incident-response

Files (1)

• SKILL.md

SKILL.md (first lines)

# 安全事件响应深度技能

> **AI LOAD INSTRUCTION**: 应急响应与取证专家方法论（NIST 800-61r3）。蓝队视角：事件定级→取证采集顺序→内存/日志/样本分析→ATT&CK 还原→云容器与大模型事件专项→复盘报告。取证只读优先。

## 概述

安全事件响应(Incident Response, IR)是安全运营的核心能力，本质是**在攻击者尚未达成最终目标之前，发现、遏制、根除并恢复**。本技能 v3.0 站在资深攻防专家视角，在保留 v2.0 全部核心内容（应急响应流程、现场取证、日志分析、处置、报告）基础上，新增并深化七大高级维度：**攻防视角入侵链还原、内存/主机取证深度、云与容器事件响应、勒索软件专项响应、假设驱动威胁猎捕、AI 辅助应急响应、大模型安全事件响应**，并引入红蓝对抗视角贯穿全流程。

本技能系统化覆盖 **告警分析→事件确认→现场取证→攻击链重建→溯源追踪→遏制清除→修复加固→复盘报告** 完整响应链，涵盖 APT 对抗、内存取证、恶意样本分析、无文件攻击追查、云原生取证、勒索软件实战等高级技术。

### 核心概念
- **事件(Incident) vs 告警(Alert)**：告警是信号，事件是经过确认的、实际发生或正在发生的安全破坏。先验证再升级
- **检测(Detection)/响应(Response)/恢复(Recovery)**：三者闭环，检测只是起点
- **关键指标**：MTTD(检测时间)、MTTR(响应时间)、MTTC(遏制时间)、Dwell Time(驻留时间，攻击者进入系统到被发现的天数)
- **NIST SP 800-61r3 六阶段**：准备→检测与分析→遏制→根除→恢复→事后活动（本技能采用的主流框架）
- **PICERL 模型**：准备/识别/遏制/根除/恢复/经验教训
- **情报驱动响应**：以威胁情报(IOC/TTP/攻击者画像)指导响应决策，而非被动防御
- **假设驱动猎捕**：以"攻击者可能做了什么"为假设主动搜寻证据，而非等告警
- **Dwell Time 定律**：2025-2026 数据显示，有成熟 IR 计划+演习的组织驻留时间可压至 24 小时内，无计划者平均 200+ 天——**先于攻击做足准备**是响应能力的分水岭
- **AI 双刃剑**：LLM 既加速防御侧分析，也催生 AI 辅助攻击；响应团队必须同时具备"用 AI 分析"与"应对 AI 攻击"两种能力

## 一、事件分级与优先级

### 1.1 事件分级矩阵

| 级别 | 场景 | 响应时效 | 典型示例 |
|------|------|---------|---------|
| P0-紧急 | 域控被控/核心数据泄露/勒索加密进行中/容器逃逸 | 15分钟内响应 | 勒索软件、AD 全域沦陷、核心数据库外传 |
| P1-严重 | Webshell/权限提升/横向移动/云 AK 泄露 | 1小时内响应 | 单主机入侵、凭据窃取、可疑横向移动 |
| P2-高 | 单主机入侵/凭据泄露/钓鱼成功 | 4小时内响应 | 弱口令、异常登录、邮件投递恶意附件 |
| P3-中 | 弱口令/异常登录/可疑流量/配置错误 | 24小时内响应 | 端口扫描、异常 DNS 查询、错误配置 |
| P4-低 | 信息泄露/配置缺陷/资产暴露 | 72小时内响应 | 敏感信息泄露、补丁缺失、暴露面过大 |

### 1.2 初步研判五问
```
1. 告警来源：WAF/IDS/HIDS/SIEM/EDR/蜜罐/用户报告/云审计日志
2. 影响范围：单主机/子网/全域/数据/云账号/容器集群
3. 攻击阶段：侦察/利用/安装/C2/目标达成（判断攻击者是否仍活跃）
4. 是否活跃：攻击者是否仍在系统中（决定遏制优先级）
5. 业务影响：业务中断风险/数据泄露规模/合规上报义务
```

### 1.3 优先级评分模型（进阶）
```
优先级分 = 资产价值权重(0.3) + 攻击阶段权重(0.3) + 影响面权重(0.2) + 威胁活跃度(0.2)
- 资产价值：核心数据库=5，域控=5，办公PC=2，测试机=1
- 攻击阶段：已达目标=5，C2阶段=4，安装后门=3，利用=2，扫描=1
- 威胁活跃度：EDR 实时拦截=5，告警滞后>24h=3，已清理=1
评分>4 即按 P0/P1 响应，先评估再扑火，避免"所有告警都是紧急"
```

