Builds structured incident response playbooks aligned with NIST SP 800-61r3 and SANS PICERL, covering decision trees, escalation criteria, RACI matrices, and SOAR integration. For IR documentation and runbook development.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
- 从零开始建立或完善事件响应（Incident Response）项目
Designs structured incident response playbooks for specific incident types using NIST SP 800-61r3 and SANS PICERL frameworks. Covers RACI matrices, decision trees, escalation, and SOAR integration.
Designs structured incident response playbooks for cybersecurity incidents using NIST SP 800-61r3 and SANS PICERL frameworks. Covers RACI matrices, escalation, decision trees, SOAR integration.
Creates and executes incident response procedures for security breaches, data leaks, and cyber attacks. Use for handling incidents, response playbooks, or forensic analysis.
Share bugs, ideas, or general feedback.
不适用于一次性临时调查；手册是可复用的程序文档，而非特定案例的报告。
定义手册将处理的特定场景：
常见手册类型：
优先手册（首先构建）：
1. 勒索软件（Ransomware）事件响应
2. 钓鱼（Phishing）/凭据泄露
3. 商业电子邮件攻击（BEC）
4. 恶意软件感染
5. 数据泄露/外泄（Exfiltration）
6. DDoS 攻击
7. 内部威胁（Insider Threat）
8. 账户接管（Account Takeover）
9. Web 应用程序攻陷
10. 云基础设施攻陷
每个手册应遵循一致的结构：
手册模板
━━━━━━━━━━━━━━━━
1. 手册元数据
- 名称、版本、负责人、最后审查日期
- 触发条件
- 严重性标准
2. RACI 矩阵
- 每个步骤的责任人（Responsible）、审批人（Accountable）、咨询对象（Consulted）、知情人（Informed）
3. 检测与分诊（Triage）
- 事件如何被检测到
- 初始分诊检查表
- 严重性分类标准
4. 遏制（Containment）
- 短期遏制措施
- 长期遏制措施
- 证据保全要求
5. 根除（Eradication）
- 根本原因识别
- 恶意软件/威胁清除步骤
- 验证程序
6. 恢复（Recovery）
- 系统恢复步骤
- 验证标准
- 恢复后监控要求
7. 事后处理（Post-Incident）
- 经验教训会议触发条件
- 报告模板
- 检测改进操作
8. 通信
- 内部通知矩阵
- 外部通知要求（监管机构、客户、执法部门）
- 状态更新频率
9. 附录
- 工具特定程序
- 联系人列表
- 证据收集检查表
定义具有二元结果的清晰决策点：
收到检测告警
├── 告警是真阳性吗？
│ ├── 是 → 分类严重性
│ │ ├── P1（严重）→ 传呼事件指挥官，立即开始遏制
│ │ ├── P2（高）→ 通知 IR 负责人，30 分钟内开始调查
│ │ ├── P3（中）→ 4 小时内排队调查
│ │ └── P4（低）→ 记录并在 24 小时内调查
│ └── 否 → 记录为误报，调整检测规则
└── 无法确定 → 升级到 Tier 2 进行深入分析
升级触发器：
为每个步骤编写工具特定的指令（而非通用指南）：
遏制 - 通过 CrowdStrike 隔离端点：
1. 打开 Falcon 控制台 > Hosts > 搜索受影响的主机名
2. 点击主机 > Host Details
3. 点击右上角的"Contain Host"按钮
4. 确认隔离（主机将只与 CrowdStrike 云通信）
5. 在事件工单中记录遏制操作及时间戳
6. 验证遏制：主机应显示"Contained"状态标志
遏制 - 在 DNS 处封锁 C2 域：
1. SSH 到 DNS 服务器：ssh admin@dns-primary.corp.local
2. 添加到阻止区：echo "zone evil.com { type master; file /etc/bind/db.sinkhole; };" >> /etc/bind/named.conf.local
3. 重新加载 DNS：rndc reload
4. 验证：dig @dns-primary evil.com（应解析到网络陷阱 IP 10.0.0.99）
5. 在事件工单中记录已封锁的域名
将手动手册步骤转换为自动化工作流：
通过演练验证手册并保持时效性：
| 术语 | 定义 |
|---|---|
| 手册（Playbook） | 用于响应特定事件类型的有文档记录的、可重复的程序集合 |
| 运行手册（Runbook） | 比手册更细粒度；手册中特定任务的逐步技术指令 |
| RACI 矩阵 | 责任分配图，定义每项活动中谁负责（Responsible）、谁审批（Accountable）、谁咨询（Consulted）、谁知情（Informed） |
| 决策树（Decision Tree） | 基于每个决策点二元条件定义响应路径的流程图逻辑 |
| 升级标准（Escalation Criteria） | 触发通知更高级别人员或外部各方的预定义条件 |
| SOAR 手册 | 在安全编排、自动化和响应（Security Orchestration, Automation, and Response）平台中执行手册步骤的自动化工作流 |
场景背景：一个拥有 5 人 SOC 的组织没有有文档记录的钓鱼响应程序。分析师处理钓鱼报告的方式不一致。
方法：
常见陷阱：
事件响应手册（INCIDENT RESPONSE PLAYBOOK）
============================
手册名称： 钓鱼（Phishing）事件响应
版本： 2.1
负责人： SOC 经理
最后审查： 2025-11-01
下次审查： 2026-02-01
触发器： 通过 abuse@corp.com 或钓鱼按钮报告的钓鱼邮件
RACI 矩阵
活动 | SOC L1 | SOC L2 | IR 负责人 | 法律 | 通信
初始分诊 | R | C | I | |
邮件分析 | R | A | I | |
遏制 | | R | A | I |
凭据重置 | | R | A | |
用户通知 | | C | A | | R
监管通知 | | | C | R | A
经验教训 | C | C | R | I | I
程序步骤
[详细步骤，含工具特定指令]
决策树
[流程图逻辑]
升级矩阵
[条件和联系人]
指标
目标 MTTA：15 分钟
目标 MTTC：1 小时
目标 MTTR：4 小时