mcpField
S
secops-incident-summarization

secops-incident-summarization

github.com/happy-technologies-llc安全4141 次安装2 天前更新
代码仓库

关于 secops-incident-summarization

该技能帮助 SOC 分析师和安全管理者为 ServiceNow 安全事件编写面向管理层和响应团队的摘要。它结合事件影响、IOC、攻击分类及响应进度，形成结构化的执行摘要和技术摘要。

主要功能

  1. 01生成管理层执行摘要
  2. 02整理含 IOC 的技术摘要
  3. 03按标准类别和 MITRE ATT&CK 分类威胁
  4. 04汇总受影响资产及业务关键性
  5. 05跟踪遏制状态与响应进展
  6. 06按紧急程度排列建议行动

适用场景

  1. 01为 CISO 和管理层准备事件简报
  2. 02协调跨团队事件响应沟通
  3. 03整理合规或监管通知材料

MCP 相关

该技能通过 SN-Get-Record 和 SN-Query-Table 检索事件、资产、IOC、任务及工作记录，并用 SN-Add-Work-Notes 将摘要写入事件。

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/happy-technologies-llc/happy-platform-skills --skill secops-incident-summarization

安装后在 Claude Code 中输入/secops-incident-summarization确认已加载。

详细介绍

安全事件摘要

概述

此技能可帮助 SOC 分析师和安全经理生成不同详细程度的结构化安全事件摘要。它既能为管理层生成执行摘要，也能为运营团队生成技术摘要，确保对事件状态、影响和响应措施进行一致的沟通。

主要功能：

  • 生成简洁的执行摘要，适用于向 CISO 和管理层汇报
  • 生成详细的技术摘要，包含 IOC、攻击向量和取证发现
  • 使用标准化类别和 MITRE ATT&CK 映射对威胁进行分类
  • 根据业务关键性背景列出受影响资产
  • 总结遏制状态和响应进展
  • 按紧急程度优先排序并汇总建议采取的措施

适用场景： 安全事件需要向任何级别的利益相关方沟通时，包括管理层更新、跨团队协调、监管通知或合规文档编制。

前提条件

  • 角色： sn_si.analyst、sn_si.manager
  • 访问权限： 对 sn_si_incident、sn_si_task、sn_ti_observable、sn_vul_vulnerable_item、cmdb_ci、sys_journal_field 表具有读取权限
  • 插件： Security Incident Response (sn_si)、Threat Intelligence (sn_ti)、Vulnerability Response (sn_vul)
  • 数据： 已填写相关字段的活动安全事件或近期已关闭的安全事件

操作步骤

步骤 1：检索核心事件详情

获取完整的事件记录，包括所有分类和时间字段。

使用 MCP：

Tool: SN-Get-Record
Parameters:
  table_name: sn_si_incident
  sys_id: [INCIDENT_SYS_ID]
  fields: sys_id,number,short_description,description,category,subcategory,priority,state,assigned_to,assignment_group,cmdb_ci,opened_at,resolved_at,closed_at,close_notes,close_code,business_criticality,risk_score,attack_vector,kill_chain_phase,severity,contact_type,affected_user,caller_id

使用 REST：

GET /api/now/table/sn_si_incident?sysparm_query=number=[INCIDENT_NUMBER]&sysparm_fields=sys_id,number,short_description,description,category,subcategory,priority,state,assigned_to,assignment_group,cmdb_ci,opened_at,resolved_at,closed_at,close_notes,close_code,business_criticality,risk_score,attack_vector,kill_chain_phase,severity,contact_type,affected_user&sysparm_limit=1&sysparm_display_value=true
步骤 2：收集受影响资产详情

检索所有受影响资产的配置项详情，以评估业务影响。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: cmdb_ci
  query: sys_id=[CMDB_CI_SYS_ID]
  fields: sys_id,name,sys_class_name,ip_address,os,environment,business_criticality,support_group,department,location,operational_status
  limit: 1

对于影响多个资产的事件，请按相关记录查询：

Tool: SN-Query-Table
Parameters:
  table_name: cmdb_ci
  query: sys_idIN[CI_SYS_ID_1,CI_SYS_ID_2,CI_SYS_ID_3]
  fields: sys_id,name,sys_class_name,ip_address,os,environment,business_criticality,support_group,department,location,operational_status
  limit: 20

使用 REST：

GET /api/now/table/cmdb_ci?sysparm_query=sys_id=[CMDB_CI_SYS_ID]&sysparm_fields=sys_id,name,sys_class_name,ip_address,os,environment,business_criticality,support_group,department,location,operational_status&sysparm_limit=1&sysparm_display_value=true
步骤 3：检索威胁可观测对象和 IOC

收集与事件相关的所有入侵指标。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sn_ti_observable
  query: security_incident=[INCIDENT_SYS_ID]
  fields: sys_id,type,value,source,confidence,first_seen,last_seen,threat_score
  limit: 100

