shift-handover

SOC 交接班

概述

此技能可帮助 SOC 分析师生成全面的交接班报告，确保分析师轮班之间工作的连续性。通过汇总活动事件、待办任务、近期升级情况和关键观察结果，接班团队可以全面了解当前的安全态势。

主要功能：

• 按优先级和状态汇总所有活动安全事件
• 识别交班团队遗留的待办任务及其负责人
• 突出显示近期升级情况和优先级变更
• 找出停滞或持续时间过长、需要跟进的事件
• 汇总关键可观测指标和威胁情报更新
• 为接班团队生成结构化交接文档

适用场景： 每个 SOC 分析师班次结束时，或将活动安全运营的责任移交给其他团队或分析师时。

前提条件

• 角色： sn_si.analyst、sn_si.manager
• 访问权限： 对 sn_si_incident、sn_si_task、sn_si_incident_task、sn_ti_observable、sys_journal_field 表具有读取权限
• 插件： Security Incident Response (sn_si)、Threat Intelligence (sn_ti)
• 数据： 已填写分配组和工作备注的活动安全事件

流程

第 1 步：检索所有活动安全事件

按优先级排序，提取所有未关闭的安全事件，以了解当前工作负载。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sn_si_incident
  query: active=true^ORDERBYpriority
  fields: sys_id,number,short_description,priority,state,category,subcategory,assigned_to,assignment_group,cmdb_ci,opened_at,business_criticality,risk_score
  limit: 100

使用 REST：

GET /api/now/table/sn_si_incident?sysparm_query=active=true^ORDERBYpriority&sysparm_fields=sys_id,number,short_description,priority,state,category,subcategory,assigned_to,assignment_group,cmdb_ci,opened_at,business_criticality,risk_score&sysparm_limit=100&sysparm_display_value=true

第 2 步：识别当前班次期间新建或更新的事件

筛选在交班时间范围内（例如，过去 8 小时）创建或修改的事件。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sn_si_incident
  query: sys_updated_onONLast 8 hours@javascript:gs.hoursAgoStart(8)@javascript:gs.hoursAgoEnd(0)^active=true
  fields: sys_id,number,short_description,priority,state,category,assigned_to,sys_updated_on,opened_at
  limit: 50

使用 REST：

GET /api/now/table/sn_si_incident?sysparm_query=sys_updated_onONLast 8 hours@javascript:gs.hoursAgoStart(8)@javascript:gs.hoursAgoEnd(0)^active=true&sysparm_fields=sys_id,number,short_description,priority,state,category,assigned_to,sys_updated_on,opened_at&sysparm_limit=50&sysparm_display_value=true

第 3 步：检索待处理的安全任务

提取与活动安全事件相关的所有未完成任务。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sn_si_task
  query: active=true^ORDERBYpriority
  fields: sys_id,number,short_description,state,priority,assigned_to,assignment_group,security_incident,due_date,sys_updated_on
  limit: 100

使用 REST：

GET /api/now/table/sn_si_task?sysparm_query=active=true^ORDERBYpriority&sysparm_fields=sys_id,number,short_description,state,priority,assigned_to,assignment_group,security_incident,due_date,sys_updated_on&sysparm_limit=100&sysparm_display_value=true

第 4 步：检查近期升级情况和优先级变更

查询审计日志，了解班次期间的优先级变更和升级情况。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sys_audit
  query: tablename=sn_si_incident^fieldname=priority^sys_created_onONLast 8 hours@javascript:gs.hoursAgoStart(8)@javascript:gs.hoursAgoEnd(0)
  fields: documentkey,fieldname,oldvalue,newvalue,sys_created_on,user
  limit: 50

使用 REST：

GET /api/now/table/sys_audit?sysparm_query=tablename=sn_si_incident^fieldname=priority^sys_created_onONLast 8 hours@javascript:gs.hoursAgoStart(8)@javascript:gs.hoursAgoEnd(0)&sysparm_fields=documentkey,fieldname,oldvalue,newvalue,sys_created_on,user&sysparm_limit=50

