SANS 6 步驟事件回應框架指南

什麼是 SANS 事件回應？

勒索軟體酬載於凌晨 2:47 在您的環境中執行。您的 SOC 分析師看到了警示，但作業手冊已過時、升級通報路徑不明確，而遏制程序則放在一份自去年桌上演練後就沒有人打開過的 PDF 中。受控事件與登上頭條的資料外洩之間的差異，往往取決於您的團隊在壓力下執行結構化回應的能力。這種執行能力仰賴在警示到來之前很久就已投入的準備階段投資。

SANS 事件回應是由 SANS Institute 開發的六階段框架，旨在為安全團隊提供該結構。此框架稱為 PICERL 模型，將事件處理拆分為依序進行的階段：準備、識別、遏制、根除、復原，以及經驗教訓。GCIH 認證可驗證從業人員在全部六個階段的能力。

SANS 事件回應 框架著重於營運執行。它會告訴您的團隊該做什麼、何時做，以及如何在各階段之間交接，讓即時事件處理期間不會有任何事項遺漏。

SANS 框架與網路安全的關聯

SANS PICERL 模型將您的工具、人員與流程串連成可重複執行的工作流程。您的 SIEM 會在識別階段產生警示。您的 EDR 解決方案 會在遏制階段執行隔離。您的鑑識工具可在根除階段支援根本原因分析。每個階段都直接對應到您 SOC 中既有的安全工具與團隊角色。此框架也符合 NIST SP 800-61 的事件處理指引，儘管這兩種框架在結構與適用對象上有所不同，我們將在下方詳細比較。

了解 SANS 事件回應框架在理論上如何運作，只是起點。在真實世界條件下執行它，則需要更仔細檢視每個階段。

SANS 事件回應的 6 個階段

SANS 框架以線性循環方式運作。您會在事件期間依序經過每個階段，然後根據所學回到準備階段。有一項原則貫穿所有階段：記錄一切。這表示要擷取具時間戳記的紀錄，內容包括已採取的行動、接觸過的系統、執行過的命令、收集的證據，以及做出的決策。此紀錄可支援鑑識、法律與法規需求，以及可信的事後檢討。

第 1 階段：準備

準備是在事件發生前建立您的基礎。您會建立 IR 政策與程序、部署並調校安全工具（SIEM、EDR、threat intelligence 平台），以及針對常見攻擊情境（例如 ransomware、憑證遭入侵與雲端入侵）制定作業手冊。準備也包括建立內部升級與外部通知的溝通範本，因為任一方的延遲都可能加劇事件損害。

此階段包括建立分層的事件回應團隊：

• 第 1 層分析師負責初始警示分類與事件監控。
• 第 2 層分析師進行深入調查與威脅狩獵。
• 第 3 層分析師主導複雜調查。

安全工程與 SOC 管理負責維護工具並協調回應作業。

以這種方式定義分層，可在第一個高嚴重性警示到來前釐清升級路徑。準備也意味著與您在事件期間可能需要的外部利害關係人建立關係：法律顧問、公關、執法聯絡人，以及任何第三方鑑識或 IR 預聘服務。在危機期間才建立這些關係的團隊，會把關鍵時間浪費在後勤事務上，而不是遏制事件。

第 2 階段：識別

識別是您確認安全事件是否確實為事件的階段。您的 SOC 分析師會透過 SIEM 平台 持續監控、分類警示、驗證入侵指標，並依嚴重性等級排列事件優先順序。有效的識別仰賴關聯來自多個來源的資料：端點遙測、網路流量資料、身分識別記錄，以及 threat intelligence 摘要。

對於已確認的事件，至少指派兩名回應人員，一名擔任主要處理者負責決策，另一名支援調查與證據蒐集。在此階段，您的團隊也應開始界定事件範圍：哪些系統受到影響、哪些資料可能面臨風險，以及攻擊者是否仍保有有效存取權。您越快且越準確地界定事件範圍，組織承受的損害就越小，遏制行動也能越具針對性。

