메뉴
主持结构化的事件后审查，以识别根本原因、记录有效和无效的措施，并提出可操作的改进建议以提升未来的事件响应能力。
Codex 또는 Claude로 설치 이 Prompt를 복사해 Codex, Claude 또는 다른 어시스턴트에 붙여 넣으면 Skill 페이지를 검토하고 설치를 진행할 수 있습니다.
SOC 직업 분류 기준
| name | conducting-post-incident-lessons-learned |
| description | 主持结构化的事件后审查，以识别根本原因、记录有效和无效的措施，并提出可操作的改进建议以提升未来的事件响应能力。 |
| domain | cybersecurity |
| subdomain | incident-response |
| tags | ["incident-response","lessons-learned","post-incident","after-action-review","process-improvement"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
# 从工单系统导出事件时间线
curl -s "https://thehive.local/api/v1/case/$CASE_ID/timeline" \
-H "Authorization: Bearer $THEHIVE_API_KEY" | jq '.' > incident_timeline.json
# 从 SIEM 提取检测和响应指标
index=notable incident_id="IR-2024-042"
| stats min(_time) as first_alert, max(_time) as last_alert,
count as total_alerts, dc(src) as unique_sources
# 汇编所有响应人员操作和时间戳
grep -E "timestamp|action|analyst" /var/log/ir/IR-2024-042/*.json | \
python3 -m json.tool > compiled_actions.json
结构化议程（90 分钟）：
1. 事件摘要（5 分钟）- 事实性概述
2. 时间线梳理（20 分钟）- 按时间顺序的事件
3. 哪些有效（15 分钟）- 积极成果
4. 哪些需要改进（15 分钟）- 差距和失败
5. 根本原因分析（15 分钟）- 5 个为什么或鱼骨图
6. 行动项目（10 分钟）- 有负责人的具体改进措施
7. 运行手册更新（10 分钟）- IR 流程变更
免责原则：
- 关注系统和流程，而非个人
- 假设在现有信息下做出了最佳决策
- 寻求理解，而非归责
# 5 个为什么分析示例：
# 为什么 1：为什么勒索软件加密了生产服务器？
# 答：攻击者拥有域管理员凭据
# 为什么 2：为什么攻击者拥有域管理员凭据？
# 答：对服务账号进行了 Kerberoasting 并破解了密码
# 为什么 3：为什么服务账号密码可以被破解？
# 答：使用了 12 个字符的基于字典的密码
# 为什么 4：为什么服务账号密码很弱？
# 答：没有强制执行服务账号密码策略
# 为什么 5：为什么没有服务账号密码策略？
# 答：未对服务账号实施 PAM
# 根本原因：缺少特权访问管理
from datetime import datetime
events = {
'compromise': '2024-01-10 14:00:00',
'detection': '2024-01-15 08:30:00',
'triage': '2024-01-15 08:45:00',
'containment': '2024-01-15 09:30:00',
'eradication': '2024-01-16 14:00:00',
'recovery': '2024-01-18 16:00:00',
'closure': '2024-01-25 10:00:00',
}
fmt = '%Y-%m-%d %H:%M:%S'
times = {k: datetime.strptime(v, fmt) for k, v in events.items()}
print(f"驻留时间: {times['detection'] - times['compromise']}")
print(f"MTTD: {times['triage'] - times['detection']}")
print(f"MTTC: {times['containment'] - times['detection']}")
print(f"MTTR: {times['recovery'] - times['eradication']}")
print(f"总时长: {times['closure'] - times['detection']}")
# 在项目管理系统中创建可追踪的行动项目
curl -X POST "https://jira.local/rest/api/2/issue" \
-H "Authorization: Bearer $JIRA_TOKEN" \
-H "Content-Type: application/json" \
-d '{
"fields": {
"project": {"key": "SEC"},
"summary": "为服务账号实施 PAM（IR-2024-042）",
"issuetype": {"name": "Task"},
"priority": {"name": "High"},
"assignee": {"name": "security_engineer"},
"duedate": "2024-03-15"
}
}'
# 基于事件经验的新 Sigma 检测规则
title: 检测到 Kerberoasting 活动
status: stable
description: 基于 IR-2024-042 经验检测 Kerberoasting
logsource:
product: windows
service: security
detection:
selection:
EventID: 4769
TicketEncryptionType: '0x17'
condition: selection
level: high
tags:
- attack.credential_access
- attack.t1558.003
| 概念 | 说明 |
|---|---|
| 免责事后审查（Blameless Post-Mortem） | 以系统为焦点而非追究个人责任的事件审查方式 |
| 根本原因分析（Root Cause Analysis） | 识别导致事件发生的根本原因 |
| 5 个为什么（5 Whys） | 通过迭代提问找到根本原因的技术 |
| MTTD（Mean Time to Detect，平均检测时间） | 从攻陷到检测的时间 |
| MTTC（Mean Time to Contain，平均遏制时间） | 从检测到遏制的时间 |
| MTTR（Mean Time to Recover，平均恢复时间） | 从根除到完全恢复的时间 |
| 持续改进（Continuous Improvement） | 基于真实事件数据迭代优化 IR 流程 |
| 工具 | 用途 |
|---|---|
| TheHive/ServiceNow | 事件时间线和文档管理 |
| Jira/Azure DevOps | 行动项目跟踪 |
| Confluence/SharePoint | 经验总结文档 |
| Splunk/Elastic | 事件指标和检测改进 |
| Sigma | 检测规则开发 |
通过分析 Zeek dns.log 中的高熵子域名查询、超量查询量、超长查询长度以及异常 DNS 记录类型，检测 DNS 隧道和数据外泄中的隐蔽通道通信。适用于：当需要狩猎基于 DNS 的 C2 或数据外泄通道、调查异常 DNS 查询模式、或响应涉及 DNS 隧道工具（iodine、dnscat2、DNSExfiltrator）的威胁情报时使用。
实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。
在授权的安全评估过程中，使用 Burp Suite 的扫描器、Intruder 和 Repeater 工具识别和验证跨站脚本（XSS）漏洞。适用于 Web 应用渗透测试中检测反射型、存储型和 DOM 型 XSS，验证自动化扫描器报告的 XSS 发现，以及评估 CSP 和 XSS 过滤器的有效性时使用。
攻击活动溯源归因分析涉及系统性地评估证据，以确定哪个威胁行为者或组织对某次网络行动负责。本技能涵盖使用 Diamond Model 和 ACH（竞争假设分析）收集并加权溯源归因指标、分析基础设施重叠、TTP 一致性、恶意软件代码相似性、操作时序模式和语言痕迹，以构建置信度加权的溯源归因评估。
从 PE 文件和内存转储中提取并分析 Cobalt Strike beacon 配置，以识别 C2 基础设施、Malleable C2 配置文件和攻击者操作惯例。
使用 Ghidra 及专用脚本对 Go 编译的恶意软件进行逆向工程，包括函数恢复、字符串提取和去符号表 Go 二进制文件的类型重建。