incident-response

Visão geral do skill incident-response

Para que serve o incident-response

incident-response é um skill de operações de segurança para transformar um evento de segurança detectado ou declarado em uma resposta estruturada: classificar o incidente, filtrar prováveis falsos positivos, atribuir severidade SEV1-SEV4, decidir escalonamento e iniciar a coleta de evidências forenses. Ele é voltado para o tratamento prático de incidentes, não para recomendações amplas de segurança, com referências a uma lógica de ciclo de vida no estilo NIST SP 800-61 e ao roteamento operacional por severidade.

Usuários e equipes com melhor aderência

Este skill incident-response é mais útil para analistas de SOC, engenheiros de segurança, SREs, comandantes de incidente e equipes de engenharia que precisam de um fluxo repetível de primeira resposta. Ele funciona bem para equipes que já têm alertas, logs, tickets ou notas de incidente e precisam decidir: “Isso é real, qual é a gravidade, quem precisa agir e quais evidências devem ser preservadas agora?”

O que o diferencia de um prompt genérico

Um prompt genérico de IA pode resumir um alerta, mas este skill fornece ao agente uma estrutura de resposta: taxonomia de incidentes, checagens de falso positivo, pontuação de severidade, caminhos de escalonamento, orientação para coleta forense e atenção a prazos regulatórios. O scripts/incident_triage.py incluído pode classificar eventos em tipos de incidente, pontuar severidade e retornar saída legível por máquina, o que torna o skill mais acionável do que um guia apenas em texto.

Quando este skill não é a escolha certa

Não use incident-response como substituto para threat hunting, engenharia reversa de malware, aconselhamento jurídico ou relatórios finais de compliance. Ele começa depois que um evento é detectado ou um incidente é declarado. Se você ainda está procurando ameaças desconhecidas, use primeiro um fluxo de detecção ou hunting; se está escrevendo notificações de violação prontas para reguladores, combine este skill com revisão jurídica e de compliance.

Como usar o skill incident-response

Instalação do incident-response e caminho do repositório

Instale a partir do repositório de skills com:

npx skills add alirezarezvani/claude-skills --skill incident-response

O caminho de origem é engineering-team/skills/incident-response em alirezarezvani/claude-skills. Após a instalação, leia primeiro SKILL.md para entender o fluxo de resposta; depois, examine scripts/incident_triage.py para ver a lógica executável de triagem e references/regulatory-deadlines.md para as restrições de prazos de notificação. Não há um README.md separado nem arquivo de metadados nesse diretório do skill, portanto SKILL.md é o documento operacional principal.

Entradas necessárias para uma boa triagem

Para usar melhor o incident-response, forneça mais do que um título vago de alerta. Inclua a origem do alerta, timestamp, ativos afetados, identidades, tipo de evento, payload bruto ou campos principais, contexto de negócio, impacto observado, exposição de dados conhecida, status de contenção e alertas relacionados anteriores. O skill consegue raciocinar melhor quando você separa fatos de suposições.

Prompt fraco:

“Investigate this ransomware alert.”

Prompt mais forte:

“Use the incident-response skill. Alert source: EDR. Event type: ransomware. Host: finance-laptop-22. Time: 2026-02-14T03:20Z. Observed: file rename burst, ransom note path, suspicious process tree, outbound connection to unknown IP. User has finance file share access. No containment yet. Classify severity, check false positives, identify immediate escalation path, and list forensic evidence to preserve.”

Executando o script de triagem incluído

O repositório inclui scripts/incident_triage.py, que aceita entrada em JSON e pode retornar classificação, checagens de falso positivo, severidade, orientação de escalonamento e pré-análise forense. Uso típico:

python3 scripts/incident_triage.py --input event.json --json

ou:

echo '{"event_type":"ransomware","raw_payload":{}}' | python3 scripts/incident_triage.py --json

O script usa códigos de saída de forma operacional: 0 para caso limpo ou tratamento SEV3/SEV4, 1 para resposta elevada SEV2 e 2 para declaração de incidente crítico SEV1. Trate esses resultados como apoio à triagem, não como autoridade automática para declarar ou encerrar um incidente.

