之後會補完整的練習，這邊先擬草稿

案情推進

目標是驗收過去學習的知識。

模擬一個完整事件情境，然後像真正的 IR 分析師一樣，

從第一則告警出發，把整條攻擊鏈還原出來

一、案情：SecureFin 公司的黑色星期五

這邊模擬情境

記住 Day 03 提及：加密是「結果」。看到勒索信，代表前六階段都已淪陷，所以需要倒著把它們挖出來。

二、調查：沿著攻擊生命週期回推

階段 ⑦→① 逐一還原

三、成果一：完整攻擊時間軸

四、成果二：影響範圍與處置建議

為什麼要挖全部？ 回顧 Day 03/19：漏掉任何一台還有後門的機器，攻擊者就能捲土重來、二次加密。根除的完整性，決定這次 IR 是真的結束、還是暫時停火。

五、這次實戰用到了整個系列

藍隊視角：報告，才是 IR 的真正產出

技術分析再強，若不能寫成別人看得懂的報告

價值就打折

一份好的事件報告應包含：

今日重點

1. 面對加密現場，用 Day 03 生命週期倒著回推：⑦影響 →①初始存取，逐階段補齊證據。
2. 產出攻擊時間軸 + 影響範圍 + 處置建議（圍堵→根除→復原）
3. krbtgt 被偷務必重設兩次。
4. 根除要完整（挖出全部機器），否則會二次加密
5. IR 最後須奧產出一份決策者看得懂的報告。

明日預告

Day 30 作為最後一天

我們回顧這趟 30 天的旅程、把整個系列的知識地圖攤開來看