事件回應計畫：元件、流程與範本

事件回應計畫是一份由您的高階領導團隊撰寫並正式核准的文件。此文件可作為在發生資料外洩事件時應採取行動的指南。它會告訴您如何回應並從網路安全攻擊及其他業務中斷中復原。它也可作為回顧過往事件與檢討過程中所獲經驗教訓的參考。IT 安全團隊會將其作為回應各種安全事件的基準與指引。

為什麼事件回應規劃很重要？

為您的組織準備一套結構完善、穩固且強健的事件回應計畫，以維持安全。以下是您必須建立事件回應計畫的一些原因：

• 無懼面對攻擊：建立一套安全事件計畫，經常更新，並嚴格遵循，以便隨時為事件做好準備並有信心地加以管理。
• 更快復原：遵循回應計畫中明確的步驟、職責與方法，從安全災難中快速復原。
• 維持合規：透過優先重視資料安全、隱私與事件回應規劃來達成合規。
• 降低影響：透過遵循回應計畫來遏止並消除威脅向量，降低如資料外洩等安全事件的影響並減少損害。
• 保持透明：您的安全團隊中的每個人都可以遵循相同的事件回應計畫，並依照您在文件中概述的步驟採取行動。這有助於提升透明度與有效溝通。

誰負責事件回應規劃？

事件回應團隊中的部分安全團隊成員將被指派特定任務，這些任務會依其技能組合與專業知識而有所不同。

• 將會有分析師負責調查網路事件的根本原因。
• 您的團隊中也會有溝通專員，負責及時向利害關係人回報調查結果與最新進展。
• 技術專家在您的事件回應團隊中將更專注於修復與復原。
• 一位事件回應協調員將負責處理與統籌所有事項，以建立一致的事件回應策略。他們將直接與高階管理層合作，並與外部各方溝通。
• 您的事件回應經理將領導團隊，並在事件期間擁有最高權限。
• 威脅研究人員提供威脅情報與背景脈絡，協助您了解網路事件的性質。此外，也會有法務團隊負責監督合規、合約義務，並防止潛在的刑事影響。
• 您 IR 團隊中的Executive Sponsor是Chief Security Officer (CSO) or Chief Information Security Officer (CISO)，將為您的 IR 計畫提供支持，並向高階主管團隊報告。

事件回應計畫的元件

事件回應計畫的元件包括：

角色與職責： 在建立事件回應計畫時，明確定義角色與職責，並將其指派給您的團隊成員。如此一來，團隊中的每位成員都能清楚了解自己的職務，以及在處理網路安全事件時如何有效執行，而不會產生混淆。

回應方法論： 透過建立強大的事件回應方法論並妥善加以架構，來達成您的安全目標。它應概述安全措施與策略。這將協助您即時且有系統地偵測、分析及解決事件。

詳細的修復/預防程序： 除了清楚的方法論之外，也要記錄每一項用於修復或預防安全事件的流程與程序。這些事件回應程序可以包括事件後分析、主動通知團隊、特定事件如何升級、保存攻擊及相關損害的證據等等。

安全事件有哪些不同類型？

在建立強健的事件回應計畫時，請了解不同類型的安全事件。一些安全事件包括：

• 資料外洩
• 惡意軟體，例如勒索軟體
• 網路釣魚攻擊
• 分散式阻斷服務（DDoS）
• 中間人攻擊
• 網域劫持
• 加密挖礦劫持
• Web 應用程式攻擊
• 權限提升
• 未經授權的存取
• 內部威脅

上述安全事件同時包含重大事件與輕微事件。但如何判定哪些屬於重大、哪些屬於輕微，會因組織而異。請根據這些事件對您組織的重要性進行優先排序，以有效處理它們。

事件回應生命週期

以下是您需要了解的事件回應生命週期六個階段：

準備

在此階段，您會先建立事件管理計畫。您將使用此計畫來偵測組織環境中的事件。準備階段將協助您識別不同類型的網路攻擊，並判斷其造成的影響。它也會確保您具備適當的工具來回應這些安全事件、立即加以阻止，並嘗試從源頭預防其發生。

偵測與分析

下一個階段是偵測與分析，您會蒐集並分析資料，以尋找線索並識別新的攻擊來源。您將了解攻擊的性質及其對系統的影響。您會與安全專業人員合作，並使用工具找出入侵指標（IOC），同時追蹤受影響的系統。