使用 REST：

GET /api/now/table/sn_ti_observable?sysparm_query=security_incident=[INCIDENT_SYS_ID]&sysparm_fields=sys_id,type,value,source,confidence,first_seen,last_seen,threat_score&sysparm_limit=100
步骤 4：检查遏制和响应任务状态

获取所有安全事件任务，以评估响应进展。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sn_si_task
  query: security_incident=[INCIDENT_SYS_ID]^ORDERBYopened_at
  fields: sys_id,number,short_description,state,priority,assigned_to,assignment_group,opened_at,closed_at,task_type
  limit: 50

使用 REST：

GET /api/now/table/sn_si_task?sysparm_query=security_incident=[INCIDENT_SYS_ID]^ORDERBYopened_at&sysparm_fields=sys_id,number,short_description,state,priority,assigned_to,assignment_group,opened_at,closed_at,task_type&sysparm_limit=50&sysparm_display_value=true
步骤 5：检查相关漏洞

识别受影响资产上可能与事件相关的漏洞。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sn_vul_vulnerable_item
  query: cmdb_ci=[AFFECTED_CI_SYS_ID]^stateINOpen,Under Investigation
  fields: sys_id,vulnerability,cmdb_ci,state,risk_score,cvss_score,first_found
  limit: 20

使用 REST：

GET /api/now/table/sn_vul_vulnerable_item?sysparm_query=cmdb_ci=[AFFECTED_CI_SYS_ID]^stateINOpen,Under Investigation&sysparm_fields=sys_id,vulnerability,cmdb_ci,state,risk_score,cvss_score,first_found&sysparm_limit=20&sysparm_display_value=true
步骤 6：检索近期工作备注以了解背景

获取分析师最新备注，以记录当前发现和采取的措施。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sys_journal_field
  query: name=sn_si_incident^element_id=[INCIDENT_SYS_ID]^element=work_notes^ORDERBYDESCsys_created_on
  fields: value,sys_created_on,sys_created_by
  limit: 20

使用 REST：

GET /api/now/table/sys_journal_field?sysparm_query=name=sn_si_incident^element_id=[INCIDENT_SYS_ID]^element=work_notes^ORDERBYDESCsys_created_on&sysparm_fields=value,sys_created_on,sys_created_by&sysparm_limit=20
步骤 7：生成执行摘要

编写适合 CISO 和高级管理层阅读的高层次摘要。

使用 MCP：

Tool: SN-Add-Work-Notes
Parameters:
  table_name: sn_si_incident
  sys_id: [INCIDENT_SYS_ID]
  work_notes: |
    === EXECUTIVE SUMMARY ===
    Incident: SIR0009100 | Generated: 2026-03-19 14:00 UTC

    CLASSIFICATION:
    Type: Ransomware | Severity: Critical | Priority: P1
    Attack Vector: Phishing email with malicious attachment
    Kill Chain Phase: Actions on Objectives
    MITRE ATT&CK: T1566.001 (Spearphishing Attachment), T1486 (Data Encrypted for Impact)

    BUSINESS IMPACT:
    Affected System: FILESVR-03 (Production File Server)
    Business Criticality: High | Department: Finance
    Impact: File sharing services unavailable for 45 users
    Data at Risk: Financial reports, accounts payable records
    Revenue Impact: Estimated $50K/day in operational delays

    CURRENT STATUS:
    State: Containment | Progress: 60%
    - Server isolated from network (COMPLETE)
    - Forensic image captured (COMPLETE)
    - Malware analysis in progress (IN PROGRESS)
    - Backup restoration planned for tomorrow (PENDING)

    KEY DECISIONS NEEDED:
    1. Approve emergency change for server rebuild (requires CAB approval)
    2. Determine if regulatory notification is required (legal review pending)
    3. Authorize overtime for weekend recovery operations

    NEXT UPDATE: 2026-03-19 18:00 UTC
步骤 8：生成技术摘要

编写供响应团队使用的详细技术摘要。

使用 MCP：

Tool: SN-Add-Work-Notes
Parameters:
  table_name: sn_si_incident
  sys_id: [INCIDENT_SYS_ID]
  work_notes: |
    === TECHNICAL SUMMARY ===
    Incident: SIR0009100 | Generated: 2026-03-19 14:00 UTC

    THREAT DETAILS:
    Malware Family: LockBit 3.0 variant
    Initial Access: Phishing email to user J.Doe (Finance)
    Delivery: .zip attachment containing .iso with embedded .lnk
    Execution: PowerShell download cradle → Cobalt Strike beacon
    Lateral Movement: PsExec to FILESVR-03 using harvested credentials
    Impact: AES-256 encryption of SMB shares (~2TB data)

    INDICATORS OF COMPROMISE:
    IP Addresses:
    - 198.51.100.45 (C2 server, confidence: 95%)
    - 203.0.113.78 (payload delivery, confidence: 90%)
    Domains:
    - update-service[.]example.com (C2, confidence: 95%)
    File Hashes (SHA256):
    - a1b2c3d4...ef56 (initial dropper)
    - f6e5d4c3...b2a1 (ransomware payload)
    Email:
    - [email protected] (sender)

