构建事件响应剧本 是做什么的？
使用场景
- 从零开始建立或完善应急响应程序
- 在遭遇新型攻击后，为新的事件类型记录操作流程
- 在SOAR平台（Cortex XSOAR、Splunk SOAR）中自动化响应工作流
- 准备需要已记录IR程序的合规审计（SOC 2、PCI-DSS、HIPAA）
- 针对特定威胁场景，对现有IR能力进行差距分析
不要用于一次性的临时调查；剧本是可重复使用的程序文件，而非针对特定案例的报告。
前提条件
- 基于可能性和影响识别出主要事件场景的组织风险评估
- 采用NIST SP 800-61r3或SANS PICERL框架作为组织IR标准
- 包含业务关键性评级和数据分类的资产清单
- 定义角色（事件指挥官、SOC分析员、系统管理员、法务、沟通）的RACI矩阵
- 现有检测能力清单（SIEM规则、EDR检测、IDS签名）
- 如果构建自动化剧本，需有权访问SOAR平台
工作流
步骤1：选择并界定事件类型
定义剧本将处理的具体场景：
- 基于组织风险评估和历史数据识别主要事件类型
- 为清晰起见，每个剧本仅针对单一事件类型（不要合并无关场景）
- 定义触发剧本的条件
常见剧本类型：
优先剧本（优先构建）：
1. 勒索软件应急响应
2. 钓鱼/凭证泄露
3. 商业邮件欺诈
4. 恶意软件感染
5. 数据泄露/窃取
6. DDoS攻击
7. 内部威胁
8. 账号接管
9. Web应用程序入侵
10. 云基础设施入侵
步骤2：定义剧本结构
每个剧本应遵循一致的结构：
剧本模板
━━━━━━━━━━━━━━━━
1. 剧本元数据
- 名称、版本、负责人、最后审查日期
- 触发条件
- 严重性标准
2. RACI矩阵
- 每个步骤的负责人、问责人、咨询人、知情人
3. 检测与分类
- 事件如何被检测
- 初始分类检查清单
- 严重性分类标准
4. 遏制
- 短期遏制措施
- 长期遏制措施
- 证据保全要求
5. 根除
- 根本原因识别
- 恶意软件/威胁移除步骤
- 验证程序
6. 恢复
- 系统恢复步骤
- 验证标准
- 恢复后的监控要求
7. 事后处理
- 经验教训会议触发条件
- 报告模板
- 检测改进措施
8. 沟通
- 内部通知矩阵
- 外部通知要求（监管机构、客户、执法部门）
- 状态更新节奏
9. 附录
- 特定工具的操作程序
- 联系人列表
- 证据收集检查清单
步骤3：编写决策树和升级标准
定义具有二元结果的清晰决策点：
检测告警触发
├── 告警是否为真阳性？
│ ├── 是 → 分类严重性
│ │ ├── P1（紧急） → 通知事件指挥官，立即开始遏制
│ │ ├── P2（高） → 通知IR负责人，在30分钟内开始调查
│ │ ├── P3（中等） → 排队等待在4小时内调查
│ │ └── P4（低） → 记录并调查在24小时内
│ └── 否 → 记录为误报，调整检测规则
└── 无法确定 → 升级至二级支持进行深入分析
升级触发条件：
- 任何P1事件：立即升级至IR负责人和CISO
- 确认数据窃取：通知法务顾问和隐私官
- 涉及客户数据：激活客户通知流程
- 涉及第三方：联系供应商安全联络人
- 需要执法介入：总法律顾问授权后方可联系
步骤4：定义具体的技术操作程序
为每个步骤编写特定工具的详细说明（而非通用指导）：
遏制 - 通过CrowdStrike隔离端点：
1. 打开Falcon控制台 > 主机 > 搜索受影响的主机名
2. 点击主机 > 主机详情
3. 点击右上角的