ทบทวนหลังปฏิบัติเหตุความปลอดภัย

กระบวนการ

ทำตามลำดับนี้

1. ยืนยันว่าการกักกันและการฟื้นเสถียรแล้ว กำหนดขอบเขตทบทวน และแต่งตั้งผู้นำที่เป็นกลาง
2. ประกอบเส้นเวลาข้อเท็จจริงจากการเตือน ตั๋ว บันทึกแชท ระเบียนระบบ การตัดสินใจ และความจำของผู้เข้าร่วม โดยรักษาแหล่งที่มา
3. เทียบสิ่งที่เกิดกับแผนเหตุ และระบุแรงเสียดทานในการตรวจพบ การยกระดับ อำนาจ เครื่องมือ การสื่อสาร หลักฐาน และการฟื้น
4. วิเคราะห์เงื่อนไขที่ประกอบและความล้มเหลวของการควบคุม แทนการหยุดที่ความผิดของบุคคลหรือสาเหตุรากแรกที่เห็น
5. บันทึกสิ่งที่ใช้ได้ สิ่งที่ล้มเหลว ความเสี่ยงที่ยังไม่ปิด และบทเรียนที่ใช้ได้เกินระบบที่กระทบ
6. แปลงผลการค้นพบเป็นการกระทำแก้ไขที่จัดลำดับ พร้อมเจ้าของ กำหนด การพึ่งพา และหลักฐานเสร็จที่เป็นกลาง
7. แชร์สรุปที่อนุมัติกับผู้มีส่วนได้ส่วนเสียที่เกี่ยวข้อง และติดตามการกระทำจนกว่าการทดสอบซ้ำยืนยันการปิด

เตรียมสิ่งนี้

ข้อมูลที่แมวจะขอ

• ระเบียนเหตุและแหล่งหลักฐาน
• รายชื่อผู้ตอบสนองและผู้มีส่วนได้ส่วนเสีย
• แผนและนโยบายการตอบสนองปัจจุบัน

เราเตอร์ + playbook เดียว

จัดเส้นทางก่อน เลือกอันเดียว

Cat Paw โหลด playbook เดียวต่องาน ไม่ผสมหลายอัน เริ่มที่เราเตอร์นี้ เส้นทางที่เหลือเป็นตัวเลือกเฉพาะ workflow

• เราเตอร์: cybersecurity-pack
• skills/cybersecurity-skills/conducting-post-incident-lessons-learned/SKILL.md
• skills/cybersecurity-skills/building-incident-timeline-with-timesketch/SKILL.md

เสร็จหมายถึง

จุดจบที่ตรวจได้

เส้นเวลาและรายงานหลังปฏิบัติที่อนุมัติถูกเผยแพร่ การกระทำแก้ไขถูกมอบหมาย และการกระทำวิกฤตถูกตรวจภายหลังผ่านการทดสอบ การฝึก หรือหลักฐานการควบคุม

แหล่งที่มา

กระบวนการนี้มาจากไหน

1. csrc.nist.gov/pubs/sp/800/61/r3/final
2. www.cisa.gov/resources-tools/resources/federal-government-cybersecurity-incident-and-vulnerability-response-playbooks
3. www.cisa.gov/resources-tools/resources/ctep-package-documents

แหล่งที่มาตั้งรูปแบบของ workflow โพสต์ Reddit และชุมชน ถ้ามี ให้ถือเป็นเรื่องเล่าจากผู้ปฏิบัติ ไม่ใช่ข้อเท็จจริงสากล