第 5 步：识别停滞或持续时间过长的事件

找出近期未更新、可能需要跟进的事件。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sn_si_incident
  query: active=true^sys_updated_on<javascript:gs.hoursAgo(24)^stateNOT IN6,7
  fields: sys_id,number,short_description,priority,state,assigned_to,sys_updated_on,opened_at
  limit: 50

使用 REST：

GET /api/now/table/sn_si_incident?sysparm_query=active=true^sys_updated_on<javascript:gs.hoursAgo(24)^stateNOT IN6,7&sysparm_fields=sys_id,number,short_description,priority,state,assigned_to,sys_updated_on,opened_at&sysparm_limit=50&sysparm_display_value=true

第 6 步：收集关键事件的近期工作备注

提取高优先级事件的最新工作备注，以掌握分析师的上下文信息。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sys_journal_field
  query: name=sn_si_incident^element=work_notes^element_id=[CRITICAL_INCIDENT_SYS_ID]^ORDERBYDESCsys_created_on
  fields: value,sys_created_on,sys_created_by
  limit: 10

使用 REST：

GET /api/now/table/sys_journal_field?sysparm_query=name=sn_si_incident^element=work_notes^element_id=[CRITICAL_INCIDENT_SYS_ID]^ORDERBYDESCsys_created_on&sysparm_fields=value,sys_created_on,sys_created_by&sysparm_limit=10

第 7 步：检查正在遭受主动利用的漏洞

识别当前正遭受主动利用、可能需要监控的漏洞。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sn_vul_vulnerable_item
  query: stateINOpen,Under Investigation^risk_score>=80
  fields: sys_id,vulnerability,cmdb_ci,state,risk_score,cvss_score,first_found,last_found
  limit: 20

使用 REST：

GET /api/now/table/sn_vul_vulnerable_item?sysparm_query=stateINOpen,Under Investigation^risk_score>=80&sysparm_fields=sys_id,vulnerability,cmdb_ci,state,risk_score,cvss_score,first_found,last_found&sysparm_limit=20&sysparm_display_value=true

第 8 步：汇总并编写交接班报告

将收集到的所有信息整理成结构化交接文档。

使用 MCP：

Tool: SN-Add-Work-Notes
Parameters:
  table_name: sn_si_incident
  sys_id: [PRIMARY_INCIDENT_SYS_ID]
  work_notes: |
    === SOC SHIFT HANDOVER REPORT ===
    Shift: Day Shift (06:00 - 14:00) | Date: 2026-03-19
    Outgoing Analyst: J. Smith | Incoming Analyst: A. Johnson

    ACTIVE INCIDENTS SUMMARY:
    Total Active: 12 | Critical/P1: 2 | High/P2: 4 | Medium/P3: 5 | Low/P4: 1

    CRITICAL INCIDENTS REQUIRING IMMEDIATE ATTENTION:
    1. SIR0008901 (P1) - Active ransomware on FILESVR-03
       Status: Containment in progress
       Last Action: Isolated server from network, forensic image initiated
       Next Steps: Complete forensic capture, begin malware analysis
       Assigned: T. Williams

    2. SIR0008923 (P1) - Data exfiltration detected on DB-PROD-01
       Status: Investigation
       Last Action: Identified C2 communication to 198.51.100.45
       Next Steps: Block C2 at firewall, assess data loss scope
       Assigned: K. Chen

    NEW INCIDENTS THIS SHIFT:
    - SIR0008950 (P3) - Phishing email reported by HR dept
    - SIR0008951 (P2) - Unauthorized admin account created on AD
    - SIR0008952 (P3) - Suspicious outbound DNS queries from WS-0456

    ESCALATIONS DURING SHIFT:
    - SIR0008923: Escalated P2 → P1 at 10:30 due to confirmed exfiltration

