Откройте папку
Выберите рабочую папку с вашими процедурами и режим Ask first, чтобы любое изменение ждало вашего OK.
Процессы работы
Фреймворк NIST по реагированию на инциденты: проверьте процедуру шаг за шагом
03
Сравните одну процедуру с публичными руководствами
Фреймворк NIST по реагированию на инциденты здесь означает SP 800-61, руководство NIST по обработке инцидентов с 4 фазами. Выберите одну процедуру. Сравните её с этими фазами, начиная с раздела, который для вашей команды — самое больное место в управлении инцидентами, и отметьте пробелы.
Прочитайте публичное руководство
Попросите агента прочитать руководство через web_search и http_get и перечислить его фазы в файле заметок.
Сравните фазы
Агент читает вашу процедуру через read_file и grep, затем перечисляет, какие фазы она охватывает, а какие не упоминает вовсе.
Проверьте diff
Читайте каждую предложенную правку как diff, принимайте те, что подходят вашей организации, а остальные отклоняйте.
Короткий чек-лист, который может написать агент
Сравните docs/triage.md с фазами из публичного руководства и перечислите, чего не хватает.
- web_search
NIST SP 800-61 phases3 результата - http_get
nist.gov SP 800-61 pageзагружено - read_file
docs/triage.mdпрочитано - grep
recovery0 совпадений - edit_file
docs/triage.md+8 строк
Ждёт вашего OK перед следующим шагомОтклонитьПринять
ir-checklist.md
# Incident checklist
## Prepare
- [ ] Review the contact list and owners
- [ ] Confirm the backup channel is written down
## Triage
- [ ] Open an incident record with date and time
- [ ] Note who reported it and how
## Contain
- [ ] Record who approves each decision
- [ ] Note times and keep copies of logs
## Communicate
- [ ] Tell the people listed in the plan
## Review
- [ ] Hold a review and assign owners and datesФайл короткий. Небольшая команда может держать такой чек-лист на одной странице, с 5 заголовками фаз и несколькими строками задач под каждым, а позже развить его в киберплан реагирования.
Сверьте черновик с фреймворком SANS по реагированию на инциденты
Сравните шаги двух публичных руководств
Фреймворк SANS по реагированию на инциденты обычно преподают в шести шагах: подготовка, выявление, сдерживание, устранение, восстановление и извлечённые уроки. Попросите агента расположить эти шаги в таблице рядом с 4 фазами SP 800-61. web_search находит страницы, а http_get загружает по одной странице. Затем read_file открывает вашу процедуру, а grep ищет каждый шаг по названию, так что в результате получается таблица шагов, которые документ называет, и тех, что он опускает. Пока ничего не правится. Прочитайте таблицу сами и решите вместе с коллегами, какие пробелы важны, прежде чем что-либо менять.
Добавьте, кого оповещать, когда и как
План коммуникации отвечает, кого оповещают, когда, кто и по какому каналу, а резервный канал не должен зависеть от систем, которые могут пострадать. Если вы проверяете сторонних поставщиков, попросите у каждого контакт для инцидентов и добавьте его в список, ведь инцидент у поставщика может затронуть ваши собственные системы. read_file открывает список, а edit_file добавляет раздел коммуникации для руководства, ИТ, юристов, кадров, пострадавших сотрудников, клиентов и органов власти. Обязанности и сроки уведомления различаются по странам и отраслям, поэтому подтвердите их у юриста; это не юридическая консультация. Ask first показывает diff. Потом позвоните каждому контакту один раз вручную, чтобы проверить список.