遏制

在遏制階段，您會使用各種策略來防止惡意軟體與病毒擴散，並阻止勒索軟體。您可能會將系統從網路中斷開、隔離裝置，並封鎖可疑流量與惡意 IP 位址。

根除

在此階段，您將找出威脅的根本原因。在隔離惡意程式碼並將受感染裝置隔離後，您將開始從環境中根除它們。您可能會使用最新的防毒軟體及其他手動威脅移除技術。您也會讓軟體保持最新狀態並套用修補程式，以防止未來發生安全事件。

復原

您將能迅速恢復業務營運。復原階段著重於如何讓系統回到正式環境。您會從可信任的備份還原至先前狀態。之後，您也會測試備份並強化系統。

經驗教訓

在經驗教訓階段，您會分析與先前或目前資料外洩相關的每一份文件。您將找出漏洞，並檢視從真實事件與模擬事件中學到的內容。這將有助於強化您的網路防禦，以抵禦未來攻擊。

如何建立網路安全事件回應計畫

以下說明如何為您的組織建立網路安全事件回應計畫：

定義政策與範圍

良好的網路事件回應計畫會訂定明確目標。這是一份將由高階主管核准的高層級文件。您的計畫應概述何謂安全事件。它將定義 KPI，例如平均復原時間（MTTR）與平均偵測時間（MTTD）。

建立您的事件回應團隊

接下來，您將專注於建立事件回應團隊。您會從 IT、通訊、法務、人資與管理部門選出核心成員。您也會指派事件回應負責人，並可能聘請外部資源。

識別關鍵資產與威脅

在識別關鍵資產與威脅時，您將著重於建立其資產清冊。您會進行風險與威脅評估，以找出潛在弱點及其遭利用的可能性。您將運用威脅情報，並持續掌握最新的攻擊者戰術、技術與程序（TTPs）。

建立通訊與升級通報協定

建立清楚且安全的通訊管道並制定適當的升級通報協定非常重要。您需要明確指定通知對象，以及隨著事件進展，其他成員應多快收到警示。您將設有不同的安全等級，並擬定與業務夥伴、客戶、執法機關、監管機構等溝通的範本。

制定回應手冊

針對勒索軟體、網路釣魚與內部威脅等常見威脅，建立特定情境的回應手冊。每份手冊都應列出實務步驟，並概述有效根除、遏制與復原的行動。在此階段，您也應考慮使用 Security Orchestration, Automation, and Response (SOAR) 平台，自動化重複性工作並加快回應時間。

測試、精進並持續改善

這是建立事件回應計畫的最後一步。您將使用桌上演練來模擬各種真實世界情境，並評估團隊如何回應網路事件。  無論您從事後過程中學到什麼，都應用來定期更新您的計畫並提升長期網路韌性。您也會據此對現有的事件回應計畫與政策進行調整。

事件回應中的角色與職責

事件回應流程的一部分，是了解團隊成員各自擁有哪些角色與職責，並清楚加以指派。

常見的事件回應角色包括： 

• 事件指揮官 - 他/她管理整個流程
• 安全分析師 - 這些成員負責偵測、分析及隔離威脅
• 技術主管 - 他們會指導修復工作
• 溝通負責人 - 您團隊中的一位成員，將簡化所有利害關係人的溝通
• 文件負責人 - 此人負責準備與擬定您的事件回應計畫。他們會進行事件後檢討並更新文件，以改善未來的回應。

有效事件回應的工具與技術

以下是有效事件回應的主要工具與技術：

偵測與監控：SIEM、EDR、XDR

安全資訊與事件管理 (SIEM) 工具 會彙整來自防火牆、伺服器和應用程式的日誌，以發現異常。端點偵測與回應 (EDR) 平台會即時監控裝置，並捕捉惡意軟體或可疑活動。延伸式偵測與回應 (XDR) 透過連接端點、網路、電子郵件和雲端資料來擴展可視性，以進行跨層威脅關聯分析。

自動化與協調：SOAR 和劇本

SOAR 平台可連接您的安全工具，並自動執行重複性工作，例如警示分類與威脅擴充。劇本會為常見情境（例如網路釣魚攻擊或惡意軟體感染）定義逐步工作流程。有些劇本會完全自動執行，而有些則會在採取隔離端點或封鎖 IP 位址等遏制動作前，暫停以等待分析師核准。

調查與鑑識工具

鑑識工具 可協助您從遭入侵的系統收集記憶體傾印、磁碟映像和事件日誌，同時不變更證據。數位鑑識平台可讓分析師搜尋入侵指標 (IOCs)、追蹤攻擊者活動，並重建時間軸。它們也會查詢整個網路中的端點，並在事件進行期間大規模收集構件。