    STALLED INCIDENTS (no update >24h):
    - SIR0008890 (P3) - Awaiting endpoint scan results from IT
    - SIR0008875 (P3) - Pending vendor response on false positive

    PENDING TASKS:
    - SITASK0012345: Collect memory dump from WS-0234 (Due: today)
    - SITASK0012350: Review firewall logs for SIR0008923 (Due: today)
    - SITASK0012355: Update IOC blocklist (Due: tomorrow)

    HIGH-RISK VULNERABILITIES UNDER WATCH:
    - CVE-2025-44123 (CVSS 9.8) on WEBSVR-01 - Exploit available, patch pending
    - CVE-2025-33456 (CVSS 8.5) on DB-PROD-02 - Under investigation

    NOTES FOR INCOMING TEAM:
    - Management briefing scheduled for 15:00 on SIR0008923
    - New Palo Alto IOC feed integration went live at 12:00 - monitor for issues
    - Analyst M. Davis is OOO tomorrow - redistribute tasks

工具用法

工具	用途
SN-Query-Table	检索活动事件、任务、审计记录和漏洞
SN-Get-Record	获取特定高优先级事件的详细信息
SN-Add-Work-Notes	在相关事件记录中记录交接班报告
SN-Natural-Language-Search	使用自然语言快速查询事件

最佳实践

• 标准化交接格式，让接班分析师能够快速浏览关键事项
• 将可执行事项置于报告顶部；优先处理严重事件和有时限要求的任务
• 不仅说明状态，还要提供背景，概述每起严重事件的近期分析师备注和后续步骤
• 明确标记停滞的事件，避免其在交接班时被遗漏
• 记录环境变更，例如本班次期间新增的集成、工具故障或策略变更
• 记录人员备注，包括休假人员、新团队成员或人员覆盖缺口
• 保持报告简洁，同时确保不遗漏任何关键细节；尽量使用便于快速浏览的分区和项目符号
• 为所有条目添加时间戳，让接班团队了解信息的时效性

故障排除

未找到当前班次时间范围内的事件

原因： 时间筛选条件可能与实际班次时间不符，或者时区差异导致结果偏差。 解决方案： 调整 hoursAgo 值，或使用 BETWEEN 运算符指定明确的日期时间范围。确认实例时区与 SOC 时区一致。

审计日志未返回任何优先级变更

原因： sys_audit 表可能配置了保留策略，导致旧记录被清除；也可能未启用对优先级字段的审计。 解决方案： 检查 sn_si_incident 表的 sys_audit 配置。也可以查询 sys_journal_field，查找提及升级的工作备注。

工作备注被截断或缺失

原因： 日志字段存在大小限制，较早的条目可能已归档。 解决方案： 增大查询限制，或对结果进行分页。检查实例是否配置了日志条目归档。

示例

示例 1：日班交接夜班

1. 在 18:00 班次结束前的 17:45，查询所有未结事件
2. 筛选在 06:00-18:00 时间段内更新的事件
3. 获取截止日期为今天或明天的待处理任务
4. 检查审计日志，查看本班次期间是否有升级
5. 找出超过 24 小时未更新的停滞事件
6. 整理报告，并将其作为工作备注发布到每起严重事件中
7. 向接班分析师口头说明两起 P1 事件

示例 2：班次中途紧急交接

1. 分析师因突发情况必须在处理 P1 事件期间离岗
2. 快速获取所有已分配事件的当前状态
3. 收集每起未结事件最近 5 条工作备注，以了解背景
4. 记录当前正在进行的遏制措施
5. 找出需要其他分析师立即接手的任务
6. 发布精简的交接备注，并通知 SOC 经理

相关技能

• secops/correlation-insights - 关联交接中提及的事件
• secops/incident-summarization - 为交接事项生成详细摘要
• secops/post-incident-analysis - 审查之前班次已完成的事件
• secops/metrics-analysis - 跟踪一段时间内的班次绩效指标
• security/incident-response - 安全事件处理流程