事件响应
我关于事件响应所写的全部内容，研究文章在前。每篇都以一件您周一就能做的事收尾。
您自己正面对其中某个问题吗？我与需要答案、而不是又一份幻灯片的组织合作。我们谈谈。
五个角度短文的结构
这里的大多数主题是一页五个短节，顺序始终如一。文章内每一节各有自己的颜色，方便您跳到所需的部分。
- 1我会从哪里入手：我会迈出的第一步，以及在花钱之前我会先问的问题。
- 2计划在哪里失败：这个主题上的计划通常在哪里出问题，以及我会首先检验的假设。
- 3超越术语：剥去厂商话术之后，这个主题的真正含义。
- 4好的状态是什么样：能告诉您它奏效了的结果，以及我会盯着看的那个数字。
- 5领导者无法回避的抉择：领导层必须承担的决定，以及做出决定需要摆上桌面的东西。
-
如何判断一次网络桌面推演发现了真正的响应缺口？
评估事件响应桌面推演的证据，区分讨论与已被证明的能力，并核实纠正措施确实弥补了所发现的缺口。
-
入侵之后的第一次董事会简报
事件响应简报会应当把事实、不确定之处和决策区分开来。下面是调查仍在推进时，我会如何向高管做简报。
-
什么证据表明一起网络事件已被遏制？
通过被阻断的访问路径、仍然存活的会话、可信的观测结果和明确的重新开启条件来评估事件遏制，而不是看已完成的工单。
-
TLS 证书的私钥暴露后该怎么办？
通过更换密钥、吊销受影响的证书和测试客户端行为来应对 TLS 私钥暴露。了解会话和历史数据方面的局限。
-
网络事件何时应触发高管危机管理？
围绕业务后果、决策权限和剩余时间来设定网络危机触发条件，而不是警报数量，也不是等待取证得出确定结论。
-
商务邮件欺诈（BEC）
做商务邮件欺诈（BEC），我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
云入侵响应
做云入侵响应，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
危机沟通
做危机沟通，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
先禁用账户还是先撤销会话？真正有效的顺序
先阻断登录，再撤销所有会话和令牌，最后重置密码。顺序为什么重要，以及每一步会遗漏什么，下面逐一说明。
-
在弄清发生了什么之前，要告知客户吗？
对有时限要求的人，要按时告知您已知和未知的情况。对其他所有人，等到能说出真实而有用的内容时再告知。如何划定这条界线。
-
根除规划
做根除规划，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
证据保全
做证据保全，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
首小时分诊
做首小时分诊，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
事件响应：高管需要知道什么
入侵不会自带清晰的起始时间、完整的受影响系统清单，也不会有一位礼貌地告诉您他已经离开的攻击者。它到来时带着不确定……
-
事件指挥
做事件指挥，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
事后经验总结
做事后经验总结，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
勒索软件遏制
做勒索软件遏制，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
勒索软件正在运行。该拔电源还是拔网线？
断开网络连接；除非没有其他办法进行隔离，否则不要断电。断电会销毁内存中的证据，而正是这些证据能告诉您发生了什么。
-
要支付赎金吗？由谁来决定？
是否支付是董事会层面的业务决策，涉及制裁、法律和恢复方面的后果。应当由谁来决定、之前必须核查什么，以及为什么 FBI 建议不要支付。
-
入侵之后的第一次董事会简报
严重入侵之后的第一次简报，是一场令人不自在的练习：告诉大家您知道什么，而不假装知道其余的部分。高管们希望……
-
入侵仍在发生。何时该联系外部律师？
比您想象的更早，而且原因是大多数人想反了的。
-
第二次入侵才会让您丢掉工作
大多数组织都能挺过第一次入侵。董事会震惊，资金到位，顾问进场，所有人都认同这是一记警钟。第二次……
-
第三方入侵响应
做第三方入侵响应，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
CEO 在入侵发生的第一个小时应当做什么
指定事件负责人，让律师上线，冻结对外声明，并提出四个问题。CEO 在第一小时做什么，以及哪些事情不要插手。
-
重置凭据之前，入侵后要保全什么
在动账户之前，先导出登录日志、审计日志、邮箱规则、应用授权和 MFA 注册信息。清单如下，并说明每一项为何重要。
-
何时应聘请外部事件响应公司？
判断何时需要外部事件响应人员、应当请求哪种能力，以及如何在有用的选项消失之前核实服务商能够迅速到位。
-
什么时候可以放心地说事件已经结束？
不是系统恢复的时候。而是当您知道对方是如何进来的、那扇门已经关上、每一种持久化机制都已清除，并且干净的监控已运行足够长时间、值得信赖的时候。
-
入侵之后我们必须通知谁，截止时间是什么时候？
通知地图：SEC 四个工作日、FTC Safeguards 30 天、HIPAA 60 天、各州法律、您的保险公司、您的合同，以及 CIRCIA 生效之后的要求。
-
IT 与安全团队意见不一致时，事件由谁负责？
一位对遏制拥有权限的指定事件负责人，加上一位拥有风险决策的业务高管。这种分工为何有效，以及如何把它写下来。
-
您的事件响应桌面推演应当让人感到不自在
我见过的安全计划已经足够多，知道一份文档在有人真正需要用它之前，看起来都令人安心。问题并不总是出在计划本身……
没有匹配项。请换一个词，或直接问我。