关于 security-incident-reporting
用于记录和分析安全事件的技能，结合 NIST SP 800-61 与 SANS 方法，涵盖响应阶段、事件报告、影响评估和复盘。适合安全团队及需向管理层、法务或其他相关方汇报的响应人员。
主要功能
- 01事件响应阶段与记录框架
- 02严重性评级和指标
- 03时间线、技术分析与 IoC 模板
- 04DDoS 事后分析和 CVE 关联
- 05影响评估与无责复盘
- 06按受众制定报告分发
适用场景
- 01记录正在处置的安全事件
- 02整理入侵或 DDoS 的事后报告
- 03将攻击特征关联到已知 CVE
- 04向管理层、法务或客户提供分级报告
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/security-incident-reporting确认已加载。
附带文件SKILL-TYPO3.md
详细介绍
安全事件报告
全面的安全事件记录与分析框架，借鉴 NIST SP 800-61 和 SANS 方法论。
适用场景
- 安全事件发生后（DDoS、数据泄露、漏洞利用）
- 创建事后复盘文档
- 与利益相关方沟通（C 级高管、法务、安全团队）
- 将攻击模式与已知 CVE 关联
- 建立事件响应指标（MTTR、驻留时间）
相关技能
- security-audit - 事件发生前的漏洞评估
- typo3-security - TYPO3 加固
- SKILL-TYPO3.md - TYPO3 专用事件报告
1. 事件响应框架
NIST SP 800-61 / SANS 协同框架
| 阶段 | NIST | SANS | 文档重点 |
|---|---|---|---|
| 1 | 准备 | 准备 | 操作手册、联系人、工具 |
| 2 | 检测与分析 | 识别 | 初步检测、分诊 |
| 3 | 遏制 | 遏制 | 隔离操作、时间线 |
| 4 | 根除 | 根除 | 移除根本原因 |
| 5 | 恢复 | 恢复 | 服务恢复 |
| 6 | 事件后 | 经验教训 | 事后复盘、改进 |
文档原则
日志原则：在事件期间实时记录，然后汇总到事后复盘报告中。切勿事后凭记忆编写报告。
2. 严重性评级系统
NCISS（国家网络事件评分系统）
| 级别 | 分数 | 描述 |
|---|---|---|
| 紧急（1） | 100 | 国家级攻击、关键基础设施 |
| 严重（2） | 80-99 | 重大影响、数据外泄 |
| 高（3） | 60-79 | 服务中断、可能的数据丢失 |
| 中（4） | 40-59 | 影响有限、已遏制的数据泄露 |
| 低（5） | 20-39 | 轻微事件、无数据丢失 |
| 基线（6） | 0-19 | 信息提示、误报 |
DDoS 弹性评分（DRS）
| 级别 | 描述 | 典型带宽 |
|---|---|---|
| 1-2 | 简单洪泛攻击 | < 1 Gbps |
| 3-4 | 复杂多向量攻击 | 1-5 Gbps |
| 5-6 | 高级攻击（国家行为者级别） | 5-100 Gbps |
| 7 | 极端攻击（超大流量） | > 100 Gbps |
CVSS 集成
对于基于漏洞的事件，请参照 security-audit 技能，纳入 CVSS 4.0 基础评分（旧版报告可接受 v3.1）。
3. 事件报告模板
模块 A：元数据与执行摘要
# Security Incident Report
## Metadata
| Field | Value |
|-------|-------|
| Incident ID | SIR-2026-001 |
| Classification | Confidential |
| Status | Closed / Active / Under Investigation |
| Detection Time | 2026-01-21 14:32 UTC |
| Resolution Time | 2026-01-21 15:17 UTC |
| MTTR | 45 minutes |
| Severity | High (NCISS: 65) |
| Lead Analyst | Jane Doe |
| Affected Systems | web-cluster-01, cdn-edge-eu |
## Executive Summary (max 200 words)
On [DATE], our monitoring systems detected [INCIDENT TYPE] targeting [SYSTEMS].
The attack [IMPACT DESCRIPTION]. Through [RESPONSE ACTIONS], normal operations
were restored within [TIMEFRAME]. [DATA IMPACT STATEMENT].
