《Dynamic Incident Response: A Framework for Security Teams》是由 SANS 學院資深講師（SANS Faculty Fellow）Joshua Wright 主筆，並結合多位領域專家共同撰寫的開源資安實戰指南（採用 CC BY 4.0 授權免費公開）。這份資料的核心主旨是打破傳統事件應變（IR）的「線性流程迷思」，提出一套名為 DAIR（Dynamic Approach to Incident Response，動態事件應變方法） 的迭代式框架。

DAIR 動態事件應變工作流
https://share.gemini.google/dA4Gz99ryxqn

1. 為什麼需要「動態」事件應變？

傳統應變框架（如 SANS PICERL 或 NIST SP 800-61）將事件應變視為單向的線性步驟：準備、識別、圍堵、根除、復原。然而在真實攻防中，這種線性假設經常崩潰：

• 範圍遭低估（Underestimated Scope）： 在尚未釐清所有受駭節點前就急著封鎖單一主機，反而驚動攻擊者轉移陣地。
• 圍堵後死灰復燃： 攻擊者常留下隱藏的持久化機制（Persistence）或合法憑證，單次根除無法徹底清零。
• 缺乏明確的驗證與分級： 許多團隊在未確認警報真偽及業務衝擊前，就耗費大量資源啟動全面應變。

DAIR 框架以軍事策略中的 OODA 循環（觀察、導向、決策、行動） 為基礎，將原本固定的「步驟（Steps）」改為可隨時重返的「航點（Waypoints）」，讓資安團隊能隨著新證據浮現而動態調整行動。

2. DAIR 框架的核心結構與應變循環

DAIR 最重要的設計在於新增了明確的驗證與分級（Verify & Triage）航點，並將中後段的處置打包為一個持續迭代的應變行動循環（Response Actions Loop）。

點擊下方互動式架構圖中的各個航點，可檢視 DAIR 框架在各階段的關鍵任務與動態流向：

3. 五大實戰領域與技術亮點

除了理論模型，全書共 20 個章節花了大量篇幅探討當前資安團隊最棘手的實務場景與工具鏈：

OT/ICS（Dean Parsons 撰）： 針對實體安全不可中斷的限制，結合普渡模型（Purdue Model）進行證據映射與受控的「孤島模式（Island-mode）」運維。 |
| NIST CSF 2.0 雙向對照 | 提供完整的 Crosswalk 對照表，將 DAIR 的實務動作直接映射到 NIST CSF 2.0 的六大功能（Govern、Identify、Protect、Detect、Respond、Recover），讓技術應變紀錄能直接轉化為合規與稽核產出。 |

4. 隨附開源資源（對工程與自動化團隊的價值）

作者不僅開放整本書免費線上閱讀與下載（PDF / EPUB），還將每個 DAIR 航點濃縮成步驟化檢核表（Step-by-Step Companion Checklists），並同時提供 PDF 與 Markdown 格式。這讓資安團隊可以直接把 Markdown 檢核表嵌入內部的 Wiki、工單系統（Ticketing System），或是作為本地端 AI Agent 的系統提示詞與知識庫依據。