เปิดโฟลเดอร์
เลือกโฟลเดอร์ทำงานที่เก็บขั้นตอนของคุณ และเลือก Ask first เพื่อให้ทุกการเปลี่ยนแปลงรอการอนุมัติจากคุณ
ขั้นตอนการทำงาน
NIST incident response framework: ตรวจขั้นตอนของคุณทีละขั้น
03
เทียบหนึ่งขั้นตอนกับแนวทางสาธารณะ
NIST incident response framework ในที่นี้หมายถึง SP 800-61 คู่มือจัดการเหตุการณ์ของ NIST ที่มี 4 ช่วง เลือกหนึ่งขั้นตอน เทียบกับช่วงเหล่านั้น โดยเริ่มจากส่วนที่เป็นปัญหาใหญ่ที่สุดของทีมคุณในการจัดการเหตุการณ์ แล้วจดช่องโหว่ไว้
อ่านคู่มือสาธารณะ
ให้เอเจนต์อ่านแนวทางด้วย web_search และ http_get แล้วจดช่วงต่าง ๆ ไว้ในไฟล์บันทึก
เทียบแต่ละช่วง
เอเจนต์อ่านขั้นตอนของคุณด้วย read_file และ grep แล้วแสดงว่าครอบคลุมช่วงใดและไม่เคยกล่าวถึงช่วงใด
ตรวจทาน diff
อ่านทุกการแก้ไขที่เสนอเป็น diff ยอมรับอันที่เหมาะกับองค์กรของคุณ และปฏิเสธที่เหลือ
เช็กลิสต์สั้น ๆ ที่เอเจนต์เขียนได้
เทียบ docs/triage.md กับช่วงต่าง ๆ ในคู่มือสาธารณะ แล้วระบุสิ่งที่ขาด
- web_search
NIST SP 800-61 phases3 ผลลัพธ์ - http_get
nist.gov SP 800-61 pageดึงมาแล้ว - read_file
docs/triage.mdอ่านแล้ว - grep
recoveryตรงกัน 0 รายการ - edit_file
docs/triage.md+8 บรรทัด
รอการอนุมัติจากคุณก่อนขั้นตอนถัดไปปฏิเสธยอมรับ
ir-checklist.md
# Incident checklist
## Prepare
- [ ] Review the contact list and owners
- [ ] Confirm the backup channel is written down
## Triage
- [ ] Open an incident record with date and time
- [ ] Note who reported it and how
## Contain
- [ ] Record who approves each decision
- [ ] Note times and keep copies of logs
## Communicate
- [ ] Tell the people listed in the plan
## Review
- [ ] Hold a review and assign owners and datesไฟล์นี้สั้น ทีมเล็กเก็บเช็กลิสต์แบบนี้ไว้ในหน้าเดียวได้ โดยมีหัวข้อ 5 ช่วงและบรรทัดงานไม่กี่บรรทัดใต้แต่ละหัวข้อ แล้วขยายเป็นแผนรับมือภัยไซเบอร์ในภายหลัง
ตรวจฉบับร่างเทียบกับ SANS incident response framework
เทียบขั้นตอนจากคู่มือสาธารณะสองฉบับ
SANS incident response framework มักสอนเป็นหกขั้น ได้แก่ การเตรียมพร้อม การระบุ การจำกัดวง การกำจัด การกู้คืน และบทเรียนที่ได้ ให้เอเจนต์วางขั้นเหล่านี้เทียบกับ 4 ช่วงของ SP 800-61 ในตาราง web_search หาหน้าเว็บ และ http_get ดึงทีละหน้า จากนั้น read_file เปิดขั้นตอนของคุณและ grep ค้นแต่ละขั้นด้วยชื่อ ผลลัพธ์จึงเป็นตารางของขั้นที่เอกสารของคุณกล่าวถึงและขั้นที่ข้ามไป ยังไม่มีการแก้ไขใด ๆ อ่านตารางด้วยตัวเอง และตัดสินใจร่วมกับเพื่อนร่วมงานว่าช่องโหว่ใดสำคัญ ก่อนจะแก้ไขอะไร
เพิ่มว่าใครได้รับแจ้ง เมื่อไร และอย่างไร
แผนการสื่อสารตอบว่าใครได้รับแจ้ง เมื่อไร โดยใคร และผ่านช่องทางใด และช่องทางสำรองไม่ควรพึ่งพาระบบที่อาจได้รับผลกระทบ หากคุณคัดกรองผู้ขายภายนอก ให้ขอผู้ติดต่อกรณีเกิดเหตุจากแต่ละรายแล้วเพิ่มลงในรายการ เพราะเหตุการณ์ที่เกิดกับผู้จัดหาสินค้าหรือบริการอาจกระทบระบบของคุณเองได้ read_file เปิดรายการ และ edit_file เพิ่มส่วนการสื่อสารสำหรับฝ่ายบริหาร IT ฝ่ายกฎหมาย HR พนักงานที่ได้รับผลกระทบ ลูกค้า และหน่วยงานราชการ หน้าที่และกำหนดเวลาในการแจ้งเหตุต่างกันไปตามประเทศและภาคส่วน จึงควรยืนยันกับที่ปรึกษากฎหมาย นี่ไม่ใช่คำปรึกษาทางกฎหมาย Ask first แสดง diff จากนั้นคุณโทรหาผู้ติดต่อแต่ละคนด้วยตนเองหนึ่งครั้งเพื่อทดสอบรายการ
