SANS 的 Joshua Wright 在 2026 年推出的 720 頁 Incident Response 新框架，核心提出的是 DAIR（Dynamic Approach to Incident Response）。
它主要在解決一個問題：
真正的資安事件不是照著「Prepare → Detect → Contain → Eradicate → Recover」一路走到底。
攻擊者會重新出現、Scope 會越查越大、新證據會推翻原本判斷，因此 IR 流程必須能「反覆回頭、重新判斷」。這就是 DAIR 的核心
這真的有用嗎??
已邀請的邦友 {{ invite_list.length }}/5
我覺得還是有用吧，但它比較像是「把實務上本來就在做的事講清楚」，不是全新的發明。
傳統的 PICERL 看起來是線性的，但其實 NIST SP 800-61 本來就把「偵測分析」和「圍堵、根除、復原」畫成一個循環。有經驗的 IR 團隊實際處理事件時，應該也是一直是在「調查 → 發現新證據 → 擴大範圍 → 重新圍堵」之間來回跑。
我覺得 DAIR 的是想讓「反覆回頭」變成明確的流程。它告訴你什麼時候該回頭、回頭要重新評估哪些東西，也讓團隊在溝通時不會卡在「我們現在到底在第幾階段」。對新手或制度還不成熟的團隊特別有幫助，因為照著線性步驟走，很容易在攻擊者還在環境裡的時候就宣告結案。
感覺實際效果還是要取決於團隊的成熟度，而不是框架本身。
iThome鐵人賽
看影片追技術