افتح المجلد
اختر مجلد العمل الذي يضم إجراءاتك، واختر Ask first لينتظر أي تغيير موافقتك.
سير العمل
NIST incident response framework: افحص إجراءك خطوة بخطوة
03
قارن إجراءً واحدًا بإرشادات عامة
المقصود هنا بـ NIST incident response framework هو SP 800-61، دليل NIST لمعالجة الحوادث بمراحله الأربع. اختر إجراءً واحدًا. قارنه بهذه المراحل بدءًا بالقسم الذي يمثل أكبر مشكلة لفريقك في إدارة الحوادث، ودوّن الثغرات.
اقرأ الدليل العام
اطلب من الوكيل قراءة الإرشادات بـ web_search وhttp_get وسرد مراحلها في ملف ملاحظات.
قارن المراحل
يقرأ الوكيل إجراءك بـ read_file وgrep، ثم يسرد المراحل التي يغطيها وتلك التي لا يذكرها قط.
راجع الـ diff
اقرأ كل تعديل مقترح بصيغة diff، واقبل ما يناسب مؤسستك، وارفض الباقي.
قائمة تحقق قصيرة يستطيع الوكيل كتابتها
قارن docs/triage.md بالمراحل الواردة في الدليل العام وسرد ما ينقصه.
- web_search
NIST SP 800-61 phases3 نتائج - http_get
nist.gov SP 800-61 pageتم الجلب - read_file
docs/triage.mdتمت القراءة - grep
recovery0 تطابقات - edit_file
docs/triage.md+8 أسطر
بانتظار موافقتك قبل الخطوة التاليةرفضقبول
ir-checklist.md
# Incident checklist
## Prepare
- [ ] Review the contact list and owners
- [ ] Confirm the backup channel is written down
## Triage
- [ ] Open an incident record with date and time
- [ ] Note who reported it and how
## Contain
- [ ] Record who approves each decision
- [ ] Note times and keep copies of logs
## Communicate
- [ ] Tell the people listed in the plan
## Review
- [ ] Hold a review and assign owners and datesالملف قصير. يستطيع فريق صغير الاحتفاظ بقائمة تحقق كهذه في صفحة واحدة، بخمسة عناوين للمراحل وبضعة أسطر للمهام تحت كل منها، ثم توسيعها لاحقًا إلى خطة استجابة سيبرانية.
قارن مسودة بإطار SANS incident response framework
قارن خطوات دليلين عامين
يُدرَّس SANS incident response framework عادةً في ست خطوات: الإعداد والتحديد والاحتواء والاستئصال والتعافي والدروس المستفادة. اطلب من الوكيل وضع هذه الخطوات بجانب المراحل الأربع في SP 800-61 داخل جدول. يعثر web_search على الصفحات ويجلب http_get صفحة واحدة في كل مرة. ثم يفتح read_file إجراءك ويبحث grep عن كل خطوة باسمها، فتكون النتيجة جدولًا بالخطوات التي يذكرها مستندك وتلك التي يغفلها. لا يُعدَّل شيء بعد. اقرأ الجدول بنفسك وقرّر مع زملائك أي الثغرات مهمة قبل أي تعديل.
أضف من يُبلَّغ ومتى وكيف
تجيب خطة التواصل عمّن يُبلَّغ ومتى ومن يبلّغ وعبر أي قناة، ويجب ألا تعتمد القناة الاحتياطية على الأنظمة التي قد تتأثر. وإذا كنت تقيّم موردين من أطراف ثالثة فاطلب من كل منهم جهة اتصال للحوادث وأضفها إلى القائمة، لأن حادثًا لدى مورّد قد يؤثر في أنظمتك. يفتح read_file القائمة ويضيف edit_file قسمًا للتواصل مع الإدارة وتقنية المعلومات والشؤون القانونية والموارد البشرية والموظفين المتأثرين والعملاء والجهات الرسمية. تختلف واجبات الإبلاغ ومهلها باختلاف البلد والقطاع، فتأكد منها مع مستشار قانوني؛ وهذه ليست استشارة قانونية. يعرض Ask first الـ diff. ثم تتصل بكل جهة اتصال مرة واحدة يدويًا لاختبار القائمة.