第 3 階段：遏制

遏制分為短期與長期行動。短期遏制旨在止血。優先事項是在保留後續階段所需證據的同時，限制影響範圍：

• 將受影響的端點與網路隔離。
• 停用遭入侵的帳戶並撤銷有效工作階段。
• 在防火牆或 Proxy 封鎖惡意網路流量。
• 在對受影響系統進行任何變更前，先擷取鑑識映像。

長期遏制會套用暫時性修補、實施強化監控，並在您準備進行根除時建立持續性的網路控制。這可能包括建立乾淨的平行系統，使業務營運得以持續，同時讓遭入侵的系統維持隔離。此階段的一個關鍵決策點，是判定可接受的業務中斷程度：完整的 network segmentation 較為安全，但可能使營運停擺；而針對性隔離可維持正常運作時間，但也有遏制不完全的風險。請在事件迫使您臨場應變之前，先在作業手冊中定義這些取捨。

第 4 階段：根除

根除會從您的環境中移除攻擊者的立足點：

• 清除 malware 以及所有受影響系統中的惡意工具。
• 關閉遭利用而導致初始存取或橫向移動的漏洞。
• 移除持久化機制，例如後門帳號、排程工作或惡意服務。
• 若清理不足以保證完整性，請對受損系統重新映像。

根本原因分析在此至關重要：如果您在不了解初始存取向量的情況下清除痕跡，則很可能再次遭到入侵。您的團隊應追蹤從初始存取到 橫向移動 的完整攻擊鏈，以了解攻擊者接觸過的每個系統。部分清除是再次遭入侵最常見的原因之一，而且通常發生在團隊尚未確認攻擊者活動的完整範圍前，就急於恢復服務時。可透過 SANS 培訓課程（例如 SEC504、FOR508 和 FOR608）取得詳細的階段指引。

第 5 階段：復原

復原會將系統帶回正式環境：

• 從乾淨且經驗證的備份還原。
• 在還原不足的情況下，重建受損系統。
• 根據您在清除期間學到的內容，實施更強的安全控制。
• 驗證還原的映像是否乾淨，且未殘留任何攻擊者痕跡。
• 逐步將系統重新整合，並延長監控以偵測再次出現的 入侵指標。

明確定義監控何時可以恢復到基準水準的標準。復原也是您實施可解決根本原因之安全改進的時機：如果攻擊者利用了設定錯誤的 VPN，修正措施應在復原期間部署，而不是之後。

第 6 階段：經驗教訓

經驗教訓會完成整個閉環。您應在事件解決後兩週內進行正式的事件後檢討，記錄完整時間軸，並分析哪些有效、哪些失敗。檢討應包含所有參與回應的人員，而不只是 IR 團隊，因為溝通中斷與升級延遲往往源自 SOC 之外。

調查結果會透過具體、已指派且有期限與負責人的行動項目回饋到準備階段。目標是找出促成事件發生的因素，並確保相同途徑無法再次被利用。像「改善監控」這類模糊建議並不可執行。有效的行動項目應具體明確：「在第二季前部署針對服務帳號橫向移動的 身分型偵測 規則」可為您的團隊提供明確的交付項目。跳過或延後此階段的團隊，往往會在不同事件中重複相同的遏制失敗。

將這些階段對應到分析師每天使用的工具，可確保您的 SANS 事件回應工作流程在壓力下依然有效。

跨階段的工具整合

您的 SIEM 與 EDR 平台在整個回應生命週期中提供不同能力。SIEM 平台提供集中式日誌管理、事件關聯與歷史分析。EDR 工具 提供即時端點可視性、包含端點隔離在內的目標式回應，以及深入至程序層級的鑑識能力。

