事件應變
協調勒索軟體的第一線應變
限制勒索軟體擴散，保護證據與復原選項，並給領導層一條協調好的應變路徑。
流程
照這個順序做。
- 啟動事件應變計畫、指定事件指揮官、開啟帶外協調頻道，並開始決策日誌。
- 用核准方法隔離受影響系統與網段；若無法隔離，僅在事件領導判斷取捨合理時才關機。
- 保護備份與管理系統免再被存取、停用遭入侵帳戶，並封鎖已確認的指揮與控制指標。
- 在可行時保全揮發與耐久證據，辨識勒索軟體變種，並界定加密、外洩、身分入侵與初始存取範圍。
- 依合約與適用通報義務，聯繫法務、資安保險、監管、執法與外部應變單位。
- 選擇乾淨還原點、從可信媒體重建、輪替暴露憑證、修復進入向量，並在重新連線前驗證系統。
- 維持強化監控、經核准發言人溝通，並進行事後檢討與可追蹤矯正行動。
先準備
貓會向你要的輸入。
- 事件應變計畫與窗口名冊
- 受影響資產與觀察指標
- 備份盤點與恢復優先
- 法務、保險與通報窗口
路由器 + 一份 playbook
先路由。只選一份。
Cat Paw 每次任務只載入一份 playbook，不合併多份。先走這個路由器；其餘路徑是此 workflow 可檢查的候選。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/performing-ransomware-response/SKILL.mdskills/cybersecurity-skills/investigating-ransomware-attack-artifacts/SKILL.md
界線
界線跟著提示一起走。
- 只有授權應變人員可隔離、停用、重建或重新連線系統。
- 不要銷毀證據、執行不受信任解密器，或在沒有高階、法務與執法指引下談判或付款。
- 若企業身分或通訊可能遭入侵，使用帶外溝通。
完成代表
一個可核對的終點。
擴散已停止，範圍與通報決策已記錄，關鍵服務已從可信來源恢復，入侵路徑已處理，監控在約定觀察期未見惡意活動再開。
來源
這個流程從哪來。
- www.cisa.gov/ransomware-response-checklist
- www.cisa.gov/resources-tools/resources/stopransomware-guide
- csrc.nist.gov/pubs/sp/800/61/r3/final
來源確立 workflow 的模式。若有 Reddit 或社群貼文，視為實務軼事，不是普遍事實。