Fluxo prático para analistas

Comece pelos fatos do incidente, peça ao skill para classificar e justificar a categoria e, em seguida, solicite a pontuação de severidade separadamente para que as suposições fiquem visíveis. Depois, peça checagens de falso positivo e evidências ausentes. Se confirmado, avance para escalonamento e preservação de evidências: logs de SIEM, telemetria de EDR, logs de DNS/proxy, logs de auditoria em cloud, logs de autenticação, captura de memória quando apropriado e notas de cadeia de custódia. Por fim, compare o incidente com references/regulatory-deadlines.md se dados pessoais, PHI, dados de titulares de cartão ou sistemas regulados puderem estar envolvidos.

FAQ do skill incident-response

O incident-response é adequado para iniciantes?

Sim, se a pessoa iniciante tiver acesso ao contexto real do alerta e entender o processo de escalonamento da organização. O skill pode oferecer estrutura e reduzir achismos, mas não consegue inventar criticidade de ativos, obrigações legais ou autoridade interna. Iniciantes devem usá-lo para preparar um resumo claro de triagem para um respondedor sênior, não para tomar decisões de alto risco sozinhos.

Qual é a diferença em relação à automação de SOAR ou SIEM?

Este guia incident-response não é uma plataforma SOAR completa. Ele ajuda um agente de IA a raciocinar sobre classificação, severidade, escalonamento, coleta de evidências e prazos regulatórios. O script Python incluído pode ajudar na triagem padronizada, mas não substitui integrações com ferramentas de ticketing, paging, isolamento via EDR, enriquecimento no SIEM ou gestão de casos.

Ele consegue lidar com decisões de notificação regulatória?

Ele inclui um arquivo de referência útil para prazos importantes de notificação, como GDPR, PCI-DSS e HIPAA, incluindo a regra essencial de que o relógio muitas vezes começa na declaração ou descoberta, e não na conclusão da investigação. No entanto, deve ser usado como lembrete operacional, não como aconselhamento jurídico. Sempre encaminhe possíveis incidentes reportáveis para jurídico, privacidade, compliance e stakeholders executivos de acordo com o seu plano de incidentes.

Quando devo evitar usar este skill?

Evite usá-lo para “confirmar que está tudo bem” com evidências incompletas, para contornar escalonamento ou para produzir comunicados externos sobre violação sem revisão. Ele também não é uma boa opção para educação de segurança puramente teórica, desenho proativo de controles ou mapeamento de compliance pós-incidente. Use-o quando houver um evento concreto que precise de triagem, atribuição de severidade e coordenação de resposta.

Como melhorar o skill incident-response

Melhore os resultados do incident-response com evidências mais fortes

A melhoria mais importante é aumentar a qualidade das entradas. Inclua campos brutos do alerta, nome da regra de detecção, papel do sistema afetado, privilégios do usuário, indicadores de rede, sensibilidade dos dados, mudanças recentes e ações de contenção já realizadas. Peça ao skill para rotular cada conclusão como confirmada, provável, desconhecida ou presumida. Isso evita declarações de incidente excessivamente confiantes e torna a passagem de bastão mais limpa.

Ajuste severidade e escalonamento ao seu ambiente

O modelo SEV1-SEV4 embutido é um ótimo ponto de partida, mas cada organização tem limiares de risco diferentes. Adicione seus próprios níveis de ativos, definições de impacto ao cliente, escopo regulatório, escalas de plantão, gatilhos de notificação executiva e autoridade para “declarar incidente”. Por exemplo, ransomware em uma VM de teste e ransomware em um domain controller não devem gerar a mesma resposta operacional.

Fique atento a modos comuns de falha

Problemas comuns incluem tratar alertas de baixa fidelidade como incidentes confirmados, pular checagens de falso positivo, coletar evidências após a contenção de uma forma que destrói dados voláteis e perder prazos regulatórios enquanto se espera por um escopo perfeito. Pergunte explicitamente ao skill: “What evidence could disprove this classification?” e “What must be preserved before containment changes system state?”

Itere depois da primeira saída

Não pare na primeira saída de incident-response. Use-a para criar perguntas de acompanhamento: solicite uma linha do tempo, checklist de evidências, mensagem de escalonamento, árvore de decisão de contenção e lista de perguntas em aberto. Depois que nova telemetria chegar, rode novamente a classificação e a avaliação de severidade com os fatos atualizados. Um bom uso de incident-response é iterativo: fazer triagem rapidamente, documentar suposições, preservar evidências, escalonar corretamente e revisar conforme os fatos melhoram.