在實務上，當 SIEM、EDR、身分遙測與雲端日誌能夠在無需手動關聯的情況下一起調查時，團隊可獲得最佳成效。若要深入了解統一遙測如何支援更快速的範圍界定，請參閱此 XDR 概觀。

了解這六個階段可讓您的團隊在處理事件時擁有共同語言與一致順序。下一步是將該順序轉化為一份已文件化且可測試的計畫，讓您的團隊能在壓力下執行。

如何使用 PICERL 建立事件回應計畫

若一份計畫只是放在共用磁碟中且從未測試，它只是合規文件，而非營運工具。目標應是一份活文件，將每個 PICERL 階段對應到您的特定環境、工具與團隊結構，讓回應人員能在壓力下執行，而無需臨場應變。

先將每個 PICERL 階段對應到您目前的環境：

• 準備： 記錄您的 IR 團隊名單，包括角色、聯絡方式與升級授權。定義誰可以授權執行網路隔離或帳號停用等遏制措施，而無需等待高階主管核准。
• 從識別到復原：建立各階段專屬的操作手冊，並參照您實際使用的工具：要執行哪些 SIEM 查詢、要觸發哪些 EDR 動作，以及要傳送哪些通訊範本。
• 經驗教訓：建立事件後檢討範本，包含時間軸、根本原因與已指派行動項目的必填欄位。

CISA 操作手冊範本 提供了可供您自訂的強大基準，而不必從頭開始建立。

您的計畫也應包含嚴重性分類矩陣，將事件類型對應到回應層級。影響單一使用者的憑證外洩，以及影響正式環境伺服器的勒索軟體爆發，需要不同的升級路徑、不同的團隊組成，以及不同的遏制時程。請預先定義這些差異。

草擬完成後，至少每季透過桌上演練對計畫進行壓力測試。執行針對您最薄弱階段的情境。如果您的團隊從未演練過針對 供應鏈事件的清除程序，這個缺口就會在真實事件中顯現。指派一位計畫負責人，負責每季檢視、聯絡資訊更新與工具對齊。缺乏負責人的計畫通常會在數月內過時。

您的計畫成效取決於執行它的人員。SANS 提供結構化的培訓路徑，以建立並驗證 IR 能力。

SANS 事件回應認證與培訓路徑

SANS Institute 透過 GIAC 認證 以及實作訓練課程。如果您正在建立或擴編 IR 團隊，這些認證可直接對應至 PICERL 階段職責。

SEC504：駭客工具、技術與事件處理

• 涵蓋範圍：全部六個 PICERL 階段。
• 認證：GCIH (GIAC Certified Incident Handler)，驗證偵測、回應及處理安全事件的實作能力。
• 最適合： 正在轉任專責 IR 角色的 Tier 1 與 Tier 2 分析師。這通常是團隊建立 IR 能力的起點。

FOR508：進階事件回應、威脅狩獵與數位鑑識

• 涵蓋範圍： 識別、遏制與根除階段，重點在於記憶體鑑識、時間軸分析及進階威脅狩獵。
• 認證： GCFA (GIAC Certified Forensic Analyst)。
• 最適合： 主導複雜調查的 Tier 2 與 Tier 3 分析師。

對於正在建立訓練路線圖的團隊，請先從 SEC504 著手以廣泛涵蓋 PICERL，再進階至 FOR508 以深化鑑識與狩獵能力。將認證與定期桌上推演搭配，確保課堂知識能轉化為作業整備度。

即使擁有受過訓練的團隊與文件化計畫，組織在實際事件期間仍會遭遇結構性挑戰與執行錯誤。

SANS 事件回應中的常見挑戰與錯誤

SANS 事件回應模型本身是健全的。挑戰在於落實執行。採用 PICERL 的組織經常發現，該框架的價值完全取決於其工具、人力配置與流程在即時情境中對各階段的支援程度。

