Incident response tools

1. security analyst 安全分析師的角色

• 位於事件檢測的前線，負責主動發現威脅。
• 使用過去累積的安全知識與多樣化的工具和技術，來支援調查工作。

2. 工具的重要性與類型

• 使用多種工具完成工作，類比於木工需要多樣工具才能完成家具製作。
• 分為以下工具類型：
  • detection and management 檢測與管理工具：用於監控系統活動並識別需要調查的事件。
  • documentation 文件紀錄工具：用於收集與整理證據。
  • 調查工具：例如封包分析器（packet sniffers），用於分析事件。
• 新技術和威脅持續進化，需要不斷擴展工具箱。

3. 學習與進步的重要性

• 不斷學習新的工具來應對更複雜的威脅。
• 提到“事件處理日誌”作為首要工具。

The value of documentation

文件的重要性

文件的目的是提供指導與解決問題的資訊，不僅限於文字，也可以是音頻、數位化內容或手寫筆記等形式。

文件的類型

• 包括工作手冊（Playbooks）、事件處理筆記（Incident Handler's Journals）、政策（Policies）、計畫（Plans）和報告（Final Reports）。
• 這些文件的形式和內容可能因組織需求及法律要求而異。

有效文件 vs 無效文件

• 有效文件應具備清晰性、一致性與正確性，特別是在應急響應中極為重要。
• 反之，無效文件可能因為不清楚的指導或錯誤的內容而導致混亂與低效率。

文件工具

常見的文檔工具：

• 文書處理器：Google Docs, OneNote, Evernote, Notepad++

• 工單系統：Jira

  • Ticketing systems such as Jira can be used to document and track incidents.

• 其他工具：Google Sheets，音頻錄音器，相機，手寫筆記

當作為一名安全專業人員，製作與使用文件是日常工作的一部分。文件的清晰與準確度對事故應急具有關鍵影響。

入侵檢測系統（IDS）與入侵防禦系統（IPS）

• 入侵偵測系統是一種應用程式，用於監控系統和網路活動，並產生可能入侵的警報。
• IDS 收集並分析系統資訊以檢測異常活動。如果發現異常，IDS 會向相關渠道和人員發出警報。
• IPS 它們監控系統活動以檢測入侵並採取行動加以阻止。

Overview of detection tools 偵測工具概述

• 入侵檢測系統 intrusion detection system(IDS)、入侵防禦系統 intrusion prevention system (IPS) 和 端點檢測與回應endpoint detection and response (EDR) 工具
• why:檢測工具類似於家庭安防系統，透過持續監測網路和系統來防範未授權的進入。一旦發現可疑活動，工具會觸發警報，通知安全專業人員進行調查和阻止潛在的入侵行為。

Overview of Detection tools

endpoint

• 一個端點是指連接到網路的任何設備，例如電腦、手機、平板等終端用戶設備。
• EDR tools monitor, record, and analyze endpoint system activity to identify, alert, and respond to suspicious activity
• EDR 收集端點活動數據並進行行為分析，以識別端點上的威脅模式。
• Behavioral analysis行為分析利用機器學習和人工智慧的力量來分析系統行為，以識別惡意或異常活動。
• EDR 工具使用自動化技術在無需安全專業人員手動介入的情況下阻止攻擊。

檢測分類

• True Positive：正確偵測到攻擊的警報。
• True Negative：未發現威脅，且無異常活動。
• False Positive：錯誤警報（識別非惡意活動為威脅）。
• False Negative：錯過真實的威脅（未警告真實的攻擊活動）。