ECIH

• JOESandbox
  沙箱，有可疑程式可以放進去分析。

防守框架

事件回應框架

IoCs 與 TTPs

Risk Management

• Risk Identification｜風險識別：找出有哪些風險、威脅、弱點與可能受影響的資產。
• Risk Assessment｜風險評估：分析風險發生的可能性與影響程度，判斷風險高低。
• Risk Treatment｜風險處置：決定如何處理風險，例如降低、避免、轉移或接受風險。
• Risk Tracking｜風險追蹤：持續追蹤風險狀態、改善措施與剩餘風險是否有變化。
• Risk Review｜風險審查／檢討：定期重新檢視風險評估與處置方式是否仍然適用。

NIST RMF (風險框架管理)

安全應該從系統生命週期一開始就納入，直到系統退役。

Cyber Threat Intelligence (CTI) 網路威脅情報

• Strategic Intelligence｜戰略情報：給管理層看整體威脅趨勢、產業風險、攻擊組織動向。
• Operational Intelligence｜作戰／營運情報：關注特定攻擊活動、威脅組織、攻擊計畫與 Campaign。
• Tactical Intelligence｜戰術情報：分析攻擊者使用的 TTPs，例如 MITRE ATT&CK 技術。
• Technical Intelligence｜技術情報：最具體的 IoCs，例如 IP、Domain、URL、Hash。

CIA Triad（CIA 三要素）

• Confidentiality｜機密性：只有被授權的人才能存取資料。
  例如：權限控管、加密、MFA。
• Integrity｜完整性：確保資料沒有被未授權修改、竄改或破壞。
  例如：Hash、數位簽章、版本控管。
• Availability｜可用性：確保系統與資料在需要時可以正常使用。
  例如：備援、備份、DDoS 防護、高可用架構。

Types of Security Policies 不同的安全政策

• Promiscuous Policy｜寬鬆開放型政策 (Default Allow、幾乎都放行)
• Permissive Policy｜寬容型政策 (黑名單、大多放行)
• Prudent Policy｜審慎型政策 (白名單、需要才放行)
• Paranoid Policy｜極度嚴格型政策 (Default Deny / Allow by Exception、幾乎都不放行)

IH&R（Incident Handling & Response，事件處理與回應）常見的 9 個階段

1. Preparation｜準備
   • 事先建立事件應變流程、工具、權限、聯絡窗口與人員訓練。
2. Incident Recording and Assignment｜事件紀錄與指派
   • 記錄事件的時間、來源、受影響系統、初步現象。
   • 再將事件指派給適合的處理人員或團隊。
3. Incident Triage｜事件分類與初步分析
   • 判斷事件是真是假、影響範圍有多大。
   • 根據 Severity / Impact / Urgency 排定優先順序。
4. Notification｜通知相關人員
   • 通知需要知道事件的 Stakeholders（利害關係人）。
   • 例如 SOC、IT、主管、法務、資安主管或客戶。
5. Containment｜遏制
   • 防止事件繼續擴散。
6. Evidence Gathering and Forensic Analysis｜證據蒐集與鑑識分析
   • 收集 Logs、Memory、Disk Image、Network Traffic 等證據。
   • 分析攻擊時間線、攻擊方式與 Root Cause（根本原因）。
7. Eradication｜根除
   • 移除造成事件的原因以及攻擊者留下的東西。
   • 例如：
   • 刪除惡意程式
   • 移除 Persistence
   • Patch Vulnerability
   • 重設遭竊帳號密碼
8. Recovery｜復原

• 將系統恢復到正常營運狀態。
• 例如：
  • Restore Data
  • Restore Service
  • Restore System
  • 將隔離設備重新上線
  • 同時持續監控有沒有再次遭到攻擊。

9. Post-Incident Activities｜事件後活動
   • 進行 Lessons Learned、事件檢討與改善。
   • 更新 SOP、偵測規則、資安政策與防禦措施。

準備 → 紀錄 → 分析 → 通知 → 遏制 → 鑑識 → 根除 → 復原 → 學習
Preparation → Recording → Triage → Notification → Containment → Forensics → Eradication → Recovery → Post-Incident

