Communitygithub.com

Erstellung eines Incident-Response-Playbooks

Entwirft und dokumentiert strukturierte Incident-Response-Playbooks mit Schritt-für-Schritt-Anleitungen.

Was ist Erstellung eines Incident-Response-Playbooks?

Diese Fähigkeit unterstützt dich beim Erstellen strukturierter Incident-Response-Playbooks für SOC-Teams oder SOAR-Plattformen wie Cortex XSOAR und Splunk SOAR. Sie führt dich durch einen sechsteiligen Workflow von der Auswahl des Incident-Typs über die Definition von Entscheidungsbäumen und Eskalationskriterien bis hin zur Integration in SOAR-Plattformen. Das Skill betont wiederverwendbare und konsistente Dokumentation, die an Standards wie NIST SP 800-61r3 und SANS PICERL ausgerichtet ist. Es hilft dir, Lücken in den aktuellen IR-Fähigkeiten zu identifizieren und mit einer RACI-Matrix klare Verantwortlichkeiten zu definieren. Zudem wird die Notwendigkeit regelmäßiger Tests und Wartung durch Tabletop-Übungen und Live-Fire-Übungen hervorgehoben. Das Ergebnis ist ein professionelles Playbook mit Metriken wie MTTA, MTTC und MTTR.

Funktioniert mit~Claude Code~Codex CLI~Cursor
npx skills add https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/main/skills/building-incident-response-playbook
Original anzeigen→Alle Skills durchsuchen

In Ihrer bevorzugten KI fragen

Öffnet einen neuen Chat, in dem dieser Agent-Skill bereits geladen ist.

OpenAIChatGPTClaudeClaudeGeminiGeminiGrokGrokPerplexityPerplexityDeepSeekDeepSeek

Dokumentation

Erstellung von Incident-Response-Playbooks

Wann verwenden

  • Aufbau oder Verbesserung eines Incident-Response-Programms von Grund auf
  • Dokumentation von Verfahren für einen neuen Incident-Typ nach einem neuartigen Angriff
  • Automatisierung von Reaktionsabläufen in einer SOAR-Plattform (Cortex XSOAR, Splunk SOAR)
  • Vorbereitung auf Compliance-Audits, die dokumentierte IR-Verfahren erfordern (SOC 2, PCI-DSS, HIPAA)
  • Durchführung einer Gap-Analyse bestehender IR-Fähigkeiten gegen spezifische Bedrohungsszenarien

Nicht verwenden für einmalige Ad-hoc-Untersuchungen; Playbooks sind wiederverwendbare Verfahrensdokumente, keine fallspezifischen Berichte.

Voraussetzungen

  • Organisatorische Risikobewertung, die die wichtigsten Incidentszenarien nach Wahrscheinlichkeit und Auswirkung identifiziert
  • NIST SP 800-61r3 oder SANS PICERL-Framework als organisatorischer IR-Standard übernommen
  • Bestandsverzeichnis mit Geschäftskritikalitätseinstufungen und Datenklassifizierung
  • RACI-Diagramm, das Rollen definiert: Incident Commander, SOC-Analysten, Systemadministratoren, Rechtsabteilung, Kommunikation
  • Bestandsaufnahme vorhandener Erkennungsfähigkeiten (SIEM-Regeln, EDR-Erkennungen, IDS-Signaturen)
  • Zugang zur SOAR-Plattform bei der Erstellung automatisierter Playbooks

Workflow

Schritt 1: Incident-Typ auswählen und abgrenzen

Definiere das spezifische Szenario, das das Playbook adressieren wird:

  • Identifiziere die wichtigsten Incident-Typen basierend auf der organisatorischen Risikobewertung und historischen Daten
  • Grenze jedes Playbook auf einen einzigen Incident-Typ ein, um Klarheit zu gewährleisten (kombiniere keine unzusammenhängenden Szenarien)
  • Definiere Auslösebedingungen, die das Playbook aktivieren

Häufige Playbook-Typen:

Prioritäts-Playbooks (zuerst erstellen):
1. Ransomware-Incident-Response
2. Phishing/Konto-Kompromittierung
3. Business-E-Mail-Compromise
4. Malware-Infektion
5. Datenschutzverletzung/Exfiltration
6. DDoS-Angriff
7. Insider-Bedrohung
8. Kontoübernahme
9. Webanwendungs-Kompromittierung
10. Cloud-Infrastruktur-Kompromittierung

Schritt 2: Playbook-Struktur definieren

Jedes Playbook sollte einer konsistenten Struktur folgen:

PLAYBOOK-VORLAGE
━━━━━━━━━━━━━━━━
1. Playbook-Metadaten
   - Name, Version, Besitzer, letztes Überprüfungsdatum
   - Auslösebedingungen
   - Schweregrad-Kriterien

2. RACI-Matrix
   - Wer ist für jeden Schritt verantwortlich, rechenschaftspflichtig, konsultiert, informiert

3. Erkennung & Triage
   - Wie der Incident erkannt wird
   - Checkliste für die erste Triage
   - Klassifizierungskriterien für den Schweregrad

4. Eindämmung
   - Kurzfristige Eindämmungsmaßnahmen
   - Langfristige Eindämmungsmaßnahmen
   - Anforderungen an die Beweissicherung

5. Beseitigung
   - Identifizierung der Grundursache
   - Schritte zur Entfernung von Malware/Bedrohung
   - Überprüfungsverfahren

6. Wiederherstellung
   - Schritte zur Systemwiederherstellung
   - Validierungskriterien
   - Überwachungsanforderungen nach der Wiederherstellung

7. Nach dem Incident
   - Auslöser für Lessons-Learned-Meeting
   - Berichtsvorlage
   - Maßnahmen zur Verbesserung der Erkennung

8. Kommunikation
   - Interne Benachrichtigungsmatrix
   - Externe Benachrichtigungsanforderungen (Aufsichtsbehörden, Kunden, Strafverfolgungsbehörden)
   - Rhythmus für Statusaktualisierungen

9. Anhänge
   - Toolspezifische Verfahren
   - Kontaktlisten
   - Checklisten zur Beweissicherung

Schritt 3: Entscheidungsbäume und Eskalationskriterien schreiben

Definiere klare Entscheidungspunkte mit binären Ergebnissen:

Erkennungs-Warnung eingegangen
├── Handelt es sich bei der Warnung um einen echten Alarm?
│   ├── JA → Schweregrad klassifizieren
│   │   ├── P1 (Kritisch) → Incident Commander alarmieren, sofort mit Eindämmung beginnen
│   │   ├── P2 (Hoch) → IR-Leiter benachrichtigen, Untersuchung innerhalb von 30 Minuten beginnen
│   │   ├── P3 (Mittel) → Für Untersuchung innerhalb von 4 Stunden in die Warteschlange stellen
│   │   └── P4 (Niedrig) → Dokumentieren und innerhalb von 24 Stunden untersuchen
│   └── NEIN → Als Fehlalarm dokumentieren, Erkennungsregel anpassen
└── Kann nicht festgestellt werden → An Stufe 2 zur tiefergehenden Analyse eskalieren

Eskalationsauslöser:

  • Jeder P1-Incident: Sofortige Eskalation an IR-Leiter und CISO
  • Bestätigte Datenexfiltration: Rechtsberatung und Datenschutzbeauftragten benachrichtigen
  • Kundendaten betroffen: Kundenbenachrichtigungsprozess aktivieren
  • Beteiligung Dritter: Sicherheitskontakt des Anbieters einschalten
  • Strafverfolgungsbehörden erforderlich: General Counsel autorisiert vor Kontaktaufnahme

Schritt 4: Spezifische technische Verfahren definieren

Schreibe toolspezifische Anweisungen für jeden Schritt (keine allgemeinen Anleitungen):

EINDÄMMUNG - Endpunktisolierung über CrowdStrike:
1. Falcon Console öffnen > Hosts > Nach betroffenem Hostnamen suchen
2. Auf den Host klicken > Host-Details
3. Schaltfläche "Contain Host" oben rechts klicken
4. Isolierung bestätigen (Host kommuniziert nur noch mit CrowdStrike-Cloud)
5. Eindämmungsaktion im Incident-Ticket mit Zeitstempel dokumentieren
6. Eindämmung überprüfen: Host sollte "Contained"-Statusabzeichen anzeigen

EINDÄMMUNG - C2-Domain auf DNS blockieren:
1. SSH zum DNS-Server: ssh [email protected]
2. Zur Blockzone hinzufügen: echo "zone evil.com { type master; file /etc/bind/db.sinkhole; };" >> /etc/bind/named.conf.local
3. DNS neu laden: rndc reload
4. Überprüfen: dig @dns-primary evil.com (sollte zur Sinkhole-IP 10.0.0.99 aufgelöst werden)
5. Blockierte Domain im Incident-Ticket dokumentieren

Schritt 5: In SOAR-Plattform integrieren

Manuelle Playbook-Schritte in automatisierte Abläufe umwandeln:

  • Ordne jeden Playbook-Schritt einer SOAR-Aktion zu (API-Aufruf, Skript, menschlicher Entscheidungspunkt)
  • Definiere Automatisierungsgrenzen (was automatisch läuft vs. was Analystengenehmigung erfordert)
  • Erstelle Anreicherungs-Automatisierungen für die Triage-Phase
  • Erstelle Eindämmungs-Automatisierungen mit Genehmigungsschleusen für Aktionen mit hohen Auswirkungen
  • Konfiguriere Benachrichtigungs-Automatisierungen für die Stakeholder-Kommunikation

Schritt 6: Playbook testen und warten

Validiere das Playbook durch Übungen und halte es aktuell:

  • Führe Tabletop-Übungen mit dem IR-Team durch, die das Playbook durchgehen
  • Führe Live-Fire-Übungen durch, die den Incident-Typ in einer Testumgebung simulieren
  • Überprüfe und aktualisiere nach jedem realen Incident, bei dem das Playbook verwendet wird
  • Plane vierteljährliche Überprüfungen auf Richtigkeit von Kontaktlisten, Tool-Verfahren und Eskalationspfaden
  • Verfolge Playbook-Kennzahlen: mittlere Zeit bis zur Eindämmung, mittlere Zeit bis zur Behebung, Fehlalarmrate

Schlüsselkonzepte

BegriffDefinition
PlaybookDokumentierte, wiederholbare Reihe von Verfahren zur Reaktion auf einen bestimmten Incident-Typ
RunbookDetaillierter als ein Playbook; Schritt-für-Schritt-technische Anweisungen für eine bestimmte Aufgabe innerhalb eines Playbooks
RACI-MatrixVerantwortungszuordnungsdiagramm, das definiert, wer für jede Aktivität verantwortlich, rechenschaftspflichtig, konsultiert und informiert ist
EntscheidungsbaumFlussdiagrammbasierte Logik, die den Reaktionspfad basierend auf binären Bedingungen an jedem Entscheidungspunkt definiert
EskalationskriterienVordefinierte Bedingungen, die die Benachrichtigung von übergeordnetem Personal oder externen Parteien auslösen
SOAR-PlaybookAutomatisierter Workflow in einer Security Orchestration, Automation and Response-Plattform, der Playbook-Schritte ausführt

Tools & Systeme

  • Cortex XSOAR: SOAR-Plattform mit visuellem Playbook-Editor, über 700 Integrationen und kollaborativem War Room
  • Splunk SOAR: SOAR-Plattform integriert mit Splunk ES, Drag-and-Drop-Playbook-Builder mit über 2.800 automatisierten Aktionen
  • TheHive: Open-Source-Incident-Response-Plattform mit Fallvorlagen, die als Playbook-Frameworks fungieren
  • Confluence / GitLab Wiki: Dokumentationsplattformen zur Pflege von menschenlesbaren Playbook-Dokumenten mit Versionskontrolle
  • Tines: No-Code-Sicherheitsautomatisierungsplattform zum Erstellen von Playbook-Workflows ohne Programmierung

Häufige Szenarien

Szenario: Erstellen eines Phishing-Response-Playbooks von Grund auf

Kontext: Eine Organisation mit einem 5-köpfigen SOC hat kein dokumentiertes Phishing-Response-Verfahren. Analysten bearbeiten Phishing-Meldungen inkonsistent.

