Security Triage

• 定義:根據事件的重要性或緊急程度來設定優先順序，保障資源高效利用。
• 事件根據其對系統的機密性、完整性和可用性構成的威脅進行分類排序。

Triage Process 分診流程:

1. receive and assess : 第一步分診過程中，安全分析師收到來自警示系統（如入侵檢測系統 intrusion detection system (IDS）的警報。您將識別不同類型的警報，然後根據緊急程度進行優先處理。接收並評估警報，以判斷是否為誤判以及它是否與現有事件相關。
2. assign priority 如果確實是正面個案，您將根據組織的政策和指導方針對警報設定優先級。
3. investigate the alert and collect and analyze

分析技巧 & 案例問題分 adding context

• 定義: 分析員應進行徹底分析，透過提問添加背景資訊
• 目的: 確保完成詳細分析以獲得足夠的信息，從而對調查結果作出有依據的決策。

分析過程

1. Receive and assess

• 此警報是否有異常情況？Is the alert a false positive?
• Was this alert triggered in the past?警報歷史可協助判斷問題是全新還是重複發生，並了解過去的解決方式。
• Is the alert triggered by a known vulnerability?如果警報由已知漏洞觸發，安全分析師可利用現有知識來決定合適的應對措施，並將漏洞的影響降到最低。

**2. Assign priority **

3. Collect and Analyze
最後一步是安全分析師進行全面的事件分析，收集證據、進行外部研究並記錄調查過程，以便做出應對決策。根據事件嚴重性，可能需要升級至更高級別分析師或經理處理，他們可能具備更高階技術來解決問題。

The containment, eradication, and recovery phase of the lifecycle

生命週期中的遏制、根除和恢復階段

• 事件回應生命週期（Incident Response Lifecycle）中的第三階段，包括隔離（Containment）、根除（Eradication）以及恢復（Recovery）
• 這個生命周期階段結合了NIST網絡安全框架的核心功能——回應和恢復。

「Incident Response Lifecycle」:

1. 準備（Preparation）：建立安全政策、工具和流程，來應對可能的安全事件。
2. 檢測與分析（Detection and Analysis）：識別安全事件發生的事實，並分析其範圍和影響。
3. 遏制、根除與恢復（Containment, Eradication, and Recovery）：採取行動限制事件影響、移除威脅以及恢復正常運營。
4. 事後活動（Post-Incident Activity）：事件解決後，進行回顧與總結，以改進未來的應對能力。

Business continuity considerations

Business continuity planning 業務連續性考量

• 業務持續計畫（BCP）是一份文件，概述了在重大中斷期間和之後維持業務運作的程序。BCP 幫助組織確保關鍵業務功能可以在事件發生時恢復或快速復原。
• 初階安全分析師通常不負責制定和測試業務持續計畫（BCP）。

disaster recovery plans

業務連續性計劃與災難恢復計劃並不相同。災難恢復計劃是用於在重大災難發生後恢復資訊系統。這些災難可能範圍從硬體故障到設施因自然災害（如洪水）被摧毀。

勒索軟體（Ransomware）對業務連續性（Business Continuity）的影響

• 勒索軟體攻擊可能對業務運作造成毀滅性影響。
• 針對關鍵基礎設施（如醫療保健）的攻擊，可能導致：
  • 無法存取醫療記錄。
  • 影響基本醫療服務的可用性與交付。
  • 進一步威脅國家安全、經濟安全和公共健康安全。
• 解決方法：
  • 業務連續性計劃（BCP）可幫助減少運作中斷，確保關鍵服務的可用性。
• 復原策略
  • 當安全事件導致系統中斷時，組織必須有復原計劃來恢復正常運作。
  • 站點韌性是復原策略的一部分，確保基礎設施在中斷時仍能提供服務。

3types of Site resilience 策略

• Resilience韌性是指在面對中斷時準備、應對和恢復的能力。組織可以設計出具有韌性的系統，以便在面臨中斷時仍能繼續提供服務。例如，網站韌性確保網路、資料中心或其他基礎設施在發生中斷時仍能正常運作

事後回顧 post-incident activity/actions

• NIST事件回應生命週期中的最後一個階段，即 後事件活動階段 (Post-Incident Activity Phase)。該階段專注於回顧事件，改進未來回應流程，以及更新或建立相關文檔。
• 最終報告The final report 是對事件的全面審查，包括事件時間線、詳細經過及未來預防建議。報告應考慮讀者（如非技術專業人士）。

lessons learned meeting 經驗教訓會議

提供一些在經驗教訓會議中可提出的問題，例如：

• 事件經過、
• 發生時間、
• 發現者、
• 隔離措施、
• 復原行動以及
• 改進建議等。
• 除了能從事件中學到經驗外，舉行經驗教訓檢討會還有其他好處。對於大型組織而言，經驗教訓檢討會為跨部門的團隊成員提供了一個平台，可以分享資訊和未來預防的建議。
• 舉辦經驗檢討會議前，應確保參與者做好準備，提供會議議程以明確討論主題，並提前分配會議角色，如主持人和記錄員。

事件總結報告The final report

• 最終報告為事件提供綜觀檢視，其格式不統一，取決於報告對象（例如高層管理、技術人員等）。它應該涵蓋事件的五個核心要素「5W」，並包括以下關鍵部分：執行摘要、時間線、調查細節和建議事項。
• 是事件完成後的一個全面性報告。
• 重點是為不同的讀者群體提供特定的關鍵資訊。
• 5W 的應用:描述事件的「Who（誰參與）」、「What（發生什麼）」、「Where（在哪裡）」、「Why（原因）」、「When（何時發生）」。
• 常見 Final Report 構成要素: