用途
该技能为 CIA 平台建立了一套完整的安全事件响应程序，用于检测、分析、遏制、根除和恢复影响平台的安全事件。其流程对齐 NIST SP 800-61r2、ISO 27035 以及 Hack23 ISMS 事件响应计划，强调可度量的响应时间和透明的沟通机制。
适用与不适用场景
适用场景包括：检测安全告警或可疑活动；响应安全入侵或数据暴露；管理漏洞利用事件；协调服务中断响应；处理供应链安全事件；满足 GDPR 72 小时违规通报要求；开展事件后分析与经验总结；更新事件响应手册。
不适用场景包括：日常维护或计划内停机；非安全类运营问题；无安全影响的性能下降。
事件严重性分级
技能定义了 S1 至 S4 四级矩阵，依据每日财务损失、运营影响、恢复时间目标（RTO）和升级路径划分：
- S1 严重：每日损失 €10K 以上，完全中断，RTO 30 分钟，升级至 CEO 与外部顾问。
- S2 高：每日损失 €5-10K，重大降级，RTO 1 小时，升级至 CEO 与保险提供商。
- S3 中：每日损失 €1-5K，部分影响，RTO 4 小时，由 CEO 调查。
- S4 低：每日损失低于 €1K，轻微不便，RTO 24 小时，由 CEO 定期审查。
每级均附有典型事件示例，例如 S1 包括勒索软件感染、PII 暴露的活跃数据泄露、完全服务中断、管理员凭证窃取及 GDPR 第 83 条刑事责任；S2 包括 CVSS 9.0+ 严重漏洞利用、部分数据暴露、超过 50% 用户受影响的服务降级、敏感系统未授权访问及触发监管调查；S3 包括被控制措施阻断的利用尝试、安全配置错误、已隔离的恶意软件、低于 50% 用户的中等影响及轻微合规违规；S4 包括低于阈值的失败登录、扫描误报、轻微策略违规、无影响的可疑活动及文档问题。
事件响应生命周期
阶段一：准备
准备阶段明确事件响应团队构成（CEO 担任事件指挥官、安全负责人、开发负责人、外部顾问、法律顾问、保险提供商），列出工具与资源（AWS Detective、Security Hub、GuardDuty、GitHub Security、CloudWatch Logs Insights、事件响应手册），沟通渠道（CEO 邮箱、GitHub 私有安全问题、AWS 企业支持、外部利益相关方登记表、ISMS-PUBLIC 仓库），证据保留策略（CloudTrail 90 天、应用日志 30 天、数据库审计日志 90 天、VPC 流日志 7 天、每日自动备份），以及准备清单（季度审查响应计划、测试联系人、记录手册、启用监控工具、年度桌面演练、月度验证备份、保持网络保险有效、与法律顾问保持 GDPR 合规合作）。
阶段二：检测与分析
检测来源分为自动检测（GuardDuty 威胁检测、Security Hub 发现聚合、CodeQL 代码扫描、Dependabot 漏洞告警）和人工检测（用户报告、安全审计发现、安全研究员披露、系统监控异常），随后进入事件分诊：验证事件、分级、分配响应团队。
初始评估清单包括：确认事件、识别范围、建立时间线、分级（S1-S4）、保留证据、通知团队、告知利益相关方、评估沟通计划。
分析活动提供具体 AWS 命令示例，包括：使用 aws cloudtrail lookup-events 收集 CloudTrail 日志；使用 aws logs filter-log-events 查询 CloudWatch 日志；使用 aws guardduty list-findings 检查 GuardDuty 发现；使用 aws securityhub get-findings 审查 Security Hub 发现；分析访问模式；以及打包证据文件。
阶段三：遏制
短期遏制包括：网络隔离（通过安全组规则变更，示例命令 aws ec2 revoke-security-group-ingress）；访问吊销（禁用受损账户，示例命令 aws iam delete-login-profile、aws iam delete-access-key）；会话终止（更新 IAM 角色信任策略）；快照创建（EBS 快照、RDS 快照，示例命令 aws ec2 create-snapshot、aws rds create-db-snapshot）。
长期遏制包括：系统补丁、密码轮换（AWS Cognito 强制重置）、证书吊销与重发（AWS Certificate Manager）、部署 WAF 规则、增强监控（CloudWatch 告警、GuardDuty 敏感度），并维持至事件关闭后 30 天。
阶段四：根除
根除阶段包括：恶意软件清除（识别感染系统、终止受损 EC2 实例、部署干净 AMI、使用 AWS Inspector 扫描、验证完整性）；漏洞修补（应用补丁、更新依赖、修复配置弱点、实施补偿控制）；账户清理（移除未授权账户、删除恶意资源、审计权限提升、审查 API 密钥）；配置加固（启用 GuardDuty、强制 MFA、实施最小权限、启用静态加密、启用 VPC 流日志）。
根除清单包括：根因已识别、漏洞已修复、恶意软件已清除、账户已加固、配置已加固、验证测试通过、文档已更新。
阶段五：恢复
恢复分为三阶段：第一阶段恢复关键服务（从备份恢复数据库、部署干净构建、恢复 S3 数据、验证数据完整性）；第二阶段验证（运行安全扫描、执行集成测试、手动安全测试、验证监控告警）；第三阶段逐步上线（先只读模式、观察 30 分钟、选择性启用写操作、全量恢复并增强监控）。
恢复验证提供具体命令示例，包括验证应用可访问性、检查数据库连接、验证 API 端点返回 200、测试认证与 MFA、运行依赖漏洞扫描、监控错误日志。
阶段六：事件后活动
技能提供事件复盘模板，包含事件摘要（事件 ID、检测日期、解决日期、严重性、持续时间）、事件详情（类型、攻击向量、受影响系统、数据影响、业务影响）、时间线（从告警到关闭的逐条记录）以及根因分析。
限制
资料未提供该技能的具体安装方式、收费模式、价格、支持平台或实际使用效果等信息。