triaging-security-incident

分诊安全事件

何时使用

• SIEM 或 EDR 告警触发，需要人工分类后再升级
• 多个告警同时到达，SOC 必须确定响应优先级顺序
• 终端用户报告可疑活动，事件需要初步分类
• 威胁情报源与环境中观测到的 IOC 匹配

请勿使用于常规漏洞扫描结果或合规审计发现——它们不构成活跃的安全事件。

前置条件

• 可访问 SIEM 平台（Splunk、Elastic、Microsoft Sentinel），且具备最新告警数据
• 事件分类体系与 NIST SP 800-61r3 类别对齐
• 预定义的严重性矩阵，将资产关键性与威胁类型映射
• 升级路径的联系人名单（Tier 1 至 Tier 3 及 CIRT）
• 带业务关键性评级的资产清单

工作流

步骤 1：收集初始告警数据

在做出分类决策之前，从触发告警中收集所有可用上下文：

• 告警来源：哪个检测系统生成了该告警（EDR、SIEM、IDS/IPS、防火墙、用户报告）
• 时间戳：事件发生的时间以及被检测到的时间（驻留时间差）
• 受影响资产：涉及的主机名、IP 地址、用户账户
• 告警保真度：该检测规则的历史真阳性率
• 原始证据：日志条目、数据包捕获、进程执行链

Example SIEM alert context:
Source:       CrowdStrike Falcon
Detection:    Suspicious PowerShell Execution (T1059.001)
Host:         WORKSTATION-FIN-042
User:         [email protected]
Timestamp:    2025-11-15T14:23:17Z
Severity:     High (detection rule confidence: 92%)
Process:      powershell.exe -enc SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoA...
Parent:       outlook.exe (PID 4812)

步骤 2：分类事件类型

按 NIST SP 800-61r3 将告警映射到标准事件类别：

类别	示例
未授权访问	凭据泄露、权限提升、IDOR
拒绝服务	volumetric DDoS、应用层洪水、资源耗尽
恶意代码	恶意软件执行、勒索软件引爆、挖矿程序
不当使用	策略违规、内部人员数据外泄、影子 IT
侦察	端口扫描、目录枚举、凭据喷洒
Web 应用攻击	SQL 注入、XSS、SSRF 利用

步骤 3：使用影响矩阵分配严重性

通过结合资产关键性与威胁严重性来计算严重性：

Severity = f(Asset Criticality, Threat Type, Data Sensitivity, Lateral Movement Potential)

Critical (P1): Crown jewel systems compromised, active data exfiltration, ransomware spreading
High (P2):     Production system compromise, confirmed malware execution, privileged account takeover
Medium (P3):   Non-production compromise, unsuccessful exploitation attempt, single endpoint malware
Low (P4):      Reconnaissance activity, policy violation, benign true positive

响应 SLA 目标：

• P1：15 分钟内确认，1 小时内遏制
• P2：30 分钟内确认，4 小时内遏制
• P3：2 小时内确认，24 小时内调查
• P4：8 小时内确认，72 小时内调查

步骤 4：执行初始丰富化

在升级之前，用上下文数据丰富告警：

• 威胁情报：对照 TI 平台（VirusTotal、OTX、MISP）检查 IOC（IP、哈希、域名）
• 资产上下文：查询 CMDB 获取资产负责人、业务功能、数据分类
• 用户上下文：检查身份提供方是否有近期认证异常、MFA 状态
• 历史关联：搜索同一主机/用户在过去 30 天内的相关告警
• 网络上下文：核实源/目标 IP 是内部、已知合作伙伴还是外部威胁行为者

步骤 5：记录并升级

创建结构化的分诊记录，并路由到相应的响应层级：

Incident Triage Record
━━━━━━━━━━━━━━━━━━━━━
Ticket ID:       INC-2025-1547
Triage Analyst:  [analyst name]
Triage Time:     2025-11-15T14:35:00Z (12 min from alert)
Classification:  Malicious Code - Macro-based initial access
Severity:        P2 - High
Affected Assets: WORKSTATION-FIN-042 (Finance dept, handles PII)
Affected Users:  [email protected]
IOCs Identified: powershell.exe spawned by outlook.exe, encoded command
TI Matches:      Base64 payload matches known Qakbot loader pattern
Escalation:      Tier 2 - Malware IR team
Recommended:     Isolate endpoint, preserve memory dump, block sender domain

