事件應變
調查並遏制釣魚事故
釐清釣魚活動範圍、遏制惡意存取、保護受影響使用者，並封鎖指標。
流程
照這個順序做。
- 開啟事件紀錄，保全含完整標頭與附件的通報郵件，並記錄通報者、時間戳、收件人與初始行動。
- 在隔離環境分析寄件基礎建設、網址、附件、驗證結果與郵件內容，不要從正式裝置點擊即時連結。
- 在授權郵件與安全遙測中搜尋相符郵件、指標、投遞、點擊、承載執行、可疑登入與信箱規則變更。
- 隔離相符郵件，並經核准控制封鎖已確認惡意網域、網址、雜湊、寄件者與基礎建設。
- 對受影響帳戶撤銷作用中工作階段與權杖、經身分提供者重設憑證、審查 MFA 方法與委派存取，並檢查端點活動。
- 向受影響使用者發出具體指示、依事件計畫升級已確認入侵，並為法務或執法需求保全證據。
- 監控復發、記錄範圍與決策，並把教訓轉成郵件控制、偵測與意識改善。
先準備
貓會向你要的輸入。
- 原始郵件或事件識別碼
- 授權郵件與身分系統存取
- 事件窗口與升級政策
路由器 + 一份 playbook
先路由。只選一份。
Cat Paw 每次任務只載入一份 playbook，不合併多份。先走這個路由器；其餘路徑是此 workflow 可檢查的候選。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/conducting-phishing-incident-response/SKILL.mdskills/cybersecurity-skills/investigating-phishing-email-incident/SKILL.md
界線
界線跟著提示一起走。
- 不要在正式端點開啟可疑附件或連結；使用核准隔離與分析服務。
- 搜尋、隔離與帳戶操作需有相關租戶授權。
- 保全證據，並避免通知攻擊者控制的地址。
完成代表
一個可核對的終點。
所有已知複本已隔離、指標已封鎖、受影響帳戶與端點已遏制、範圍已記錄，且強化監控已啟動。
來源
這個流程從哪來。
- www.cisa.gov/resources-tools/resources/phishing-guidance-stopping-attack-cycle-phase-one
- csrc.nist.gov/pubs/sp/800/61/r3/final
來源確立 workflow 的模式。若有 Reddit 或社群貼文，視為實務軼事，不是普遍事實。
