Security Response — Incident Response (NIST SP 800-61 Rev. 3)

1. Mission

事件响应不是临场发挥。本 skill 提供 结构化 IR workflow：preparation → detection → analysis → containment → eradication → recovery transition → lessons learned，全程产 evidence + decision log + communications artifacts。

职责边界：

• owns: IR 整体编排、严重性分级、IC 角色分配、通讯节奏、初报/更新报告生成
• handoff to recovery: 满足条件即移交 security-response-recovery（RS → RC 切换）
• handoff to remediation: 每个 underlying defect 走 security-remediation（独立 vuln 修复）
• 不做: offensive ops、attacker hack-back、未授权监听

2. Activation Triggers