Відкрийте теку
Виберіть робочу теку з вашими процедурами й оберіть Ask first, щоб будь-яка зміна чекала на ваше OK.
Робочі процеси
NIST incident response framework: перевірте свою процедуру крок за кроком
03
Порівняйте одну процедуру з публічними настановами
Під NIST incident response framework тут мається на увазі SP 800-61 — посібник NIST з опрацювання інцидентів із 4 фазами. Виберіть одну процедуру. Порівняйте її з цими фазами, почавши з розділу, який є найболючішим місцем вашої команди у керуванні інцидентами, і запишіть прогалини.
Прочитайте публічний посібник
Попросіть агента прочитати настанови через web_search і http_get та занести їхні фази в файл нотаток.
Порівняйте фази
Агент читає вашу процедуру через read_file і grep, а потім перелічує, які фази вона охоплює, а які ніде не згадує.
Перегляньте diff
Читайте кожну запропоновану правку як diff, приймайте ті, що пасують вашій організації, а решту відхиліть.
Короткий чек-лист, який може написати агент
Порівняй docs/triage.md із фазами з публічного посібника й перелічи, чого бракує.
- web_search
NIST SP 800-61 phases3 результати - http_get
nist.gov SP 800-61 pageзавантажено - read_file
docs/triage.mdпрочитано - grep
recovery0 збігів - edit_file
docs/triage.md+8 рядків
Чекаю на ваше OK перед наступним крокомВідхилитиПрийняти
ir-checklist.md
# Incident checklist
## Prepare
- [ ] Review the contact list and owners
- [ ] Confirm the backup channel is written down
## Triage
- [ ] Open an incident record with date and time
- [ ] Note who reported it and how
## Contain
- [ ] Record who approves each decision
- [ ] Note times and keep copies of logs
## Communicate
- [ ] Tell the people listed in the plan
## Review
- [ ] Hold a review and assign owners and datesФайл короткий. Невелика команда може тримати такий чек-лист на одній сторінці: 5 заголовків фаз і по кілька рядків завдань під кожним, а згодом розвинути його в кіберплан реагування.
Звірте чернетку із SANS incident response framework
Порівняйте кроки двох публічних посібників
SANS incident response framework зазвичай викладають як шість кроків: підготовка, ідентифікація, стримування, усунення, відновлення й підсумки. Попросіть агента зіставити ці кроки з 4 фазами SP 800-61 у таблиці. web_search знаходить сторінки, а http_get завантажує по одній. Далі read_file відкриває вашу процедуру, і grep шукає кожен крок за назвою, тож результат — таблиця кроків, які ваш документ називає, і тих, яких не має. Поки що нічого не редагується. Прочитайте таблицю самі й разом із колегами вирішіть, які прогалини важливі, перш ніж щось правити.
Додайте, кого повідомляти, коли і як
План комунікацій відповідає, кого повідомляють, коли, хто і яким каналом, а запасний канал не повинен залежати від систем, які можуть постраждати. Якщо ви перевіряєте сторонніх постачальників, попросіть у кожного контакт для інцидентів і додайте його до списку, бо інцидент у постачальника може зачепити ваші власні системи. read_file відкриває список, а edit_file додає розділ про комунікацію для керівництва, ІТ, юристів, HR, постраждалих працівників, клієнтів і органів влади. Обов’язки й строки сповіщення різняться залежно від країни та галузі, тож підтвердьте їх із юристом; це не юридична порада. Ask first показує diff. Потім ви вручну телефонуєте кожному контакту по одному разу, щоб перевірити список.
