运营
维护事故响应证据日志
按时间排序、访问受控的事故记录，支持技术、管理、保险与法律的协同审查。
流程
按这个顺序做。
- 用唯一标识、报告人、时间基准、初始类别、事件负责人和批准沟通渠道打开事件记录。
- 界定初始范围，并记录受影响系统、用户、数据、服务、运营影响和已知未知。
- 以协调世界时记录每个事件和响应行动，含行动者、来源、描述、决定和链接产物。
- 保全相关证据且不修改原件，并记录采集时间、方法、保管人、位置和完整性元数据。
- 随核实信息变化更新时间线、假设、范围、遏制、清除、恢复和通知决定。
- 限制访问，标注未核实主张，并把法务、监管、执法、保险和公共沟通转给授权负责人。
- 以已审阅年表、证据索引、影响摘要、未决行动和经验更新关闭。
先准备
猫会向你要的输入。
- 事件标识与初始报告
- 授权响应角色与联系人
- 可用日志与产物
- 组织通知与留存政策
路由器 + 一份 playbook
先路由。只选一份。
Cat Paw 每次任务只加载一份 playbook，不合并多份。先走这个路由器；其余路径是此 workflow 可检查的候选。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/building-incident-timeline-with-timesketch/SKILL.mdskills/cybersecurity-skills/collecting-volatile-evidence-from-compromised-host/SKILL.md
界限
界限跟着提示一起走。
- 未经明确授权，不要访问系统、删除数据、通知外部方或归因攻击者。
- 保全原件和保管链细节；不要污染潜在证据。
- 对重大事件和辖区特定通知义务，接入安全专家和法务。
完成代表
一个可核对的终点。
事件负责人批准完整年表和证据索引，所有重大决定有责任人和时间戳，剩余行动跟踪至关闭。
来源
这个流程从哪来。
- www.cisa.gov/resources-tools/resources/federal-government-cybersecurity-incident-and-vulnerability-response-playbooks
- www.ftc.gov/business-guidance/resources/data-breach-response-guide-business
来源确立 workflow 的模式。如有 Reddit 或社区帖子，视为实务轶事，不是普遍事实。
