dsh-incident-package

出事那天，团队往往才发现：日志在、文档也在，却拼不出一条能对外说明的应急证据链。应急预案在哪、谁负责联系、日志能不能经得起删改、事件要不要按流程上报——这些平时可以自查，临头再补通常已经晚了。

dsh-incident-package 面向「出事能不能拿出证据」这一件事：在仓库与文档里检查应急预案、应急联系人、日志证据保全（异地、不可篡改或快照等表述）以及事件上报流程是否可被找到，并对照网安法、数据安全法与等保相关要求的常见缺口给出提示。它特别关注「日志和业务在同一台机器、同一账号」这类场景——攻击者进来先删日志，事后往往什么都查不到。

插件只做存在性与可发现性检查：不评判预案写得好不好、不拨号验证联系人、也不代替人工确认 WORM 或存储权限是否真生效；若材料可能在别的仓库或内部系统，结果更多是提醒你确认，而非断定未做。适合安全负责人、合规与运维团队在上线前或例行自查时使用；与查「出事通知谁」的 dsh-alert-relay、查「日志留多久」的 dsh-cn-log-retention 配套，分别覆盖告警外发、留存周期与本插件强调的「日志能不能被信任」。