## 二、事件响应全流程框架

### 2.1 NIST SP 800-61r3 六阶段
```
1. 准备(Preparation)：预案/演练/工具就绪/日志留存的长期投入（决定响应上限）
2. 检测与分析(Detection & Analysis)：告警确认→数据收集→分析定级→范围界定
3. 遏制(Containment)：短期(断网/隔离)与长期(重建/封堵)遏制，防扩散
4. 根除(Eradication)：清除恶意件/移除持久化/删除攻击路径
5. 恢复(Recovery)：备份恢复/业务上线/验证加固
6. 事后活动(Post-Incident)：复盘/报告/指标/改进项落地
```

### 2.2 作战时间线（黄金1小时）
```
0-15分钟：告警确认、初步研判、启动分级、通知响应负责人（IR Commander）
15-60分钟：遏制决策（隔离主机/撤销凭据/阻断C2）、启动取证（易失性数据）
1-4小时：范围界定、时间线初建、攻击入口确认、持续监控攻击者动向
4-24小时：深入取证（内存/磁盘）、恶意样本分析、数据影响面评估
24-72小时：根除与恢复、加固、向管理层/监管第一次正式汇报
3-7天：复盘报告、指标统计、检测规则与流程改进落地
```

### 2.3 指挥协调与 RACI
```
IR Commander(总指挥)：全局决策，唯一有权宣布"遏制完成"
技术调查组：取证、分析、样本分析
业务/运维组：隔离执行、业务恢复评估
法务/合规组：上报义务、取证合规、对外沟通把关
公关/沟通组：对外声明、内部通知（禁止未经法务审查对外发声）
每步操作必须留痕（时间/操作人/对象/结果），保证可审计
```

### 2.4 沟通与合规上报
- **数据泄露类事件**：多数司法辖区（如 GDPR 72 小时、中国数据安全法/网安法、等保2.0）对上报时限有硬性要求，**从"怀疑"而非"确认"起算倒计时**
- 涉及 PII/PCI/PHI 时第一时间通知法务
- 联系执法/监管机构（公安网安、CERT、CISA 等），其可能掌握特定变种解密工具与情报
- 对外口径统一：由法务+公关审核，禁止技术团队私自回复媒体或攻击者

## 三、攻防视角：入侵链还原与 MITRE ATT&CK 映射

### 3.1 攻击者视角还原入侵链
站在攻击者角度自问："如果我是攻击者，我会怎么进来？"以此指导证据收集方向：
```
1. 初始入口：哪条路径进来的？（钓鱼/0day/弱口令/供应链/云凭据/暴露服务）
2. 工具选择：用了什么？（Cobalt Strike/Metasploit/自定义Loader/LOLBins）
3. 权限目标：先提权到谁？AD 管理员/云高权限角色？
4. 持久化：如何保证下次还能进来？（计划任务/服务/启动项/注册表/AD后门）
5. 横向路径：如何在内网移动？（PTH/WMI/WinRM/RDP/云AssumeRole）
6. 目标与出口：最终要什么？数据从哪里、以什么方式出去？
每个环节都要问：证据在哪？日志源是哪个？查询语句是什么？
```

### 3.2 MITRE ATT&CK 战术映射表
| 战术 | 技术示例 | 关键证据源 |
|------|---------|-----------|
| 初始访问(TA0001) | 钓鱼、漏洞利用、暴力破解、供应链、云凭据泄露 | 邮件网关、WAF、登录日志、云审计 |
| 执行(TA0002) | PowerShell/CMD/WMI/计划任务/LOLBins | 4688进程创建、Sysmon EID 1/11 |
| 持久化(TA0003) | 注册表Run、计划任务、服务、WMI事件、AD证书 | 4698/7045、Sysmon EID 12/13/14 |
| 权限提升(TA0004) | 令牌操纵、CVE利用、Sudo滥用、云角色切换 | 4672、4688、云审计 |
| 防御规避(TA0005) | 进程注入、日志清除、AMSI绕过、Timestomping、直接系统调用 | 1102、Sysmon EID 10/25、EDR |
| 凭据访问(TA0006) | LSASS转储、Kerberoast、密码喷洒、云AK窃取 | 4663/4689、Sysmon EID 10、CloudTrail |
| 发现(TA0007) | 网络扫描、域枚举、用户枚举、云资源枚举 | DNS查询、SharpHound(见下)、云审计 |
| 横向移动(TA0008) | PTH/PTT、WMI/WinRM/RDP、SSH、云跨账号 | 4624 Type3/10、4776、RDP日志 |
| 收集(TA0009) | 文件收集、剪贴板、浏览器数据、数据库导出 | Sysmon EID 11、文件访问审计 |
| 数据外传(TA0010) | DNS/HTTP/ICMP隧道、云存储、邮件外发 | 流量分析、DNS日志、出口流量 |
| 影响(TA0040) | 数据加密、删除、篡改、DDoS | EDR行为检测、canary文件告警 |

### 3.3 攻击链时间线重建方法

From langbyyi/CyberStrikeAI-SRC, Apache-2.0.

More from langbyyi/CyberStrikeAI-SRC