Otwórz folder
Wybierz folder roboczy z Twoimi procedurami i tryb Ask first, aby każda zmiana czekała na Twoje OK.
Workflow
Framework NIST do reagowania na incydenty: sprawdź swoją procedurę krok po kroku
03
Porównaj jedną procedurę z publicznymi wytycznymi
Framework NIST do reagowania na incydenty oznacza tu SP 800-61, poradnik NIST do obsługi incydentów z 4 fazami. Wybierz jedną procedurę. Porównaj ją z tymi fazami, zaczynając od sekcji, która jest największym bólem Twojego zespołu w zarządzaniu incydentami, i zanotuj luki.
Przeczytaj publiczny poradnik
Poproś agenta, by przeczytał poradnik przez web_search i http_get oraz wypisał jego fazy w pliku z notatkami.
Porównaj fazy
Agent czyta Twoją procedurę przez read_file i grep, a potem wypisuje, które fazy obejmuje, a których nigdy nie wymienia.
Sprawdź diff
Przeczytaj każdą proponowaną edycję jako diff, zaakceptuj te, które pasują do Twojej organizacji, a resztę odrzuć.
Krótka lista kontrolna, którą agent może napisać
Porównaj docs/triage.md z fazami z publicznego poradnika i wypisz, czego brakuje.
- web_search
NIST SP 800-61 phases3 wyniki - http_get
nist.gov SP 800-61 pagepobrano - read_file
docs/triage.mdodczytano - grep
recovery0 trafień - edit_file
docs/triage.md+8 linii
Czekam na Twoje OK przed kolejnym krokiemOdrzućZaakceptuj
ir-checklist.md
# Incident checklist
## Prepare
- [ ] Review the contact list and owners
- [ ] Confirm the backup channel is written down
## Triage
- [ ] Open an incident record with date and time
- [ ] Note who reported it and how
## Contain
- [ ] Record who approves each decision
- [ ] Note times and keep copies of logs
## Communicate
- [ ] Tell the people listed in the plan
## Review
- [ ] Hold a review and assign owners and datesPlik jest krótki. Mały zespół może trzymać taką listę kontrolną na jednej stronie, z 5 nagłówkami faz i kilkoma wierszami zadań pod każdym, a później rozbudować ją do planu reagowania cybernetycznego.
Zestaw szkic z frameworkiem SANS do reagowania na incydenty
Porównaj kroki dwóch publicznych poradników
Framework SANS do reagowania na incydenty uczy się zwykle w sześciu krokach: przygotowanie, identyfikacja, ograniczenie, usunięcie, odtworzenie i wnioski. Poproś agenta, by w tabeli zestawił te kroki z 4 fazami SP 800-61. web_search znajduje strony, a http_get pobiera po jednej. Potem read_file otwiera Twoją procedurę, a grep szuka każdego kroku po nazwie, więc wynikiem jest tabela kroków, które dokument wymienia, i tych, które pomija. Na razie nic nie jest edytowane. Przeczytaj tabelę samodzielnie i zdecyduj z kolegami, które luki mają znaczenie, zanim cokolwiek zmienisz.
Dodaj, kogo informować, kiedy i jak
Plan komunikacji odpowiada na pytania, kogo się informuje, kiedy, kto to robi i jakim kanałem, a kanał zapasowy nie powinien zależeć od systemów, które mogą zostać dotknięte. Jeśli sprawdzasz zewnętrznych dostawców, poproś każdego o kontakt na wypadek incydentu i dodaj go do listy, bo incydent u dostawcy może dotknąć Twoich systemów. read_file otwiera listę, a edit_file dodaje sekcję komunikacji dla zarządu, IT, działu prawnego, HR, poszkodowanych pracowników, klientów i organów. Obowiązki i terminy zgłoszeń różnią się w zależności od kraju i branży, więc potwierdź je z prawnikiem; to nie jest porada prawna. Ask first pokazuje diff. Potem zadzwoń do każdego kontaktu raz, ręcznie, aby sprawdzić listę.
