incident-response

incident-response skill 概覽

incident-response 的用途

incident-response 是一項安全維運技能，用來把已偵測到或已宣告的安全事件，轉換成有結構的回應流程：判定事件類型、篩選可能的誤報、指派 SEV1-SEV4 嚴重度、決定是否升級通報，並開始蒐集鑑識證據。它著重實務上的事件處理，而不是泛泛而談的資安建議；設計上參考了類似 NIST SP 800-61 的事件生命週期思維，以及營運現場常用的嚴重度分流方式。

最適合的使用者與團隊

這項 incident-response skill 最適合 SOC 分析師、安全工程師、SRE、事件指揮官，以及需要可重複第一線應變流程的工程團隊。它適用於已經有警示、日誌、工單或事件筆記的團隊，並需要協助判斷：「這是真的嗎？嚴重到什麼程度？誰必須處理？哪些證據現在就要保全？」

它和一般 prompt 有什麼不同

一般 AI prompt 可以摘要一則警示，但這項 skill 會給 agent 一套回應架構：事件分類、誤報檢查、嚴重度評分、升級路徑、鑑識蒐集指引，以及法規期限意識。內含的 scripts/incident_triage.py 可以將事件分類為不同事件類型、評估嚴重度，並回傳機器可讀的輸出，因此比純文字指南更能直接落地使用。

什麼情況不適合使用這項 skill

不要把 incident-response 當成威脅獵捕、惡意程式逆向分析、法律意見或最終合規報告的替代品。它的起點是在事件已被偵測到，或 incident 已被宣告之後。如果你仍在尋找未知威脅，應先使用偵測或 hunting workflow；如果你正在撰寫可直接提交主管機關的資料外洩通知，請搭配法律與合規審查。

如何使用 incident-response skill

incident-response 安裝方式與 repository 路徑

從 skill repository 安裝：

npx skills add alirezarezvani/claude-skills --skill incident-response

來源路徑是 alirezarezvani/claude-skills 內的 engineering-team/skills/incident-response。安裝後，先閱讀 SKILL.md 了解回應流程，再檢視 scripts/incident_triage.py 的可執行分流邏輯，以及 references/regulatory-deadlines.md 中的通知時限限制。這個 skill 目錄沒有獨立的 README.md 或 metadata 檔案，因此 SKILL.md 是主要操作文件。

良好分流所需的輸入內容

若要讓 incident-response 發揮最佳效果，不要只提供模糊的警示標題。請包含警示來源、時間戳記、受影響資產、身分識別資訊、事件類型、原始 payload 或關鍵欄位、業務脈絡、已觀察到的影響、已知資料暴露情況、圍堵狀態，以及任何先前相關警示。當你能清楚區分事實與假設時，skill 的推理品質會更好。

較弱的 prompt：

「調查這個 ransomware alert。」

較強的 prompt：

「Use the incident-response skill. Alert source: EDR. Event type: ransomware. Host: finance-laptop-22. Time: 2026-02-14T03:20Z. Observed: file rename burst, ransom note path, suspicious process tree, outbound connection to unknown IP. User has finance file share access. No containment yet. Classify severity, check false positives, identify immediate escalation path, and list forensic evidence to preserve.」

執行內建 triage script

Repository 內含 scripts/incident_triage.py，可接受 JSON 輸入，並回傳分類、誤報檢查、嚴重度、升級建議與鑑識前期分析。常見用法：

python3 scripts/incident_triage.py --input event.json --json

或：

echo '{"event_type":"ransomware","raw_payload":{}}' | python3 scripts/incident_triage.py --json

這個 script 以 exit code 支援營運判讀：0 代表 clean 或 SEV3/SEV4 處理，1 代表 SEV2 升級回應，2 代表 SEV1 重大事件宣告。請把這些輸出視為分流輔助，而不是自動宣告或結案 incident 的權威依據。

分析師的實務工作流程

先從事件事實開始，要求 skill 分類並說明分類理由，再另外要求嚴重度評分，讓其中的假設清楚可見。接著，要求進行誤報檢查並列出缺少的證據。若事件已確認，下一步是升級與證據保全：SIEM logs、EDR telemetry、DNS/proxy logs、cloud audit logs、authentication logs、適當情況下的 memory capture，以及 chain-of-custody notes。最後，如果可能涉及個資、PHI、cardholder data 或受監管系統，請對照 references/regulatory-deadlines.md 檢查相關時限。

incident-response skill 常見問題

incident-response 適合初學者嗎？

可以，前提是初學者能取得真實警示脈絡，並了解組織內部的升級流程。這項 skill 可以提供結構並減少猜測，但它不能憑空產生資產重要性、法律義務或內部授權。初學者應用它來準備清楚的分流摘要，交給資深應變人員，而不是獨自做出高風險決策。

這和 SOAR 或 SIEM 自動化有何不同？

這份 incident-response 指南不是完整的 SOAR 平台。它協助 AI agent 針對分類、嚴重度、升級、證據蒐集與法規時限進行推理。內含的 Python script 可以輔助標準化分流，但不會取代 ticketing、paging、EDR isolation、SIEM enrichment 或 case management tools 的整合。

它能處理法規通知決策嗎？

它包含一份實用參考檔，涵蓋 GDPR、PCI-DSS、HIPAA 等主要通知期限，也提醒一項重要規則：時限計算往往從宣告或發現開始，而不是等調查完成才開始。不過，它應作為營運提醒，而不是法律意見。任何可能需要通報的 incident，都應依照你的事件應變計畫，交由法務、隱私、合規與高階主管利害關係人處理。

什麼時候應避免使用這項 skill？

避免用它在證據不完整時「確認一切沒事」、繞過升級流程，或在未審查的情況下產出對外資料外洩聲明。它也不適合純理論式的資安教育、主動式控制設計，或事件後合規對照。當你面對的是一個需要分流、指派嚴重度並協調回應的具體事件時，才適合使用它。

如何改善 incident-response skill

用更完整的證據改善 incident-response 結果

最重要的改善方式是提升輸入品質。請提供原始警示欄位、偵測規則名稱、受影響系統角色、使用者權限、網路指標、資料敏感度、近期變更，以及已採取的圍堵措施。要求 skill 將每個結論標示為 confirmed、likely、unknown 或 assumed。這可以避免過度自信地宣告 incident，也能讓交接更乾淨清楚。

依你的環境調整嚴重度與升級流程

內建的 SEV1-SEV4 模型是很好的起點，但每個組織的風險門檻都不同。請加入你自己的資產分級、客戶影響定義、法規適用範圍、on-call rotations、高階主管通知觸發條件，以及「declare incident」權限。例如，測試 VM 上的 ransomware，和 domain controller 上的 ransomware，不應產生相同的營運回應。

留意常見失敗模式

常見問題包括：把低可信度警示當成已確認 incident、略過誤報檢查、在圍堵後才蒐集證據而破壞揮發性資料，以及因為等待完美範圍而錯過法規時鐘。請明確詢問 skill：「What evidence could disprove this classification?」以及「What must be preserved before containment changes system state?」

在第一版輸出後持續迭代

不要停在第一份 incident-response 輸出。用它產生後續問題：要求建立 timeline、evidence checklist、escalation message、containment decision tree，以及 open-questions list。當新的 telemetry 進來後，請用更新後的事實重新執行分類與嚴重度評估。有效使用 incident-response 是一個迭代過程：快速分流、記錄假設、保全證據、正確升級，並隨著事實變得更完整而修正判斷。