安全事件响应与管理

要解决什么问题

告警堆在 SIEM 里、业务线追问「到底影不影响生产」、隔离和恢复各干各的——很多团队缺的不是单个工具，而是一套能对齐分级、职责和阶段动作的响应框架。本技能把 CSIRT 怎么建、事件怎么定级、从检测到复盘怎么走，整理成可直接对照执行的参考。

技能如何组织内容

团队与职责：给出 CSIRT 典型分工（负责人、技术响应、分析调查、对外沟通），并用职责矩阵说明监控、分析、运维、安全经理在日常与事件响应下分别做什么。

事件分级：按影响范围与业务损失划分 P0～P3，对应响应时效与上报对象（例如 P0 约 15 分钟内、需上报 CEO/董事会；P1 一小时内上报 CISO 等）。

SANS ICIR 六阶段：

• 准备：预案、工具链（取证/分析/隔离）、沟通渠道与演练
• 检测：告警研判、事件确认、影响初评、日志/流量证据保全
• 遏制：主机隔离、路径封锁、限制横向移动、临时 WAF/规则缓解
• 根除：清除恶意软件与后门、补丁与配置加固、账号重置、验证根除
• 恢复：备份恢复、分阶段上线、持续监控防二次攻击
• 经验教训：时间线报告、根因与防御失效分析、规则/流程更新与证据归档

另附工具链对照表（如 Autopsy、Wireshark、Splunk、CrowdStrike 等按用途分类）及事件报告应含字段（概述、分钟级时间线、攻击路径、处置效果、改进计划）。

适用边界

这是方法论与清单，不会替你在环境里执行隔离或跑取证；具体工具选型、合规上报口径和 SLA 需按你方行业与制度裁剪。分级表示例中的上报层级应映射到实际组织架构，而非照搬表格。