步骤 6：启动遏制保留

如果严重性为 P1 或 P2，在等待完整调查期间立即启动遏制措施：

• 通过 EDR 对受影响终端进行网络隔离（CrowdStrike contain、Defender isolate）
• 在 Active Directory 或身份提供方中禁用已泄露的用户账户
• 在防火墙和 DNS sinkhole 封锁已识别的恶意 IP/域名
• 在任何修复之前保留易失性证据（内存转储）

核心概念

术语	定义
分诊	根据严重程度和业务影响对安全事件进行分类和优先级排序的快速评估过程
PICERL	SANS 事件响应框架：准备、识别、遏制、根除、恢复、经验教训
驻留时间	从初始失陷到检测之间的持续时间；根据 Mandiant M-Trends 2025，平均为 10 天
真阳性率	检测规则产生的告警中代表真实安全事件的百分比
皇冠珠宝资产	对业务运营至关重要的系统和数据，其失陷将造成严重的组织影响
告警疲劳	由大量低保真度或误报告警导致的分析师绩效下降
平均确认时间 (MTTA)	从告警生成到分析师确认的平均时间；关键的 SOC 性能指标

工具与系统

• Splunk Enterprise Security：用于告警聚合、关联和分诊工作流管理的 SIEM 平台
• CrowdStrike Falcon：提供终端遥测、检测和一键主机遏制的 EDR 平台
• TheHive：用于案例管理、任务跟踪和团队协作的开源事件响应平台
• MISP：用于分诊期间 IOC 丰富化的威胁情报共享平台
• Cortex XSOAR：用于自动化丰富化剧本和分诊决策树的 SOAR 平台

常见场景

场景：来自电子邮件客户端的编码 PowerShell

背景：SOC 分析师收到一条 P2 告警，显示 powershell.exe 带有 Base64 编码命令，作为 outlook.exe 的子进程在财务部门工作站上启动。

方法：

1. 解码 Base64 载荷以确定命令意图
2. 检查父进程链是否存在异常（Outlook 启动 PowerShell 是不正常的）
3. 查询 VirusTotal 以获取解码后载荷的哈希值
4. 与电子邮件网关日志关联，以识别触发邮件和发件人
5. 检查组织中的其他收件人是否收到了相同的电子邮件
6. 隔离终端，并带着完整的分诊上下文升级至 Tier 2

陷阱：

• 未解码载荷就将编码的 PowerShell 视为误报而忽略
• 未能检查是否横向扩散至同一钓鱼邮件的其他收件人
• 在捕获易失性内存证据之前就对终端进行修复

输出格式

INCIDENT TRIAGE REPORT
======================
Ticket:          INC-[YYYY]-[NNNN]
Date/Time:       [ISO 8601 timestamp]
Triage Analyst:  [Name]
Time to Triage:  [minutes from alert to classification]

CLASSIFICATION
Type:            [NIST category]
Severity:        [P1-P4] - [Critical/High/Medium/Low]
Confidence:      [High/Medium/Low]
MITRE ATT&CK:   [Technique ID and name]

AFFECTED SCOPE
Assets:          [hostname(s), IP(s)]
Users:           [account(s)]
Data at Risk:    [classification level]
Business Unit:   [department]

EVIDENCE SUMMARY
[Bullet list of key observations]

ENRICHMENT RESULTS
TI Matches:      [Yes/No - details]
Historical:      [Related prior incidents]
Asset Criticality: [rating]

RECOMMENDED ACTIONS
1. [Immediate action]
2. [Investigation step]
3. [Escalation target]

ESCALATION
Routed To:       [Team/Individual]
SLA Target:      [Containment deadline]