incident-response

Tổng quan về incident-response skill

incident-response dùng để làm gì

incident-response là một skill dành cho vận hành an ninh, giúp biến một sự kiện bảo mật đã được phát hiện hoặc đã được tuyên bố thành một quy trình phản ứng có cấu trúc: phân loại sự cố, lọc các khả năng dương tính giả, gán mức độ nghiêm trọng SEV1-SEV4, quyết định hướng leo thang và bắt đầu thu thập bằng chứng pháp chứng. Skill này tập trung vào xử lý sự cố thực tế thay vì đưa ra lời khuyên bảo mật chung chung, có tham chiếu đến tư duy vòng đời kiểu NIST SP 800-61 và cách định tuyến theo mức độ nghiêm trọng trong vận hành.

Người dùng và nhóm phù hợp nhất

incident-response skill hữu ích nhất cho SOC analysts, security engineers, SREs, incident commanders và các nhóm kỹ thuật cần một quy trình phản ứng ban đầu có thể lặp lại. Skill phù hợp với các nhóm đã có alerts, logs, tickets hoặc ghi chú sự cố và cần hỗ trợ ra quyết định: “Sự kiện này có thật không, nghiêm trọng đến mức nào, ai cần hành động, và bằng chứng nào phải được bảo toàn ngay bây giờ?”

Điểm khác biệt so với prompt thông thường

Một AI prompt thông thường có thể tóm tắt một cảnh báo, nhưng skill này cung cấp cho agent một cấu trúc phản ứng: phân loại sự cố, kiểm tra dương tính giả, chấm điểm mức độ nghiêm trọng, đường leo thang, hướng dẫn thu thập pháp chứng và nhận diện các thời hạn pháp lý cần lưu ý. File scripts/incident_triage.py đi kèm có thể phân loại sự kiện theo loại sự cố, chấm điểm mức độ nghiêm trọng và trả về kết quả máy đọc được, nhờ đó skill có tính hành động cao hơn một tài liệu hướng dẫn chỉ toàn văn bản.

Khi nào skill này không phù hợp

Không dùng incident-response để thay thế threat hunting, malware reverse engineering, tư vấn pháp lý hoặc báo cáo tuân thủ cuối cùng. Skill này bắt đầu phát huy tác dụng sau khi một sự kiện đã được phát hiện hoặc một sự cố đã được tuyên bố. Nếu bạn vẫn đang tìm kiếm các mối đe dọa chưa biết, hãy dùng workflow phát hiện hoặc hunting trước; nếu bạn đang soạn thông báo vi phạm dữ liệu sẵn sàng gửi cho cơ quan quản lý, hãy kết hợp skill này với rà soát pháp lý và tuân thủ.

Cách sử dụng incident-response skill

Cài đặt incident-response và đường dẫn repository

Cài đặt từ skill repository bằng lệnh:

npx skills add alirezarezvani/claude-skills --skill incident-response

Đường dẫn nguồn là engineering-team/skills/incident-response trong alirezarezvani/claude-skills. Sau khi cài đặt, hãy đọc SKILL.md trước để nắm workflow phản ứng, sau đó xem scripts/incident_triage.py để hiểu logic triage có thể chạy được, và references/regulatory-deadlines.md để kiểm tra các ràng buộc về thời hạn thông báo. Không có file README.md hoặc file metadata riêng trong thư mục skill này, vì vậy SKILL.md là tài liệu vận hành chính.

Dữ liệu đầu vào cần có để triage tốt

Để dùng incident-response hiệu quả, đừng chỉ đưa một tiêu đề cảnh báo mơ hồ. Hãy cung cấp nguồn cảnh báo, timestamp, tài sản bị ảnh hưởng, danh tính liên quan, loại sự kiện, raw payload hoặc các trường chính, bối cảnh nghiệp vụ, tác động quan sát được, dữ liệu đã biết có thể bị lộ, trạng thái containment và các cảnh báo liên quan trước đó nếu có. Skill sẽ suy luận tốt hơn khi bạn tách bạch rõ đâu là sự kiện đã xác nhận và đâu là giả định.

Prompt yếu:

“Investigate this ransomware alert.”

Prompt tốt hơn:

“Use the incident-response skill. Alert source: EDR. Event type: ransomware. Host: finance-laptop-22. Time: 2026-02-14T03:20Z. Observed: file rename burst, ransom note path, suspicious process tree, outbound connection to unknown IP. User has finance file share access. No containment yet. Classify severity, check false positives, identify immediate escalation path, and list forensic evidence to preserve.”

Chạy script triage đi kèm

Repository có scripts/incident_triage.py, nhận input JSON và có thể trả về phân loại, kiểm tra dương tính giả, mức độ nghiêm trọng, hướng dẫn leo thang và phân tích pháp chứng sơ bộ. Cách dùng phổ biến:

python3 scripts/incident_triage.py --input event.json --json

hoặc:

echo '{"event_type":"ransomware","raw_payload":{}}' | python3 scripts/incident_triage.py --json

Script dùng exit codes cho vận hành: 0 cho tình huống sạch hoặc xử lý SEV3/SEV4, 1 cho phản ứng nâng cao SEV2, và 2 cho tuyên bố sự cố nghiêm trọng SEV1. Hãy xem các kết quả này là hỗ trợ triage, không phải thẩm quyền tự động để tuyên bố hoặc đóng một sự cố.

