定义了基于证据的事件验证、严重性评估、遏制、沟通、恢复和事件后学习，包含受保护的时间线和明确的决策所有权。
包状态： 参考上下文已准备好供人工审核。合同和测试场景已完成，但不保证采用的实现已通过测试。
决策
使用单一事件记录和指挥官进行协调，同时工作并行进行。保留原始证据，区分已确认事实与假设，优先选择可逆的遏制措施，并通过可观察的服务和安全标准定义恢复。
范围
- 警报接收、验证、严重性、角色、时间线、证据、遏制、根除、恢复、沟通、监管升级和复盘。
- 影响服务、数据、身份或供应链的网络安全事件。
- 演练和可衡量的准备度。
不包括内容
- 通用通知截止时间或法律判定。
- 替代专业的取证、法律、安全或执法专家。
合同
- 事件记录包含 ID、指挥官、严重性、声明时间、受影响范围、状态和下一次更新时间。
- 时间线条目区分观察到的事实、假设、决策和行动，并标明来源和作者。
- 证据收集保留原始数据、访问控制、时间来源、适当时的摘要以及监管链需求。
- 遏制决策记录预期收益、影响范围、可逆性、负责人和验证信号。
- 外部和用户沟通说明已确认的影响和行动，不包含无支持的归因。
- 恢复要求技术健康、安全控制、数据完整性、监控和负责人签字确认标准。
实施指导
- 预先授权紧急访问、凭证轮换、流量隔离和证据存储路径。
- 维护潜在受影响身份系统之外的联系渠道。
- 创建引用此通用生命周期的服务专用操作手册。
- 演练从检测到决策及恢复验证，而非仅参加会议。
失败处理与保障措施
- 若范围不确定，描述为未知并限定调查范围；不要报告零影响。
- 若遏制破坏证据，记录权衡并优先保留替代来源（如可行）。
- 若主要沟通渠道受损，切换到已测试的带外渠道。
验证与操作
- 测量确认、验证、遏制、恢复、沟通和关闭动作的时间；证据完整性；重复原因；演练发现。
- 跟踪纠正措施的负责人和截止日期，记录在临时事件聊天之外。
- 审查事件记录访问权限及关闭后的保留。
本包中看似可执行的示例为固定装置和验收合同。
从集合根目录运行 python tools/validate.py 以检查包结构和元数据；然后在目标仓库中实现并执行场景。
采用假设
example.yaml中的名称和数值为采用配置文件，不是通用默认值。- 采用团队必须将参与者、数据类别、错误词汇和所有权映射到其系统。