incident-response

incident-response skill 概览

incident-response 适合用来做什么

incident-response 是一项面向安全运营的技能，用于把已检测到或已宣布的安全事件转化为结构化响应流程：判定事件类型、过滤可能的误报、分配 SEV1-SEV4 严重级别、决定是否升级，并启动取证证据收集。它关注的是实际事件处置，而不是泛泛的安全建议；其思路参考了类似 NIST SP 800-61 的事件生命周期方法，以及一线运营中的严重级别分流机制。

最适合的用户和团队

这个 incident-response skill 特别适合 SOC 分析师、安全工程师、SRE、事件指挥官，以及需要可重复首轮响应流程的工程团队。它适用于已经有告警、日志、工单或事件记录的团队，帮助回答这些关键问题：“这是真的事件吗？有多严重？谁需要介入？现在必须保全哪些证据？”

它和通用 prompt 有什么不同

通用 AI prompt 可以帮你总结一条告警，但这个 skill 会给 agent 一套响应结构：事件分类、误报检查、严重级别评分、升级路径、取证收集建议，以及监管通知时限意识。随附的 scripts/incident_triage.py 可以把事件归类为不同 incident types，计算严重级别，并返回机器可读输出，因此它比只有文字说明的指南更容易落地执行。

什么时候不适合使用这个 skill

不要把 incident-response 当作威胁狩猎、恶意软件逆向、法律意见或最终合规报告的替代品。它的起点是事件已经被检测到，或 incident 已经被宣布。如果你还在寻找未知威胁，应先使用检测或 hunting 工作流；如果你正在撰写可提交给监管机构的数据泄露通知，应与法律和合规审查配合使用。

如何使用 incident-response skill

incident-response 安装方式和仓库路径

从 skill repository 安装：

npx skills add alirezarezvani/claude-skills --skill incident-response

源码路径位于 alirezarezvani/claude-skills 中的 engineering-team/skills/incident-response。安装后，先阅读 SKILL.md 了解响应工作流，再查看 scripts/incident_triage.py 了解可执行的分诊逻辑，并查看 references/regulatory-deadlines.md 了解通知时限约束。这个 skill 目录中没有单独的 README.md 或 metadata file，因此 SKILL.md 是主要操作文档。

高质量分诊需要哪些输入

为了更好地使用 incident-response，不要只提供一个模糊的告警标题。请尽量包含告警来源、时间戳、受影响资产、相关身份、事件类型、原始 payload 或关键字段、业务上下文、已观察到的影响、已知数据暴露情况、遏制状态，以及此前是否有相关告警。你越清楚地区分事实和假设，skill 就越能做出可靠判断。

较弱的 prompt：

“Investigate this ransomware alert.”

更强的 prompt：

“Use the incident-response skill. Alert source: EDR. Event type: ransomware. Host: finance-laptop-22. Time: 2026-02-14T03:20Z. Observed: file rename burst, ransom note path, suspicious process tree, outbound connection to unknown IP. User has finance file share access. No containment yet. Classify severity, check false positives, identify immediate escalation path, and list forensic evidence to preserve.”

运行随附的 triage 脚本

仓库中包含 scripts/incident_triage.py，它接受 JSON 输入，并可返回事件分类、误报检查、严重级别、升级建议和取证预分析。典型用法如下：

python3 scripts/incident_triage.py --input event.json --json

或：

echo '{"event_type":"ransomware","raw_payload":{}}' | python3 scripts/incident_triage.py --json

该脚本会以操作语义使用 exit codes：0 表示 clean 或 SEV3/SEV4 处理，1 表示 SEV2 升级响应，2 表示 SEV1 关键事件宣布。应把这些输出视为分诊辅助，而不是自动宣布或关闭 incident 的权威依据。

分析师的实用工作流

先从 incident facts 入手，让 skill 对事件进行分类并说明理由；然后单独请求严重级别评分，以便暴露其中的假设。接着，请求误报检查和缺失证据清单。如果事件得到确认，再进入升级和证据保全：SIEM logs、EDR telemetry、DNS/proxy logs、cloud audit logs、authentication logs、适用时的 memory capture，以及 chain-of-custody notes。最后，如果可能涉及个人数据、PHI、cardholder data 或受监管系统，请将 incident 与 references/regulatory-deadlines.md 中的时限要求进行比对。

incident-response skill 常见问题

incident-response 适合初学者吗？

适合，前提是初学者能够访问真实告警上下文，并理解所在组织的升级流程。该 skill 可以提供结构、减少猜测，但它不能凭空生成资产关键性、法律义务或内部授权。初学者应使用它为资深响应人员准备清晰的分诊摘要，而不是独自做出高风险决策。

它和 SOAR 或 SIEM 自动化有什么区别？

这个 incident-response 指南不是完整的 SOAR 平台。它帮助 AI agent 围绕分类、严重级别、升级、证据收集和监管时限进行推理。随附的 Python 脚本可以协助标准化分诊，但它不能替代与 ticketing、paging、EDR isolation、SIEM enrichment 或 case management tools 的集成。

它能处理监管通知决策吗？

它包含一个有用的参考文件，覆盖 GDPR、PCI-DSS、HIPAA 等主要通知时限，并提醒一个重要规则：计时通常从宣布或发现事件开始，而不是从调查完成后才开始。不过，它应被用作运营提醒，而不是法律意见。任何可能需要报告的 incident，都应按你的 incident plan 提交给法律、隐私、合规和管理层相关方。

什么时候应该避免使用这个 skill？

不要在证据不完整的情况下用它来“确认一切正常”，不要用它绕过升级流程，也不要未经审查就生成对外的数据泄露声明。它同样不适合纯理论安全教育、主动控制设计，或事后合规映射。应在存在具体事件、需要分诊、严重级别判定和响应协同时使用它。

如何改进 incident-response skill

用更充分的证据提升 incident-response 结果

最重要的改进是提高输入质量。请包含原始告警字段、检测规则名称、受影响系统角色、用户权限、网络 indicators、数据敏感性、近期变更，以及已经采取的遏制措施。要求 skill 将每个结论标记为 confirmed、likely、unknown 或 assumed。这样可以避免过度自信地宣布 incident，也能让交接更清晰。

按你的环境调整严重级别和升级规则

内置的 SEV1-SEV4 模型是一个很好的起点，但每个组织的风险阈值都不同。应补充自己的资产分级、客户影响定义、监管范围、on-call rotations、管理层通知触发条件，以及“declare incident”的授权规则。例如，测试 VM 上的 ransomware 和 domain controller 上的 ransomware，不应该触发同样的运营响应。

留意常见失败模式

常见问题包括：把低置信度告警当作已确认 incident、跳过误报检查、在遏制后才收集证据导致易失数据被破坏，以及为了等待完美范围而错过监管时钟。请明确询问 skill：“What evidence could disprove this classification?” 以及 “What must be preserved before containment changes system state?”

在第一版输出后继续迭代

不要停留在第一版 incident-response 输出。用它生成后续问题：请求时间线、证据清单、升级消息、遏制决策树和未决问题列表。新的 telemetry 到达后，基于更新后的事实重新运行分类和严重级别评估。优秀的 incident-response 使用方式是迭代式的：快速分诊、记录假设、保全证据、正确升级，并随着事实变得更清楚持续修正。