其中最容易混的是 Containment / Eradication / Recovery：

• Containment：先控制，不讓它繼續擴大。
• Eradication：把攻擊來源、惡意程式、弱點清掉。
• Recovery：把系統與服務恢復正常。

例如勒索軟體事件就是：先隔離感染主機（Containment）→ 移除惡意程式並修補弱點（Eradication）→ 從備份恢復資料與服務（Recovery）。

OODA

• Observe｜觀察
• Orient｜判斷／分析
• Decide｜決策
• Act｜行動

重點它不是做完一次就結束，而是會不斷循環：

1. Audit and Due Diligence｜稽核與盡職調查
   • 先確認組織在 People、Process、Equipment、Materials 上是否具備事件應變能力。
2. Create a Response Team｜建立事件應變團隊
   • 建立 Incident Response Team。
   • 明確定義 Team Leader、Chain of Command、Roles & Responsibilities。
3. Create a Documented Incident Response Plan｜建立書面的事件應變計畫
   • IR Plan 至少要包含：
   • Roles & Responsibilities
   • Investigation
   • Triage
   • Mitigation
   • Recovery
4. Identify Your Triggers and Indicators｜識別觸發條件與指標
   • 定義什麼情況算 Security Incident。
   • 例如：
   • 設備／資料遺失
   • Unauthorized Access
   • 異常登入
   • 資料遭竊
5. Investigate the Problem｜調查事件
   • 調查 What happened、Who is involved、What was affected。
   • 紀錄調查過程與發現。
   • 必要時找外部資源協助。
6. Triage and Mitigation｜分流、優先排序與緩解
   • 進行：
   • Incident Classification
   • Prioritization
   • Task Assignment
   • Mitigation
7. Recovery｜復原
   • 恢復受到影響的 Service / System / Data。
   • 從 Active Incident 狀態轉回正常 Monitoring。
8. Documentation and Reporting｜紀錄與報告
   • 事件前、中、後都應持續紀錄。
   • 建立完整 Incident Report。
9. Process Review｜流程檢討
   • 人力是否足夠
   • 流程是否有效
   • 哪些事情可以自動化
   • 還有哪些風險需要追蹤
10. Practice, Practice, Practice｜持續演練

ISO 27001 A.16.1 — Management of Information Security Incidents and Improvements

(筆記依照課本已27001:2013為準)

ISO/IEC 27035 — Information Security Incident Management | 資訊安全事件管理
ISO/IEC 27037 — Digital Evidence | 數位證據識別、蒐集、取得與保存
ISO/IEC 27041 — Incident Investigation Methods | 事件調查方法的適用性與充分性

NIST SP 800-61 Rev. 2 的 Incident Response Lifecycle：

(現在已經有新版流程了，但ECIH課本還是用舊版地所以筆記沿照舊版)

1. Preparation｜準備
   • 建立 IR Policy / Plan
   • 準備工具、人員、聯絡方式
   • Training / Awareness
   • Logging / Monitoring
2. Detection and Analysis｜偵測與分析
   • 發現 Incident Signs
   • 分析 Logs、Alerts、IoC
   • 判斷是不是 Incident
   • Incident Classification / Prioritization
3. Containment, Eradication, and Recovery｜遏制、根除與復原
   • Containment：控制事件擴散
   • Eradication：移除 Root Cause、Malware、Persistence，修補 Vulnerability
   • Recovery：恢復 System / Service / Data
4. Post-Incident Activity｜事件後活動
   • Lessons Learned
   • Root Cause Review
   • 改善 Detection / Controls
   • 更新 IR Plan

開源情資技術分享

建立資安事件資訊共享能力（Establish Information Sharing Capabilities）

NIST 的分類

實際分享 Incident 資訊的方式

事件資訊共享（Information Sharing）的建議原則

1. 事件發生前，就先建立外部協調與合作關係
2. 事前與法務確認資訊共享與協調方式
3. 整個事件應變生命週期都要持續共享資訊
4. 盡可能將資訊共享流程自動化
5. 在共享效益與敏感資訊風險間取得平衡
6. 在適當範圍內，盡可能提供其他組織所需的事件資訊

First Response（第一時間應變）的角色分工

First Responder（第一應變人員）最常犯的錯誤

Fileless Malware（無檔案惡意程式）事件的常見指標