Vorgehen:

  1. Befrage SOC-Analysten, um ihren aktuellen Ad-hoc-Prozess zu dokumentieren
  2. Definiere den Auslöser: Benutzer meldet Phishing-E-Mail über abuse@-Postfach oder Phishing-Button
  3. Schreibe Triage-Schritte: E-Mail-Header extrahieren, Absender-Reputation prüfen, URLs/Anhänge in der Sandbox analysieren
  4. Definiere Eindämmung: E-Mail aus allen Postfächern in Quarantäne verschieben, Absenderdomain blockieren, Passwörter zurücksetzen, falls Anmeldedaten eingegeben wurden
  5. Baue SOAR-Automatisierung: automatische IOC-Extraktion aus gemeldeter E-Mail, Anreicherung über VirusTotal, Fall in TheHive erstellen
  6. Teste mit simulierter Phishing-E-Mail und messe die Verbesserung der Reaktionszeit

Stolpersteine:

  • Schreiben von zu allgemeinen Verfahren, die nicht auf spezifische Tool-Oberflächen oder Befehle verweisen
  • Nichtaufnahme des Kommunikationsplans zur Benachrichtigung von Benutzern, die die Phishing-E-Mail erhalten haben
  • Vergessen, die Kriterien zu definieren, wann aus einer Phishing-Meldung eine vollständige Incident-Untersuchung wird
  • Fehlende Versionierung des Playbooks oder fehlende Planung regelmäßiger Überprüfungszyklen

Ausgabeformat

INCIDENT-RESPONSE-PLAYBOOK
============================
Playbook-Name:    Phishing-Incident-Response
Version:          2.1
Besitzer:         SOC-Manager
Letzte Überprüfung: 2025-11-01
Nächste Überprüfung: 2026-02-01
Auslöser:         Phishing-E-Mail gemeldet über [email protected] oder Phishing-Button

RACI-MATRIX
Aktivität                    | SOC L1 | SOC L2 | IR-Leiter | Rechtsabt. | Komm.
Erste Triage                  |   R    |   C    |   I       |            |
E-Mail-Analyse                |   R    |   A    |   I       |            |
Eindämmung                    |        |   R    |   A       |   I        |
Passwort-Zurücksetzung        |        |   R    |   A       |            |
Benutzerbenachrichtigung      |        |   C    |   A       |            |   R
Behördliche Benachrichtigung  |        |        |   C       |   R        |   A
Lessons Learned               |   C    |   C    |   R       |   I        |   I

VERFAHRENSSCHRITTE
[Detaillierte Schritte mit toolspezifischen Anweisungen]

ENTSCHEIDUNGSBAUM
[Flussdiagramm-Logik]

ESKALATIONSMATRIX
[Bedingungen und Kontakte]

KENNZAHLEN
Ziel-MTTA: 15 Minuten
Ziel-MTTC: 1 Stunde
Ziel-MTTR: 4 Stunden

Individual skills in this repo

This repo contains 20 individual skills — each has its own dedicated page.

abusing-dpapi-for-credential-access

Extract and decrypt Windows DPAPI-protected secrets (Credential Manager, browser logins/cookies, Wi-Fi credentials, KeePass keys) online or offline using SharpDPAPI, SharpChrome, Mimikatz, or Impacket

abusing-shadow-credentials-for-privesc

Take over Active Directory accounts by writing attacker-controlled public keys to msDS-KeyCredentialLink (Shadow Credentials) with pyWhisker, Whisker, or Certipy, then authenticate via PKINIT to recover the target

achieving-cmmc-level-2-compliance

>-

acquiring-disk-image-with-dd-and-dcfldd

Create forensically sound bit-for-bit disk images with dd or dcfldd on a Linux forensic workstation, preserving evidence integrity through hash verification (MD5/SHA) during acquisition. Use when imaging a suspect drive, USB device, or memory card for investigation, preserving volatile disk evidence during incident response, or producing a verified copy for legal or law-enforcement proceedings before any destructive analysis.

analyzing-active-directory-acl-abuse

Detect dangerous ACL misconfigurations in Active Directory using ldap3

analyzing-android-malware-with-apktool

Perform static analysis of Android APK malware using apktool for resource decompilation, jadx for Java source recovery, and androguard for manifest inspection, dangerous permission-combination detection, and identification of obfuscated code, dynamic code loading, and reflection-based API calls. Use to statically triage a suspicious APK without executing it or to build mobile malware detection rules.