Workflow thực tế cho analysts

Bắt đầu từ các sự kiện đã biết về sự cố, yêu cầu skill phân loại và giải thích lý do chọn loại đó, sau đó yêu cầu chấm điểm mức độ nghiêm trọng riêng để các giả định được nhìn thấy rõ. Tiếp theo, yêu cầu kiểm tra dương tính giả và xác định bằng chứng còn thiếu. Nếu được xác nhận, chuyển sang leo thang và bảo toàn bằng chứng: SIEM logs, EDR telemetry, DNS/proxy logs, cloud audit logs, authentication logs, memory capture khi phù hợp, và ghi chú chain-of-custody. Cuối cùng, đối chiếu sự cố với references/regulatory-deadlines.md nếu có khả năng liên quan đến dữ liệu cá nhân, PHI, dữ liệu chủ thẻ hoặc hệ thống chịu quản lý.

Câu hỏi thường gặp về incident-response skill

incident-response có phù hợp cho người mới không?

Có, nếu người mới có quyền truy cập vào bối cảnh cảnh báo thực tế và hiểu quy trình leo thang của tổ chức. Skill có thể cung cấp cấu trúc và giảm phỏng đoán, nhưng không thể tự tạo ra mức độ trọng yếu của tài sản, nghĩa vụ pháp lý hoặc thẩm quyền nội bộ. Người mới nên dùng skill này để chuẩn bị một bản tóm tắt triage rõ ràng cho responder cấp cao, không nên tự mình đưa ra các quyết định rủi ro cao.

Khác gì so với tự động hóa SOAR hoặc SIEM?

Hướng dẫn incident-response này không phải là một nền tảng SOAR hoàn chỉnh. Nó giúp AI agent suy luận qua các bước phân loại, đánh giá mức độ nghiêm trọng, leo thang, thu thập bằng chứng và thời hạn pháp lý. Python script đi kèm có thể hỗ trợ triage theo chuẩn hóa, nhưng không thay thế các tích hợp với ticketing, paging, EDR isolation, SIEM enrichment hoặc công cụ case management.

Có xử lý được quyết định thông báo theo quy định không?

Skill có một file tham chiếu hữu ích về các thời hạn thông báo lớn như GDPR, PCI-DSS và HIPAA, bao gồm điểm quan trọng rằng đồng hồ thời hạn thường bắt đầu từ lúc tuyên bố hoặc phát hiện, chứ không phải khi hoàn tất điều tra. Tuy vậy, nên dùng skill này như một nhắc nhở vận hành, không phải tư vấn pháp lý. Luôn chuyển các sự cố có khả năng phải báo cáo đến legal, privacy, compliance và stakeholders cấp điều hành theo kế hoạch ứng phó sự cố của bạn.

Khi nào nên tránh dùng skill này?

Tránh dùng skill để “xác nhận mọi thứ đều ổn” khi bằng chứng chưa đầy đủ, để bỏ qua leo thang, hoặc để tạo tuyên bố vi phạm dữ liệu gửi ra bên ngoài mà chưa qua rà soát. Skill này cũng không phù hợp cho đào tạo bảo mật thuần lý thuyết, thiết kế kiểm soát chủ động, hoặc mapping tuân thủ sau sự cố. Hãy dùng skill khi có một sự kiện cụ thể cần triage, gán mức độ nghiêm trọng và phối hợp phản ứng.

Cách cải thiện incident-response skill

Cải thiện kết quả incident-response bằng bằng chứng tốt hơn

Nâng cấp quan trọng nhất là chất lượng đầu vào. Hãy đưa vào các trường cảnh báo thô, tên detection rule, vai trò của hệ thống bị ảnh hưởng, đặc quyền người dùng, chỉ báo mạng, độ nhạy dữ liệu, thay đổi gần đây và các hành động containment đã thực hiện. Yêu cầu skill gắn nhãn từng kết luận là confirmed, likely, unknown hoặc assumed. Cách này giúp tránh tuyên bố sự cố quá tự tin và làm cho việc bàn giao rõ ràng hơn.

Tinh chỉnh mức độ nghiêm trọng và leo thang theo môi trường của bạn

Mô hình SEV1-SEV4 tích hợp sẵn là một điểm khởi đầu tốt, nhưng mỗi tổ chức có ngưỡng rủi ro khác nhau. Hãy bổ sung asset tiers, định nghĩa tác động đến khách hàng, phạm vi chịu quy định, lịch on-call, trigger thông báo cấp điều hành và thẩm quyền “declare incident” của riêng bạn. Ví dụ, ransomware trên một test VM và ransomware trên một domain controller không nên tạo ra cùng một phản ứng vận hành.

Theo dõi các lỗi thường gặp

Các vấn đề phổ biến gồm xem cảnh báo độ tin cậy thấp như sự cố đã xác nhận, bỏ qua kiểm tra dương tính giả, thu thập bằng chứng sau containment theo cách làm mất dữ liệu volatile, và bỏ lỡ đồng hồ thời hạn pháp lý vì chờ phạm vi hoàn hảo. Hãy hỏi skill một cách rõ ràng: “What evidence could disprove this classification?” và “What must be preserved before containment changes system state?”

Lặp lại sau kết quả đầu tiên

Đừng dừng lại ở kết quả incident-response đầu tiên. Hãy dùng kết quả đó để tạo các câu hỏi tiếp theo: yêu cầu timeline, evidence checklist, escalation message, containment decision tree và danh sách open questions. Khi có telemetry mới, chạy lại phần phân loại và đánh giá mức độ nghiêm trọng với các sự kiện đã cập nhật. Cách dùng incident-response hiệu quả là lặp đi lặp lại: triage nhanh, ghi lại giả định, bảo toàn bằng chứng, leo thang đúng cách và điều chỉnh khi dữ kiện tốt hơn.