菜单
设计并记录结构化的事件响应手册（Incident Response Playbook），定义与 NIST SP 800-61r3 和 SANS PICERL 框架对齐的特定事件类型逐步处理程序。涵盖手册结构、决策树、升级标准、RACI 矩阵和与 SOAR 平台的集成。适用于 IR 手册创建、事件响应程序文档、响应运行手册（Runbook）开发或 SOAR 手册设计等请求。
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill building-incident-response-playbook命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
通过分析 Zeek dns.log 中的高熵子域名查询、超量查询量、超长查询长度以及异常 DNS 记录类型，检测 DNS 隧道和数据外泄中的隐蔽通道通信。适用于：当需要狩猎基于 DNS 的 C2 或数据外泄通道、调查异常 DNS 查询模式、或响应涉及 DNS 隧道工具（iodine、dnscat2、DNSExfiltrator）的威胁情报时使用。
实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。
在授权的安全评估过程中，使用 Burp Suite 的扫描器、Intruder 和 Repeater 工具识别和验证跨站脚本（XSS）漏洞。适用于 Web 应用渗透测试中检测反射型、存储型和 DOM 型 XSS，验证自动化扫描器报告的 XSS 发现，以及评估 CSP 和 XSS 过滤器的有效性时使用。
基于 SOC 职业分类
正在显示 SKILL.md
| name | building-incident-response-playbook |
| description | 设计并记录结构化的事件响应手册（Incident Response Playbook），定义与 NIST SP 800-61r3 和 SANS PICERL 框架对齐的特定事件类型逐步处理程序。涵盖手册结构、决策树、升级标准、RACI 矩阵和与 SOAR 平台的集成。适用于 IR 手册创建、事件响应程序文档、响应运行手册（Runbook）开发或 SOAR 手册设计等请求。 |
| domain | cybersecurity |
| subdomain | incident-response |
| tags | ["IR-playbook","runbook","NIST-800-61","SOAR-integration","response-procedures"] |
| version | 1.0.0 |
| author | mahipal |
| license | Apache-2.0 |
不适用于一次性临时调查；手册是可复用的程序文档，而非特定案例的报告。
定义手册将处理的特定场景：
常见手册类型：
优先手册（首先构建）：
1. 勒索软件（Ransomware）事件响应
2. 钓鱼（Phishing）/凭据泄露
3. 商业电子邮件攻击（BEC）
4. 恶意软件感染
5. 数据泄露/外泄（Exfiltration）
6. DDoS 攻击
7. 内部威胁（Insider Threat）
8. 账户接管（Account Takeover）
9. Web 应用程序攻陷
10. 云基础设施攻陷
每个手册应遵循一致的结构：
手册模板
━━━━━━━━━━━━━━━━
1. 手册元数据
- 名称、版本、负责人、最后审查日期
- 触发条件
- 严重性标准
2. RACI 矩阵
- 每个步骤的责任人（Responsible）、审批人（Accountable）、咨询对象（Consulted）、知情人（Informed）
3. 检测与分诊（Triage）
- 事件如何被检测到
- 初始分诊检查表
- 严重性分类标准
4. 遏制（Containment）
- 短期遏制措施
- 长期遏制措施
- 证据保全要求
5. 根除（Eradication）
- 根本原因识别
- 恶意软件/威胁清除步骤
- 验证程序
6. 恢复（Recovery）
- 系统恢复步骤
- 验证标准
- 恢复后监控要求
7. 事后处理（Post-Incident）
- 经验教训会议触发条件
- 报告模板
- 检测改进操作
8. 通信
- 内部通知矩阵
- 外部通知要求（监管机构、客户、执法部门）
- 状态更新频率
9. 附录
- 工具特定程序
- 联系人列表
- 证据收集检查表
定义具有二元结果的清晰决策点：
收到检测告警
├── 告警是真阳性吗？
│ ├── 是 → 分类严重性
│ │ ├── P1（严重）→ 传呼事件指挥官，立即开始遏制
│ │ ├── P2（高）→ 通知 IR 负责人，30 分钟内开始调查
│ │ ├── P3（中）→ 4 小时内排队调查
│ │ └── P4（低）→ 记录并在 24 小时内调查
│ └── 否 → 记录为误报，调整检测规则
└── 无法确定 → 升级到 Tier 2 进行深入分析
升级触发器：
为每个步骤编写工具特定的指令（而非通用指南）：
遏制 - 通过 CrowdStrike 隔离端点：
1. 打开 Falcon 控制台 > Hosts > 搜索受影响的主机名
2. 点击主机 > Host Details
3. 点击右上角的"Contain Host"按钮
4. 确认隔离（主机将只与 CrowdStrike 云通信）
5. 在事件工单中记录遏制操作及时间戳
6. 验证遏制：主机应显示"Contained"状态标志
遏制 - 在 DNS 处封锁 C2 域：
1. SSH 到 DNS 服务器：ssh admin@dns-primary.corp.local
2. 添加到阻止区：echo "zone evil.com { type master; file /etc/bind/db.sinkhole; };" >> /etc/bind/named.conf.local
3. 重新加载 DNS：rndc reload
4. 验证：dig @dns-primary evil.com（应解析到网络陷阱 IP 10.0.0.99）
5. 在事件工单中记录已封锁的域名
将手动手册步骤转换为自动化工作流：
通过演练验证手册并保持时效性：
| 术语 | 定义 |
|---|---|
| 手册（Playbook） | 用于响应特定事件类型的有文档记录的、可重复的程序集合 |
| 运行手册（Runbook） | 比手册更细粒度；手册中特定任务的逐步技术指令 |
| RACI 矩阵 | 责任分配图，定义每项活动中谁负责（Responsible）、谁审批（Accountable）、谁咨询（Consulted）、谁知情（Informed） |
| 决策树（Decision Tree） | 基于每个决策点二元条件定义响应路径的流程图逻辑 |
| 升级标准（Escalation Criteria） | 触发通知更高级别人员或外部各方的预定义条件 |
| SOAR 手册 | 在安全编排、自动化和响应（Security Orchestration, Automation, and Response）平台中执行手册步骤的自动化工作流 |
场景背景：一个拥有 5 人 SOC 的组织没有有文档记录的钓鱼响应程序。分析师处理钓鱼报告的方式不一致。
方法：
常见陷阱：
事件响应手册（INCIDENT RESPONSE PLAYBOOK）
============================
手册名称： 钓鱼（Phishing）事件响应
版本： 2.1
负责人： SOC 经理
最后审查： 2025-11-01
下次审查： 2026-02-01
触发器： 通过 abuse@corp.com 或钓鱼按钮报告的钓鱼邮件
RACI 矩阵
活动 | SOC L1 | SOC L2 | IR 负责人 | 法律 | 通信
初始分诊 | R | C | I | |
邮件分析 | R | A | I | |
遏制 | | R | A | I |
凭据重置 | | R | A | |
用户通知 | | C | A | | R
监管通知 | | | C | R | A
经验教训 | C | C | R | I | I
程序步骤
[详细步骤，含工具特定指令]
决策树
[流程图逻辑]
升级矩阵
[条件和联系人]
指标
目标 MTTA：15 分钟
目标 MTTC：1 小时
目标 MTTR：4 小时