    AFFECTED ASSETS:
    | Asset | Type | IP | Status | Criticality |
    |-------|------|----|--------|-------------|
    | FILESVR-03 | Windows Server | 10.1.5.20 | Isolated | High |
    | WS-FIN-042 | Workstation | 10.2.3.42 | Reimaged | Medium |

    VULNERABILITIES EXPLOITED:
    - CVE-2025-21345 (CVSS 8.8) - Windows SMB elevation of privilege
    - Outdated EDR signatures (not a CVE but contributing factor)

    RESPONSE TASKS:
    | Task | Status | Owner | ETA |
    |------|--------|-------|-----|
    | Network isolation | Complete | NetOps | Done |
    | Forensic imaging | Complete | DFIR Team | Done |
    | Malware reverse engineering | In Progress | Threat Intel | Mar 20 |
    | IOC blocklist deployment | Complete | SOC | Done |
    | Backup validation | In Progress | IT Ops | Mar 19 |
    | Server rebuild | Pending | IT Ops | Mar 20 |
    | User credential reset | Complete | IAM Team | Done |
    | Phishing awareness alert | Pending | Comms | Mar 19 |

    CONTAINMENT VERIFICATION:
    - Firewall rules blocking C2 IPs: CONFIRMED
    - DNS sinkhole for C2 domain: CONFIRMED
    - Affected user credentials reset: CONFIRMED
    - Network scan for lateral movement indicators: IN PROGRESS

工具用法

工具用途
SN-Get-Record根据 sys_id 检索完整事件详情
SN-Query-Table查询任务、可观测对象、漏洞、配置项和工作备注
SN-Add-Work-Notes将执行摘要和技术摘要发布到事件中
SN-Natural-Language-Search使用自然语言查询，快速查找事件

最佳实践

  • 根据受众定制摘要：面向高管的摘要应聚焦业务影响和决策，技术摘要应聚焦 IOC 和响应措施
  • 采用一致的格式，让接收者能够在不同事件中快速找到所需信息
  • 在所有摘要中注明时间戳，让读者了解信息的时效性
  • 在面向高管的摘要中突出需要作出的决策，推动领导层采取行动
  • 以机器可解析的格式列出 IOC，便于将其导入拦截工具
  • 引用 MITRE ATT&CK 技术，以统一整个组织的威胁分类
  • 在事件处置期间定期更新摘要；过时的摘要会削弱利益相关者的信心
  • 明确区分事实与评估，清楚标注已确认的发现与分析人员的判断

故障排除

无法获取 CI 详细信息

**原因：**事件中的 cmdb_ci 字段可能引用了已停用的 CI，或属于不同的 CMDB 类。 **解决方案：**按名称或 IP 地址搜索 cmdb_ci_list。检查 cmdb_ci_server、cmdb_ci_computer 或其他子类表。

没有与事件关联的可观测对象

**原因：**威胁情报可能尚未导入，或尚未关联到特定事件。 **解决方案：**在 sn_ti_observable 表中按值全面搜索相关 IOC。如果找到，请手动将可观测对象关联到事件。

任务类型与预期工作流不匹配

**原因：**不同的剧本配置可能采用不同的任务类型或命名惯例。 **解决方案：**查询 sn_si_task 时不添加 task_type 筛选条件，以查看所有任务。检查该事件类别对应的剧本配置。

示例

示例 1：P1 事件高管简报

  1. 获取事件 SIR0009100 的完整分类详细信息
  2. 查询 CMDB，获取受影响服务器的详细信息和业务重要性
  3. 提取 6 个可观测对象，包括 2 个 IP、2 个哈希值、1 个域名和 1 个电子邮件地址
  4. 确认 8 项响应任务，其中 5 项已完成，3 项正在进行
  5. 生成高管摘要，突出每天 50K 美元的业务影响
  6. 将摘要发布到事件中，并发送电子邮件至 CISO 分发列表

示例 2：多资产事件技术摘要

  1. 获取影响 15 台工作站和 2 台服务器的事件 SIR0008750
  2. 查询 CMDB，获取全部 17 个受影响 CI 的 IP 地址和 OS 版本
  3. 收集 23 个 IOC，涵盖 IP、域名、哈希值和注册表项类型
  4. 将攻击映射到 4 种战术下的 7 项 MITRE ATT&CK 技术
  5. 以表格形式记录每项资产的遏制状态
  6. 在一次更新中同时生成高管摘要和技术摘要

相关技能

  • secops/correlation-insights - 识别相关事件并纳入摘要
  • secops/shift-handover - 将摘要作为交接班报告的输入
  • secops/post-incident-analysis - 事件解决后的详细分析
  • secops/metrics-analysis - 跟踪摘要及时性，将其作为运营指标
  • security/incident-response - 完整的事件响应流程

评论

支持 Markdown