自主性缺口

大多數團隊在速度最關鍵的階段，仍依賴手動或僅部分整合的工作流程。零散的安全堆疊會延遲威脅發現、增加蒐集證據的手動步驟，並因需跨主控台進行人工關聯分析而拖慢調查。每一個未能消除的手動步驟，都會增加遏制所需時間。

修復速度不匹配

弱點利用的速度經常超過組織的修復週期。當修補與組態變更的速度慢於對手活動時，遏制決策就會變得更具破壞性。由於低影響修正的時間窗口已經過去，分段、隔離與服務關閉便成為必要措施。

人力配置與高階主管問責缺口

建立一支全職、專責的 IR 團隊仍然相當困難。許多組織依賴兼職或借調資源，而當 IR 職責分散給同時也承擔營運工作負載的團隊成員時，回應品質會在壓力下下降。此外，當升級路徑、決策權與對外溝通不明確時，事件回應就會失效。如果高階主管未就誰有權授權遏制措施、停機或揭露達成一致，Preparation 階段的缺口就會連鎖影響後續每一個階段。

將準備視為一次性活動

您去年建立了事件回應計畫。您的作戰手冊參照的是之後已被替換的工具。您的升級通報聯絡人已更換職務。準備工作需要每季更新、桌上推演，以及使用目前工具集進行持續整合測試。

BC/DR 整合缺口

當您的事件回應流程未與業務持續營運與災難復原 (BC/DR) 計畫對齊時，Recovery 階段的決策就會變成臨場應變，而非依據經過測試的程序執行。

這些挑戰是結構性的，而非理論性的。每一項都可回溯到某個特定 PICERL 階段，在該階段中準備、工具或流程發生了失效。

SANS 事件回應最佳實務

了解哪裡出錯只是其中一半。這些實務透過具體的作業改善來解決上述挑戰。

與 NIST 和 CISA 作戰手冊標準對齊

請使用 CISA 回應作戰手冊作為您的範本。這些作戰手冊與 NIST 事件處理指引一致，並提供逐步程序、決策樹與通知要求。請依您的環境進行客製化，而不是從零開始建立。

以自主回應與行為式偵測為目標

現在越來越多安全團隊將自主性作為其識別與回應工作流程的目標。請將此重點延伸至遏制動作、證據蒐集與警示分流。以程序活動、使用者模式與網路異常的行為分析補強自動化，以捕捉使用有效憑證以及採用 living-off-the-land 技術、而基於特徵的方法會遺漏的攻擊。將您的作戰手冊涵蓋範圍延伸至邊緣基礎架構、VPN 入侵、供應鏈事件及雲端特定情境。

衡量 MTTC 並推動季度改善

將平均遏制時間 (MTTC) 與 平均偵測時間 (MTTD)、工單升級率及自主性涵蓋率一併作為您的主要成效指標。將結果回溯至特定作戰手冊、工具缺口與核准瓶頸。將每次事件後檢討的結果，在季度週期中回饋到作戰手冊精進與規則更新。

若能持續一致地套用，這些實務會隨時間產生累積效益。每一次改善循環都會縮小警示與遏制之間的差距。真實世界事件顯示，當這個差距持續過大時會發生什麼事。

對應 PICERL 的真實世界攻擊案例

即使您的環境與關鍵基礎設施營運商或全球性賭場完全不同，失敗模式仍然相同：決策權責不清、遏制緩慢，以及範圍界定不完整。

1. Colonial Pipeline（2021，勒索軟體）：該事件觸發了管線營運關閉，並導致 440 萬美元贖金支付，說明了遏制與復原決策如何可能演變為全企業的營運持續性事件。
2. Kaseya VSA（2021，供應鏈勒索軟體）： 攻擊者利用受管服務軟體平台，將勒索軟體推送至下游客戶，影響多達 1,500 個組織。這直接提醒我們，應在準備階段建立第三方與邊緣存取應變手冊，而不是在事件發生期間才著手進行。
3. MGM Resorts（2023，社交工程與勒索軟體）： MGM 表示，與該網路事件相關的該季度負面財務影響達 1 億美元，這顯示了為何高階主管升級路徑與以身分為核心的遏制行動至關重要。