analyzing-api-gateway-access-logs

Parses API Gateway access logs (AWS API Gateway, Kong, Nginx) to detect

analyzing-apt-group-with-mitre-navigator

Query ATT&CK data with attackcti, mitreattack-python, and stix2, then build MITRE ATT&CK Navigator layers and multi-layer heatmap overlays mapping one or more APT groups

analyzing-azure-activity-logs-for-threats

Queries Azure Monitor activity logs and sign-in logs via azure-monitor-query

analyzing-bootkit-and-rootkit-samples

Analyzes bootkit and advanced rootkit malware infecting the Master

analyzing-browser-forensics-with-hindsight

Parse Chromium-based browser databases with Hindsight to extract and correlate browsing history, downloads, cookies, cached content, autofill data, saved passwords, and extensions from Chrome, Edge, Brave, Opera, and Vivaldi into a unified timeline (XLSX, JSON, or SQLite output). Use during incident response, insider-threat investigations, or criminal cases when you need to reconstruct a user

analyzing-campaign-attribution-evidence

Systematically evaluate cyber-campaign evidence to attribute an operation to a threat actor, using the Diamond Model and Analysis of Competing Hypotheses (ACH) to weigh infrastructure overlaps, TTP consistency, malware code similarity, and timing/language artifacts into confidence-weighted attribution assessments. Use when an incident investigation needs a defensible attribution confidence level.

analyzing-certificate-transparency-for-phishing

Monitor Certificate Transparency logs using crt.sh and Certstream to

analyzing-cloud-storage-access-patterns

Detect abnormal access in AWS S3, GCS, and Azure Blob Storage by analyzing CloudTrail Data Events, GCS audit logs, and Azure Storage Analytics for after-hours bulk downloads, new-IP access, and API-call spikes (e.g. GetObject) via statistical baselines and time-series anomaly detection. Use when investigating suspected cloud data exfiltration or building related detection rules.

analyzing-cobalt-strike-beacon-configuration

Extract and analyze Cobalt Strike beacon configuration from PE files

analyzing-cobaltstrike-malleable-c2-profiles

Parse and analyze Cobalt Strike Malleable C2 profiles with dissect.cobaltstrike (profiles and beacon-payload configs) and pyMalleableC2 (AST parsing) to extract HTTP/DNS transforms, URIs, headers, sleep/jitter, and injection behavior, then generate network detection signatures. Use when reverse-engineering a captured malleable profile or building detections against Cobalt Strike Beacon traffic.

analyzing-command-and-control-communication

Analyzes malware C2 communication over HTTP, HTTPS, DNS, and custom

analyzing-cyber-kill-chain

Analyzes intrusion activity against the Lockheed Martin Cyber Kill Chain

analyzing-disk-image-with-autopsy

Perform comprehensive forensic analysis of raw (dd), E01, or AFF disk images with Autopsy and The Sleuth Kit, recovering deleted files, examining metadata and embedded artifacts, keyword searching, and building investigation timelines with visual reports. Use for structured analysis of a forensic disk image or when stakeholders need visual reports from evidence.

analyzing-dns-logs-for-exfiltration

Analyzes DNS query logs to detect data exfiltration via DNS tunneling,

Verwandte Skills

steipete/video-frames

Extract frames or short clips from videos using ffmpeg.

community

steipete/summarize

Summarize or transcribe URLs, YouTube/videos, podcasts, articles, transcripts, PDFs, and local files.

community

openclaw/openclaw

Use when testing, fixing, or extending the OpenClaw Control UI GUI with Vitest + Playwright end-to-end checks, mocked Gateway WebSocket flows, mocked dashboard runs, screenshots/videos, or agent-verifiable browser proof.

community

obra/superpowers

Obra superpowers agent skills.

community

affaan-m/ECC

See, Understand, Act on video and audio. See- ingest from local files, URLs, RTSP/live feeds, or live record desktop; return realtime context and playable stream links. Understand- extract frames, build visual/semantic/temporal indexes, and search moments with timestamps and auto-clips. Act- transcode and normalize (codec, fps, resolution, aspect ratio), perform timeline edits (subtitles, text/image overlays, branding, audio overlays, dubbing, translation), generate media assets (image, audio...

community

affaan-m/everything-claude-code

End-to-end marketing campaign planning and execution. Covers audience research, positioning, campaign angle definition, landing page copy, email sequences, social posts, ad copy, short-form video scripts, and content calendars. Use as the orchestration layer for multi-channel product launches. Use when planning or executing a multi-channel product launch, or producing landing page, email, social, or ad copy.

community