### Business Impact
- Service Availability: [Degraded/Offline for X minutes]
- Data Impact: [None/Potential exposure of X records]
- Financial Impact: [Estimated cost]
- Reputation Impact: [Public/Internal]
模块 B：时间线（按时间顺序分析）
## Incident Timeline
| Time (UTC) | Event | Source | Action Taken |
|------------|-------|--------|--------------|
| 14:32 | Traffic spike detected | Cloudflare Alert | On-call notified |
| 14:35 | 5x baseline traffic confirmed | Grafana | Incident declared |
| 14:38 | Geo-blocking activated | Cloudflare | EU/US traffic filtered |
| 14:42 | Attack vector identified: UDP amplification | DPI Analysis | Null-route for UDP/427 |
| 14:55 | Traffic normalized | Monitoring | Mitigation confirmed |
| 15:17 | All systems stable | Status page | Incident closed |
### Dwell Time Analysis
- Time to Detection (TTD): 0 minutes (automated)
- Time to Containment (TTC): 10 minutes
- Time to Eradication (TTE): 23 minutes
- Time to Recovery (TTR): 45 minutes
模块 C：技术分析与 IoC
## Technical Analysis
### Attack Vectors (MITRE ATT&CK)
- T1498: Network Denial of Service
- T1498.001: Direct Network Flood
- T1498.002: Reflection Amplification
### Indicators of Compromise (IoCs)
#### Network Artifacts
| Type | Value | Context |
|------|-------|---------|
| IP Range | 192.0.2.0/24 | Source (spoofed) |
| ASN | AS12345 | Amplification source |
| Port | UDP/427 | SLP Amplification |
| Signature | \x00\x00\x00\x00SLP | Payload pattern |
#### System Artifacts
| Type | Value | Hash (SHA256) |
|------|-------|---------------|
| Modified File | /var/www/shell.php | a1b2c3... |
| New User | backdoor_admin | N/A |
| Cron Job | /tmp/.hidden/beacon | d4e5f6... |
### Root Cause Analysis (5-Whys)
1. Why did the attack succeed? → Amplification ports were exposed
2. Why were ports exposed? → Firewall rules not updated after migration
3. Why weren't rules updated? → No automated validation in deployment
4. Why no automation? → Security review not in CI/CD pipeline
5. Why not in pipeline? → Technical debt, prioritized features
**Root Cause**: Missing security validation in deployment pipeline
4. DDoS 事后复盘分析
指标表
| 指标 | 数值 | 阈值 | 状态 |
|---|---|---|---|
| 峰值带宽 | 45 Gbps | 10 Gbps | 超出 |
| 峰值每秒数据包数 | 12M PPS | 5M PPS | 超出 |
| 峰值每秒请求数 | 850K RPS | 100K RPS | 超出 |
| 唯一源 IP 数 | 145,000 | N/A | 放大攻击 |
| 攻击持续时间 | 45 min | N/A | - |
| 地理分布范围 | 89 个国家 | N/A | 全球僵尸网络 |
攻击向量分类
| 向量 | 流量占比 | 类型 | 缓解措施 |
|---|---|---|---|
| UDP 洪泛攻击 | 60% | 流量型 | 黑洞路由 |
| SYN 洪泛攻击 | 25% | 协议型 | SYN cookies |
| HTTP 洪泛攻击 | 15% | 应用层 | 速率限制 |
多向量检测
Was this a smoke-screen attack?
├── Volumetric attack started: 14:32
├── Application-layer probing detected: 14:38
├── Login brute-force attempts: 14:40-14:45
└── Conclusion: Coordinated multi-vector attack
5. DDoS 的 CVE 关联
将攻击特征映射到已知漏洞，以获取威胁情报。
放大向量 CVE 表
| 攻击类型 | 端口 | 放大倍数 | CVE | 描述 |
|---|---|---|---|---|
| NTP Monlist | UDP/123 | 556x | CVE-2013-5211 | NTP mode 7 monlist |
| Memcached | UDP/11211 | 51,000x | CVE-2018-1000115 | UDP 反射 |
| CLDAP | UDP/389 | 70x | Various | LDAP 反射 |
| SLP | UDP/427 | 2,200x | CVE-2023-29552 | 服务定位协议 |
| DNS | UDP/53 | 54x | Various | 滥用开放解析器 |
| SSDP | UDP/1900 | 30x | Various | UPnP 反射 |
| Chargen | UDP/19 | 358x | CVE-1999-0103 | 字符生成器 |
分析示例
## CVE Correlation Analysis
Traffic analysis shows 40% of UDP flood originated from port 427.
