Abra a pasta
Escolha a pasta de trabalho que guarda seus procedimentos e selecione Ask first para que qualquer mudança espere seu OK.
Fluxos de trabalho
Framework NIST de resposta a incidentes: confira seu procedimento passo a passo
03
Compare um procedimento com orientações públicas
O framework NIST de resposta a incidentes aqui é a SP 800-61, o guia de tratamento de incidentes do NIST com 4 fases. Escolha um procedimento. Compare-o com essas fases, começando pela seção que mais dá dor de cabeça à sua equipe na gestão de incidentes, e anote as lacunas.
Leia o guia público
Peça ao agente que leia o guia com web_search e http_get e liste as fases dele num arquivo de anotações.
Compare as fases
O agente lê seu procedimento com read_file e grep e depois lista quais fases ele cobre e quais nunca menciona.
Revise o diff
Leia cada edição proposta como um diff, aceite as que combinam com sua organização e rejeite as outras.
Uma lista de verificação curta que o agente pode escrever
Compare docs/triage.md com as fases do guia público e liste o que está faltando.
- web_search
NIST SP 800-61 phases3 resultados - http_get
nist.gov SP 800-61 pageobtida - read_file
docs/triage.mdlido - grep
recovery0 ocorrências - edit_file
docs/triage.md+8 linhas
Aguardando seu OK antes do próximo passoRejeitarAceitar
ir-checklist.md
# Incident checklist
## Prepare
- [ ] Review the contact list and owners
- [ ] Confirm the backup channel is written down
## Triage
- [ ] Open an incident record with date and time
- [ ] Note who reported it and how
## Contain
- [ ] Record who approves each decision
- [ ] Note times and keep copies of logs
## Communicate
- [ ] Tell the people listed in the plan
## Review
- [ ] Hold a review and assign owners and datesO arquivo é curto. Uma equipe pequena pode manter uma lista assim numa única página, com 5 títulos de fase e algumas linhas de tarefas em cada um, e fazê-la crescer depois até um plano de resposta cibernética.
Confira um rascunho com o framework SANS de resposta a incidentes
Compare os passos de dois guias públicos
O framework SANS de resposta a incidentes costuma ser ensinado em seis passos: preparação, identificação, contenção, erradicação, recuperação e lições aprendidas. Peça ao agente que coloque esses passos ao lado das 4 fases da SP 800-61 numa tabela. web_search encontra as páginas e http_get busca uma página por vez. Depois read_file abre seu procedimento e grep procura cada passo pelo nome, e o resultado é uma tabela dos passos que seu documento cita e dos que ele deixa de fora. Nada é editado ainda. Leia a tabela você mesmo e decida com os colegas quais lacunas importam antes de qualquer edição.
Inclua quem é avisado, quando e como
Um plano de comunicação responde a quem é avisado, quando, por quem e por qual canal, e um canal de reserva não deve depender dos sistemas que possam ser afetados. Se você avalia fornecedores terceirizados, peça a cada um um contato para incidentes e inclua-o na lista, porque um incidente num fornecedor pode afetar seus próprios sistemas. read_file abre a lista e edit_file inclui uma seção de comunicação para a diretoria, TI, jurídico, RH, equipe afetada, clientes e autoridades. As obrigações e os prazos de notificação variam por país e setor, então confirme-os com um advogado; isto não é orientação jurídica. O Ask first mostra o diff. Depois ligue você mesmo uma vez para cada contato, para testar a lista.
