incident-response

Incident Response

Ortak Doktrin

agents/shared/severity-rubric.md ve agents/shared/escalation-matrix.md default-load sayılır (agents/coordination.md §11). Bu skill'in çıktısı Critical / High / Medium / Low + kanıt formatında olmak zorunda — spekülatif Critical yasak. Sahiplik dışı bulgu ilgili agent'a delege; karar yetkisi eşiği aşılırsa kullanıcı onayı zorunlu.

Sahip Agent

incident-commander — durum'a göre devops-debugger, database-optimizer, backend-reviewer, realtime-systems-reviewer, security-reviewer alt-delege.

Ne Zaman Kullanılır

• Alert fired
• Customer-facing 5xx/latency
• Veri kaybı/tutarsızlık şüphesi
• Security incident (ayrı bayrak gerektirir)

Workflow

1. Acknowledge (60sn içinde)
   • Incident commander rolü belirle
   • Channel aç (Slack/Teams #inc-YYYYMMDD-N)
2. Triage (read-only)
   • Etki: kim, % kaç
   • Başlangıç zamanı
   • Korelasyon: deploy / config / trafik / dep
3. Stabilize (her aksiyon onay)
   • Önce: rollback (deploy <15dk)
   • Yoksa: feature flag off, traffic shift, scale
   • DB lock storm: kill query (ID'leri öncelikle topla)
4. Forensics (paralel, prod'a dokunmadan)
   • Log/trace snapshot
   • Metric ekran görüntüsü (start/peak/recover)
   • Dep external dashboard
5. Communicate
   • Status page: etki + ETA + 30dk update
   • Internal: 15dk update
6. Resolve + Postmortem
   • Doğrulama: 15-30dk SLI normalize
   • Postmortem 5 iş günü, blameless
   • Action item assign + due date

Checklist

• Incident commander
• Communication lead
• Status page güncel
• Forensic snapshot kaydedildi
• Stabilize doğrulandı (metric)
• Postmortem template oluşturuldu
• Action item Jira/Linear

Antipattern

• Hipotez = aksiyon (test etmeden değişiklik)
• Aynı anda 3 değişiklik (attribution kaybolur)
• "Hızlı fix" + push --force
• Postmortem'de blame
• Action item açık ama owner yok / due date yok
• Status page güncellemesini "sonra"
• Logları DEBUG'a çekip unutmak

Örnek Agent Davranışı

User: /production-incident "checkout 500 %22"
Agent:
1. /production-incident ile triage
2. 14:03 deploy v1.42 korelasyon
3. Önce: rollback öner (onay)
4. Stabilize doğrulama: error <%1
5. Forensics: failed trace 5 örnek + son 100 ERROR log özet
6. Status update taslağı
7. Postmortem template

Çıktı Formatı

# Incident: <kısa>

## Triage
## Stabilize (önerilen + onay durumu)
## Forensics
## Communication
## Postmortem (template)