フォルダーを開く
手順書を置いた作業フォルダーを選び、Ask first を選んで、変更がすべてあなたの承認を待つようにします。
ワークフロー
NIST インシデント対応フレームワークで手順を 1 つずつ確認する
03
1 つの手順を公開ガイダンスと比べる
ここでの NIST インシデント対応フレームワークとは、4 つのフェーズからなる NIST のインシデント対応ガイド SP 800-61 のことです。手順を 1 つ選び、チームがインシデント管理で最も困っているセクションから、これらのフェーズと比べて、抜けを書き留めます。
公開ガイドを読む
web_search と http_get でガイダンスを読ませ、そのフェーズをメモ ファイルに一覧にするようエージェントに頼みます。
フェーズを比べる
エージェントが read_file と grep であなたの手順を読み、どのフェーズを扱っていて、どれにまったく触れていないかを一覧にします。
diff を確認する
提案された編集を diff として 1 件ずつ読み、組織に合うものは承認し、それ以外は却下します。
エージェントが書ける短いチェックリスト
docs/triage.md を公開ガイドのフェーズと比較して、足りないものを挙げてください。
- web_search
NIST SP 800-61 phases3 件の結果 - http_get
nist.gov SP 800-61 page取得済み - read_file
docs/triage.md読み取り済み - grep
recovery0 件一致 - edit_file
docs/triage.md+8 行
次のステップの前にあなたの承認を待っています却下承認
ir-checklist.md
# Incident checklist
## Prepare
- [ ] Review the contact list and owners
- [ ] Confirm the backup channel is written down
## Triage
- [ ] Open an incident record with date and time
- [ ] Note who reported it and how
## Contain
- [ ] Record who approves each decision
- [ ] Note times and keep copies of logs
## Communicate
- [ ] Tell the people listed in the plan
## Review
- [ ] Hold a review and assign owners and datesファイルは短いものです。小さなチームなら、5 つのフェーズの見出しと、それぞれの下に数行の作業を置いた 1 ページのチェックリストにして、あとからサイバー対応計画へ広げていけます。
下書きを SANS インシデント対応フレームワークと突き合わせる
2 つの公開ガイドのステップを比べる
SANS インシデント対応フレームワークは、通常、準備、特定、封じ込め、根絶、復旧、教訓の 6 つのステップとして教えられます。エージェントに、これらのステップを SP 800-61 の 4 つのフェーズと並べた表にするよう頼みます。web_search がページを探し、http_get が 1 度に 1 ページを取得します。そのあと read_file があなたの手順を開き、grep が各ステップを名前で探すので、結果は、文書が挙げているステップと抜けているステップの表になります。この時点ではまだ何も編集されません。表を自分で読み、どの抜けが重要かを同僚と決めてから、編集に進んでください。
誰に、いつ、どう知らせるかを加える
コミュニケーション計画は、誰に、いつ、誰が、どの手段で知らせるかを示すもので、予備の連絡手段は影響を受けるおそれのあるシステムに依存してはいけません。サードパーティのベンダーを審査している場合は、各社にインシデント連絡先を尋ねてリストに加えてください。取引先で起きたインシデントが自社のシステムに及ぶことがあるからです。read_file がリストを開き、edit_file が経営層、IT、法務、人事、影響を受けた従業員、顧客、当局向けの連絡セクションを追加します。通知義務と期限は国や業種で異なるため、弁護士など専門家に確認してください。これは法的助言ではありません。Ask first が diff を表示します。そのあと、リストを試すために各連絡先へ 1 度ずつ手動で電話します。