縱觀這些事件，模式相當一致：準備品質決定了遏制是維持在技術層面，還是演變為全企業危機。

評估其回應策略的組織，通常會將 SANS PICERL 與 NIST 框架進行比較。了解兩者各自適用的位置，有助於您將正確的模型套用到正確的問題上。

SANS 與 NIST：了解關鍵差異

SANS PICERL 是為需要在即時事件期間取得作業指引的實務人員而設計。NIST SP 800-61 則是為需要政策對齊、合規對應與治理結構的組織而設計。

針對細緻的作業執行使用 SANS PICERL，針對合規對齊、溝通結構與企業治理使用 NIST SP 800-61。您可以透過以下方式將這套組合框架落實為作業流程： CISA 應變手冊範本，其提供符合行政命令要求且與 NIST 結構一致的程序。

無論您選擇哪一種框架，真正的限制都在於執行速度。這取決於您的平台是否能統一遙測資料，並在 Identification 與 Containment 期間支援自主行動。

使用 SentinelOne 強化事件回應

以現代威脅所要求的速度執行 SANS PICERL 框架，所需的不只是技術。SentinelOne Wayfinder Incident Readiness & Response 為您提供專業的事件回應計畫，在入侵發生前、期間與之後為您提供支援。

Wayfinder Incident Readiness & Response 是 SentinelOne 受管服務產品組合的一部分，並結合 Google Threat Intelligence 在 SentinelOne 遙測資料上運作，讓您的團隊能從臨時反應轉變為有準備、可重複執行的回應。

在事件發生前，Wayfinder 專家會執行整備度評估、應變手冊、桌上演練，以及紫隊風格演練，以測試控制措施並補強缺口，確保您的計畫能在壓力下發揮作用。

在事件期間，SentinelOne 回應人員會調查進行中的威脅、遏制受影響系統，並協調數位鑑識、根本原因分析與 IOC 分析，讓您能控制影響並縮短中斷時間。

在事件之後，團隊會指導復原、提供高階主管層級報告、支援法律與合規需求，並調校您的環境，讓經驗教訓轉化為下一次事件更強大的防禦。

為了將受管服務與您現有的控制措施串接，Wayfinder 使用來自 Singularity™ Platform 的端點、雲端與身分資料，為分析師與回應人員在整個事件生命週期中提供統一視圖。Storyline 技術會將程序、檔案與網路活動關聯成完整的攻擊敘事，讓您的分析師無需在工具之間切換即可看見事件範圍..

Purple AI 讓您的分析師能以自然語言查詢安全資料並更快重建事件時間軸，從而加速從 Identification 到 Lessons Learned 的各個階段。客戶回報使用 Purple AI 後，威脅修復速度最高可提升 55%。

SentinelOne 也能在事件演變為全面回應之前降低佇列壓力。在 MITRE ATT&CK Evaluations 中，SentinelOne 產生了 12 則警示，相較於 178,000 則 的參考比較：分析師分流量減少了 88%。

Singularity AI SIEM 會擷取並正規化來自原生與第三方來源的遙測資料，提供集中式可視性與熱儲存資料，以便進行跨事件的歷史分析。

申請 SentinelOne 示範，了解自主回應與統一遙測資料如何縮短您的平均遏制時間。

Unleash AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點摘要

SANS PICERL 框架為您的團隊提供經驗證的六階段事件處理結構。挑戰不在框架本身，而在於如何透過適當的自主性、工具整合與人力配置將其落實為作業流程。能減少手動工作並執行一致應變手冊的團隊，能更快遏制事件並降低入侵影響。 

將 MTTC 作為您的主要指標，為新興攻擊向量建立作戰手冊，並投資於可統一遙測資料並在每個階段實現自主回應的平台。