令、价格或平台细节。