ดูแลปูมหลักฐานตอบสนองเหตุ

กระบวนการ

ทำตามลำดับนี้

1. เปิดระเบียนเหตุด้วยตัวระบุไม่ซ้ำ ผู้รายงาน ฐานเวลา หมวดแรก ผู้นำเหตุ และช่องสื่อสารที่อนุมัติ
2. กำหนดขอบเขตแรก และบันทึกระบบ ผู้ใช้ ข้อมูล บริการ ผลกระทบปฏิบัติการ และสิ่งที่ไม่ทราบซึ่งทราบว่าไม่ทราบ
3. บันทึกแต่ละเหตุและการตอบใน UTC พร้อมผู้กระทำ แหล่ง คำอธิบาย การตัดสินใจ และอาร์ติแฟกต์ที่เชื่อม
4. รักษาหลักฐานที่เกี่ยวข้องโดยไม่แก้ต้นฉบับ และบันทึกเวลาได้มา วิธี ผู้ดูแล ที่ตั้ง และเมทาดาทาความสมบูรณ์
5. อัปเดตเส้นเวลา สมมติฐาน ขอบเขต การกัก การกำจัด การกู้ และการตัดสินใจแจ้ง เมื่อข้อมูลที่ยืนยันเปลี่ยน
6. จำกัดการเข้าถึง ติดป้ายข้อความที่ยังไม่ยืนยัน และส่งการสื่อสารกฎหมาย กำกับ หน่วยงานบังคับใช้กฎหมาย ผู้ประกันภัย และสาธารณะไปยังผู้นำที่ได้รับอนุญาต
7. ปิดด้วยลำดับเวลาที่ทบทวนแล้ว ดัชนีหลักฐาน สรุปผลกระทบ งานเปิด และการอัปเดตบทเรียน

เตรียมสิ่งนี้

ข้อมูลที่แมวจะขอ

• ตัวระบุเหตุและรายงานแรก
• บทบาทและผู้ติดต่อตอบสนองที่ได้รับอนุญาต
• บันทึกและอาร์ติแฟกต์ที่มี
• นโยบายการแจ้งและการเก็บขององค์กร

เราเตอร์ + playbook เดียว

จัดเส้นทางก่อน เลือกอันเดียว

Cat Paw โหลด playbook เดียวต่องาน ไม่ผสมหลายอัน เริ่มที่เราเตอร์นี้ เส้นทางที่เหลือเป็นตัวเลือกเฉพาะ workflow

• เราเตอร์: cybersecurity-pack
• skills/cybersecurity-skills/building-incident-timeline-with-timesketch/SKILL.md
• skills/cybersecurity-skills/collecting-volatile-evidence-from-compromised-host/SKILL.md

เสร็จหมายถึง

จุดจบที่ตรวจได้

ผู้นำเหตุอนุมัติลำดับเวลาและดัชนีหลักฐานที่ครบ การตัดสินใจสำคัญทั้งหมดมีเจ้าของและเวลาประทับ และงานคงเหลือถูกติดตามจนปิด

แหล่งที่มา

กระบวนการนี้มาจากไหน

1. www.cisa.gov/resources-tools/resources/federal-government-cybersecurity-incident-and-vulnerability-response-playbooks
2. www.ftc.gov/business-guidance/resources/data-breach-response-guide-business

แหล่งที่มาตั้งรูปแบบของ workflow โพสต์ Reddit และชุมชน ถ้ามี ให้ถือเป็นเรื่องเล่าจากผู้ปฏิบัติ ไม่ใช่ข้อเท็จจริงสากล