事件响应
调查并遏制钓鱼事故
厘清钓鱼活动范围、遏制恶意访问、保护受影响用户，并封锁指标。
流程
按这个顺序做。
- 打开事件记录，保全带完整头和附件的报告邮件，并记录报告人、时间戳、收件人和初始行动。
- 在隔离环境分析发件基础设施、网址、附件、认证结果和邮件内容，不要从生产设备点击活链。
- 在授权邮件和安全遥测中搜索匹配邮件、指标、投递、点击、载荷执行、可疑登录和邮箱规则变更。
- 隔离匹配邮件，并通过批准控制阻断已确认恶意域名、网址、哈希、发件人和基础设施。
- 对受影响账号，撤销活动会话和令牌，经身份提供方重置凭证，审查 MFA 方法和委托访问，并检查终端活动。
- 向受影响用户发出具体指示，按事件计划升级已确认失陷，并为法务或执法保全证据。
- 监控复发，记录范围与决定，并把教训转化为邮件控制、检测和意识改进。
先准备
猫会向你要的输入。
- 原始邮件或事件标识
- 授权邮件与身份系统访问
- 事件联系人与升级策略
路由器 + 一份 playbook
先路由。只选一份。
Cat Paw 每次任务只加载一份 playbook，不合并多份。先走这个路由器；其余路径是此 workflow 可检查的候选。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/conducting-phishing-incident-response/SKILL.mdskills/cybersecurity-skills/investigating-phishing-email-incident/SKILL.md
界限
界限跟着提示一起走。
- 不要在生产终端打开可疑附件或链接；使用批准的隔离与分析服务。
- 搜索、隔离和账号操作须有相关租户授权。
- 保全证据，避免通知攻击者控制的地址。
完成代表
一个可核对的终点。
所有已知副本已隔离，指标已阻断，受影响账号和终端已遏制，范围已记录，加强监控已启动。
来源
这个流程从哪来。
- www.cisa.gov/resources-tools/resources/phishing-guidance-stopping-attack-cycle-phase-one
- csrc.nist.gov/pubs/sp/800/61/r3/final
来源确立 workflow 的模式。如有 Reddit 或社区帖子，视为实务轶事，不是普遍事实。
