Stats
Actions
Tags
Builds structured incident response playbooks aligned with NIST SP 800-61r3 and SANS PICERL, covering decision trees, escalation criteria, RACI matrices, and SOAR integration. For IR documentation and runbook development.
How this skill is triggered — by the user, by Claude, or both
Slash command
/cybersecurity-skills-zh:building-incident-response-playbookThe summary Claude sees in its skill listing — used to decide when to auto-load this skill
- 从零开始建立或完善事件响应（Incident Response）项目
不适用于一次性临时调查；手册是可复用的程序文档，而非特定案例的报告。
定义手册将处理的特定场景：
常见手册类型：
优先手册（首先构建）：
1. 勒索软件（Ransomware）事件响应
2. 钓鱼（Phishing）/凭据泄露
3. 商业电子邮件攻击（BEC）
4. 恶意软件感染
5. 数据泄露/外泄（Exfiltration）
6. DDoS 攻击
7. 内部威胁（Insider Threat）
8. 账户接管（Account Takeover）
9. Web 应用程序攻陷
10. 云基础设施攻陷
每个手册应遵循一致的结构：
手册模板
━━━━━━━━━━━━━━━━
1. 手册元数据
- 名称、版本、负责人、最后审查日期
- 触发条件
- 严重性标准
2. RACI 矩阵
- 每个步骤的责任人（Responsible）、审批人（Accountable）、咨询对象（Consulted）、知情人（Informed）
3. 检测与分诊（Triage）
- 事件如何被检测到
- 初始分诊检查表
- 严重性分类标准
4. 遏制（Containment）
- 短期遏制措施
- 长期遏制措施
- 证据保全要求
5. 根除（Eradication）
- 根本原因识别
- 恶意软件/威胁清除步骤
- 验证程序
6. 恢复（Recovery）
- 系统恢复步骤
- 验证标准
- 恢复后监控要求
7. 事后处理（Post-Incident）
- 经验教训会议触发条件
- 报告模板
- 检测改进操作
8. 通信
- 内部通知矩阵
- 外部通知要求（监管机构、客户、执法部门）
- 状态更新频率
9. 附录
- 工具特定程序
- 联系人列表
- 证据收集检查表
定义具有二元结果的清晰决策点：
收到检测告警
├── 告警是真阳性吗？
│ ├── 是 → 分类严重性
│ │ ├── P1（严重）→ 传呼事件指挥官，立即开始遏制
│ │ ├── P2（高）→ 通知 IR 负责人，30 分钟内开始调查
│ │ ├── P3（中）→ 4 小时内排队调查
│ │ └── P4（低）→ 记录并在 24 小时内调查
│ └── 否 → 记录为误报，调整检测规则
└── 无法确定 → 升级到 Tier 2 进行深入分析
升级触发器：
为每个步骤编写工具特定的指令（而非通用指南）：
遏制 - 通过 CrowdStrike 隔离端点：
1. 打开 Falcon 控制台 > Hosts > 搜索受影响的主机名
2. 点击主机 > Host Details
3. 点击右上角的"Contain Host"按钮
4. 确认隔离（主机将只与 CrowdStrike 云通信）
5. 在事件工单中记录遏制操作及时间戳
6. 验证遏制：主机应显示"Contained"状态标志
遏制 - 在 DNS 处封锁 C2 域：
1. SSH 到 DNS 服务器：ssh [email protected]
2. 添加到阻止区：echo "zone evil.com { type master; file /etc/bind/db.sinkhole; };" >> /etc/bind/named.conf.local
3. 重新加载 DNS：rndc reload
4. 验证：dig @dns-primary evil.com（应解析到网络陷阱 IP 10.0.0.99）
5. 在事件工单中记录已封锁的域名
将手动手册步骤转换为自动化工作流：
通过演练验证手册并保持时效性：
| 术语 | 定义 |
|---|---|
| 手册（Playbook） | 用于响应特定事件类型的有文档记录的、可重复的程序集合 |
| 运行手册（Runbook） | 比手册更细粒度；手册中特定任务的逐步技术指令 |
| RACI 矩阵 | 责任分配图，定义每项活动中谁负责（Responsible）、谁审批（Accountable）、谁咨询（Consulted）、谁知情（Informed） |
| 决策树（Decision Tree） | 基于每个决策点二元条件定义响应路径的流程图逻辑 |
| 升级标准（Escalation Criteria） | 触发通知更高级别人员或外部各方的预定义条件 |
| SOAR 手册 | 在安全编排、自动化和响应（Security Orchestration, Automation, and Response）平台中执行手册步骤的自动化工作流 |
场景背景：一个拥有 5 人 SOC 的组织没有有文档记录的钓鱼响应程序。分析师处理钓鱼报告的方式不一致。
方法：
常见陷阱：
事件响应手册（INCIDENT RESPONSE PLAYBOOK）
============================
手册名称： 钓鱼（Phishing）事件响应
版本： 2.1
负责人： SOC 经理
最后审查： 2025-11-01
下次审查： 2026-02-01
触发器： 通过 [email protected] 或钓鱼按钮报告的钓鱼邮件
RACI 矩阵
活动 | SOC L1 | SOC L2 | IR 负责人 | 法律 | 通信
初始分诊 | R | C | I | |
邮件分析 | R | A | I | |
遏制 | | R | A | I |
凭据重置 | | R | A | |
用户通知 | | C | A | | R
监管通知 | | | C | R | A
经验教训 | C | C | R | I | I
程序步骤
[详细步骤，含工具特定指令]
决策树
[流程图逻辑]
升级矩阵
[条件和联系人]
指标
目标 MTTA：15 分钟
目标 MTTC：1 小时
目标 MTTR：4 小时
npx claudepluginhub killvxk/cybersecurity-skills-zhDesigns structured incident response playbooks for specific incident types using NIST SP 800-61r3 and SANS PICERL frameworks. Covers RACI matrices, decision trees, escalation, and SOAR integration.
Designs structured incident response playbooks aligned with NIST SP 800-61r3 and SANS PICERL frameworks. Covers playbook structure, decision trees, escalation criteria, RACI matrices, and SOAR platform integration.
Designs structured incident response playbooks aligned with NIST SP 800-61r3 and SANS PICERL frameworks. Covers playbook structure, decision trees, escalation criteria, RACI matrices, and SOAR platform integration.