Deep Packet Inspection confirmed payloads typical for CVE-2023-29552.
**Conclusion**: Botnet leveraging unpatched VMware ESXi instances as
SLP reflectors. Recommend:
1. Verify our infrastructure is not acting as reflector
2. Block UDP/427 at edge
3. Report to upstream provider
6. 影响评估矩阵
运营影响
| 类别 | 级别 | 描述 |
|---|---|---|
| 可用性 | 严重 | 完全中断 15 分钟 |
| 性能 | 高 | 性能下降 50%，持续 30 分钟 |
| 连带影响 | 中 | API 网关受到影响 |
财务影响
| 类别 | 预估成本 |
|---|---|
| 收入损失 | $15,000 |
| 流量清洗超额费用 | $2,500 |
| 事件响应 | $5,000（8 人时） |
| 总计 | $22,500 |
声誉影响
| 渠道 | 严重程度 | 所需措施 |
|---|---|---|
| 社交媒体 | 中 | 准备声明 |
| B2B 合作伙伴 | 低 | 直接通知 |
| 媒体 | 无 | 无外部报道 |
7. 无责事后复盘
原则
- 关注系统，而非个人：“为什么流程会允许 X 发生？”而不是“是谁做了 X？”
- 假定出发点是好的：每个人都基于当时可获得的最佳信息采取行动
- 从中学习，而非惩罚：目标是改进，而非追责
- 公开分享：在组织内部发布，促进组织学习
事后复盘模板
## Post-Mortem: [Incident Title]
### What Happened
[Factual description of the incident]
### What Went Well
- Detection was automated (0 min TTD)
- On-call responded within SLA
- Communication was clear
### What Went Wrong
- Firewall rules were outdated
- No alerting for UDP traffic spikes
- Runbook was incomplete
### Action Items
| ID | Action | Owner | Due Date | Status |
|----|--------|-------|----------|--------|
| 1 | Add security validation to CI/CD | @devops | 2026-02-01 | Open |
| 2 | Update runbook with DDoS procedures | @security | 2026-01-28 | Open |
| 3 | Implement UDP traffic alerting | @sre | 2026-02-05 | Open |
### Lessons Learned
- Automated security gates prevent configuration drift
- Regular runbook reviews are essential
- Multi-vector attacks require layered defense
8. 报告分发
分类级别
| 级别 | 受众 | 内容 |
|---|---|---|
| 高管 | C-Level、董事会 | 摘要、业务影响、修复状态 |
| 技术 | 安全团队、SOC | 完整 IoC、TTP、取证详情 |
| 法务 | 法务、合规 | 数据影响、监管层面的影响 |
| 公开 | 客户、媒体 | 脱敏摘要，不含技术细节 |
保留要求
| 文档类型 | 保留期限 | 存储方式 |
|---|---|---|
| 完整事件报告 | 7 年 | 加密存档 |
| IoC 数据 | 2 年 | 威胁情报平台 |
| 日志与证据 | 1 年 | 不可变存储 |
9. 检查清单
事件发生前的准备
- 事件响应操作手册已编写
- 已建立值班轮班机制
- 已准备沟通模板
- 证据收集工具已就绪
- 利益相关方联系人列表已更新
事件期间
- 已宣布并记录事件
- 已开始记录时间线
- 已保留证据（日志、数据包）
- 已通知利益相关方
- 状态页面已更新
事件之后
- 已完成完整事件报告
- 已安排事后复盘会议
- 已分配并跟踪行动项
- 已记录经验教训
- 已验证／改进控制措施
参考资料
- NIST SP 800-61 Rev. 3（2025 年 4 月，符合 CSF 2.0；Rev. 2 已于 2025-04-03 撤回）
- SANS 事件响应
- MITRE ATT&CK
- DDoS 韧性评分
- CISA NCISS
致谢与归属
此技能参考了“Handbuch für Advanced Security Incident Reporting”方法论， 并融入了 NIST SP 800-61、SANS 框架和行业最佳实践中的内容。
由 webconsulting.at 为 Claude 技能集合开发。
评论
支持 Markdown