IT 營運
建立資安日誌管理基線
關鍵系統產出受保護、可搜尋的日誌，並訂好負責人、保存、審查與警示。
流程
照這個順序做。
- 盤點關鍵資產、日誌來源、負責人、法規義務、須支援的調查，以及目前蒐集缺口。
- 依來源類別定義必要事件、欄位、時間戳、身分脈絡、保留、存取、隱私處理與檢視頻率。
- 設定可靠時間同步與集中傳輸，含加密、緩衝、健康監控與最小權限服務帳戶。
- 正規化並豐富事件，同時保全原始紀錄，並記錄解析或過濾決策。
- 以角色存取、不可變或防竄改、備份與已稽核管理變更，保護日誌完整性與機密性。
- 實作綁定威脅與業務風險的使用情境與警示，再用代表性良性與惡意測試事件調校。
- 衡量來源涵蓋、攝取延遲、解析失敗、儲存成長、警示品質與擷取成功；依排程檢視基準。
先準備
貓會向你要的輸入。
- 資產與日誌來源盤點
- 保留與合規要求
- 日誌平台存取
- 偵測優先
路由器 + 一份 playbook
先路由。只選一份。
Cat Paw 每次任務只載入一份 playbook，不合併多份。先走這個路由器；其餘路徑是此 workflow 可檢查的候選。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/performing-log-source-onboarding-in-siem/SKILL.mdskills/cybersecurity-skills/implementing-syslog-centralization-with-rsyslog/SKILL.mdskills/cybersecurity-skills/building-cloud-siem-with-sentinel/SKILL.md
界線
界線跟著提示一起走。
- 只蒐集授權遙測，並減少不必要個人或密鑰資料。
- 限制日誌存取與匯出，因為日誌可能含憑證、識別碼與調查細節。
- 未經書面核准與可恢復性，不要丟棄或轉換來源紀錄。
完成代表
一個可核對的終點。
所有指定關鍵來源回報健康、時間對齊的事件；保留與存取控制通過檢查；代表性偵測與紀錄擷取測試成功。
來源
這個流程從哪來。
來源確立 workflow 的模式。若有 Reddit 或社群貼文，視為實務軼事，不是普遍事實。
