Mở thư mục
Chọn thư mục làm việc chứa các quy trình của bạn, và chọn Ask first để mọi thay đổi chờ bạn đồng ý.
Quy trình làm việc
NIST incident response framework: kiểm tra quy trình của bạn từng bước
03
So sánh một quy trình với hướng dẫn công khai
Ở đây NIST incident response framework nghĩa là SP 800-61, hướng dẫn xử lý sự cố của NIST với 4 giai đoạn. Hãy chọn một quy trình. So sánh nó với các giai đoạn đó, bắt đầu từ phần là điểm đau lớn nhất của nhóm bạn trong quản lý sự cố, và ghi lại những chỗ thiếu.
Đọc hướng dẫn công khai
Yêu cầu tác tử đọc hướng dẫn bằng web_search và http_get, rồi liệt kê các giai đoạn của nó vào một tệp ghi chú.
So sánh các giai đoạn
Tác tử đọc quy trình của bạn bằng read_file và grep, rồi liệt kê giai đoạn nào nó bao quát và giai đoạn nào chưa từng nhắc tới.
Xem lại diff
Đọc từng chỉnh sửa được đề xuất dưới dạng diff, chấp nhận những cái phù hợp với tổ chức của bạn và từ chối phần còn lại.
Một danh sách kiểm tra ngắn mà tác tử có thể viết
So sánh docs/triage.md với các giai đoạn trong hướng dẫn công khai và liệt kê những gì còn thiếu.
- web_search
NIST SP 800-61 phases3 kết quả - http_get
nist.gov SP 800-61 pageđã tải - read_file
docs/triage.mdđã đọc - grep
recovery0 kết quả khớp - edit_file
docs/triage.md+8 dòng
Đang chờ bạn đồng ý trước bước tiếp theoTừ chốiChấp nhận
ir-checklist.md
# Incident checklist
## Prepare
- [ ] Review the contact list and owners
- [ ] Confirm the backup channel is written down
## Triage
- [ ] Open an incident record with date and time
- [ ] Note who reported it and how
## Contain
- [ ] Record who approves each decision
- [ ] Note times and keep copies of logs
## Communicate
- [ ] Tell the people listed in the plan
## Review
- [ ] Hold a review and assign owners and datesTệp này ngắn. Một nhóm nhỏ có thể giữ danh sách kiểm tra như vậy trong một trang, với 5 đề mục giai đoạn và vài dòng nhiệm vụ dưới mỗi đề mục, rồi mở rộng nó thành kế hoạch ứng phó an ninh mạng về sau.
Đối chiếu bản nháp với SANS incident response framework
So sánh các bước của hai hướng dẫn công khai
SANS incident response framework thường được dạy thành sáu bước: chuẩn bị, nhận diện, ngăn chặn, loại bỏ, khôi phục và rút kinh nghiệm. Hãy yêu cầu tác tử đặt các bước đó cạnh 4 giai đoạn của SP 800-61 trong một bảng. web_search tìm các trang và http_get lấy từng trang một. Sau đó read_file mở quy trình của bạn và grep tìm từng bước theo tên, nên kết quả là bảng các bước mà tài liệu của bạn có nêu và những bước bị bỏ sót. Chưa có gì được chỉnh sửa. Hãy tự đọc bảng, và cùng đồng nghiệp quyết định chỗ thiếu nào quan trọng trước khi sửa bất cứ gì.
Thêm ai được thông báo, khi nào và bằng cách nào
Kế hoạch liên lạc trả lời ai được thông báo, khi nào, bởi ai và qua kênh nào, và kênh dự phòng không nên phụ thuộc vào các hệ thống có thể bị ảnh hưởng. Nếu bạn thẩm định nhà cung cấp bên thứ ba, hãy xin từng bên một đầu mối liên hệ sự cố và thêm vào danh sách, vì sự cố ở nhà cung cấp có thể ảnh hưởng tới hệ thống của chính bạn. read_file mở danh sách và edit_file thêm phần liên lạc cho ban quản lý, CNTT, pháp lý, nhân sự, nhân viên bị ảnh hưởng, khách hàng và cơ quan chức năng. Nghĩa vụ và thời hạn thông báo khác nhau theo quốc gia và lĩnh vực, nên hãy xác nhận với cố vấn pháp lý; đây không phải tư vấn pháp lý. Ask first hiện diff. Sau đó bạn tự gọi mỗi liên hệ một lần để thử danh sách.
