營運
維護事故應變證據日誌
依時間排序、存取受控的事故紀錄，支援技術、管理、保險與法律的協同審查。
流程
照這個順序做。
- 開啟含唯一識別、通報者、時間基準、初始類別、事件主導與核准溝通管道的事件紀錄。
- 定義初始範圍，並記錄受影響系統、使用者、資料、服務、營運影響與已知未知。
- 以 UTC 記錄每個事件與應變行動，含行動者、來源、描述、決策與連結成品。
- 保全相關證據且不更動原件，並記錄取得時間、方法、保管人、位置與完整性中繼資料。
- 隨已驗證資訊變化，更新時間線、假設、範圍、遏制、清除、恢復與通知決策。
- 限制存取、標示未驗證主張，並把法務、監管、執法、保險與公開溝通轉給授權主導。
- 以已審查年表、證據索引、影響摘要、未決行動與教訓更新結案。
先準備
貓會向你要的輸入。
- 事件識別與初始通報
- 授權應變角色與窗口
- 可用日誌與成品
- 組織通知與保留政策
路由器 + 一份 playbook
先路由。只選一份。
Cat Paw 每次任務只載入一份 playbook，不合併多份。先走這個路由器；其餘路徑是此 workflow 可檢查的候選。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/building-incident-timeline-with-timesketch/SKILL.mdskills/cybersecurity-skills/collecting-volatile-evidence-from-compromised-host/SKILL.md
界線
界線跟著提示一起走。
- 未經明確授權，不要存取系統、刪除資料、通知外部單位或歸屬攻擊者。
- 保全原件與保管鏈細節；不要污染潛在證據。
- 重大事件與管轄特定通知義務，應引入安全專家與法務。
完成代表
一個可核對的終點。
事件主導核准完整年表與證據索引，所有重大決策有負責人與時間戳，剩餘行動追蹤至結案。
來源
這個流程從哪來。
- www.cisa.gov/resources-tools/resources/federal-government-cybersecurity-incident-and-vulnerability-response-playbooks
- www.ftc.gov/business-guidance/resources/data-breach-response-guide-business
來源確立 workflow 的模式。若有 Reddit 或社群貼文，視為實務軼事，不是普遍事實。