溝通與協作平台

事件管理平台可將通報集中化、指派任務，並在單一位置追蹤解決進度。您應能將平台與 Slack 和 Microsoft Teams 等聊天應用程式整合，讓回應人員無需切換工具即可協調行動。帶外通訊管道可在主要網路遭入侵時提供安全替代方案。狀態頁面可在服務中斷期間讓利害關係人掌握資訊，並減少支援查詢量。

事件回應的關鍵指標與 KPI

以下是一些您應了解的關鍵事件回應指標與 KPI，以確保快速偵測與解決：

平均偵測時間 (MTTD)

平均偵測時間衡量從安全事件開始到被識別所需的時間。較低的 MTTD 表示您的監控系統能更快發現威脅，避免其擴散或造成損害。強大的偵測能力仰賴持續的端點監控、行為分析，以及能在攻擊生命週期早期標示異常模式的威脅情報。

平均回應時間 (MTTR)

平均回應時間追蹤從警示發出到安全事件完全解決所經過的時間。快速回應可限制攻擊者停留時間並減少業務中斷。具備清楚劇本、明確角色與自動化遏制步驟的團隊，通常能持續達成較低的 MTTR，並將入侵影響降到最低。

遏制效率

遏制效率衡量在您的服務水準協議時限內成功隔離的事件百分比。高遏制率顯示您的團隊能阻止威脅在網路中橫向移動。快速隔離動作，例如中斷受感染系統連線、隔離裝置，以及封鎖惡意流量，可防止大規模入侵。

事件後解決指標

復原時間量化在完成遏制後，將受影響系統恢復正常運作所需的時間。事件結案率追蹤無需重新開啟即可完全解決的案件百分比。每起事件成本會計算財務影響，包括停機時間、修復工作量和生產力損失。重複事件率可識別需要永久修復而非暫時修補的反覆出現弱點。

您應多久檢閱並更新一次事件回應計畫？

至少每年檢閱一次您的網路資安事件回應規劃。這將有助於您跟上技術、工具、法規等最新變化，並支援業務持續營運。

當以下面向發生變化時，就表示該更新計畫了：

• 資料外洩/資料侵害
• 因疫情等全球/區域事件導致市場出現大規模中斷
• 採用遠端工作模式
• 變更內部安全團隊的結構
• 採用新工具或技術
• 受 HIPAA 或 GDPR 等法規約束
• 將業務擴展至新產業、國家或地區

常見安全事件與回應情境

以下是您的組織可能面臨的最常見安全事件與情境：

勒索軟體攻擊

這是指攻擊者加密您的資料，並要求支付費用以取得解密金鑰。在攻擊期間，您的檔案將變得無法存取，營運也會陷入停擺。回應勒索軟體意味著立即隔離受感染的系統、識別勒索軟體變種，並從乾淨的備份中還原。切勿支付贖金，因為無法保證攻擊者會提供解密金鑰。您的團隊將分析攻擊途徑、修補漏洞，並實施更嚴格的存取控制，以防止再次感染。

資料侵害

資料外洩是指未經授權的對象存取敏感資訊，例如客戶紀錄、財務資料或智慧財產。面對外洩事件時，您的應變團隊將識別入侵點、判定哪些資料遭到洩露，並評估曝露範圍。應變措施包括撤銷已遭入侵的憑證、封堵安全缺口，以及監控是否有進一步的未經授權存取。資料外洩通常源自網路釣魚攻擊、弱密碼、未修補的系統或內部人員行為。您的團隊也會保全證據，以供鑑識分析與法律程序使用。

內部威脅

內部威脅涉及員工、承包商或合作夥伴濫用其存取權限來危害您的組織。這些威脅可能是惡意的，也可能是意外造成的。惡意內部人員可能會竊取資料、破壞系統，或將憑證出售給外部攻擊者。意外的內部人員則會因疏忽而造成損害，例如點擊網路釣魚連結或錯誤設定安全性設定。您的回應措施包括進行行為分析、檢視存取記錄、限制權限，以及訪談相關人員。偵測則仰賴使用者活動監控與資料外洩防護（DLP）工具。

雲端與 SaaS 事件

雲端與 SaaS 事件會以您的雲端基礎架構、應用程式，以及儲存在第三方環境中的資料為目標。常見情境包括設定錯誤的儲存貯體、遭入侵的 API 金鑰、帳戶劫持，以及存在弱點的雲端工作負載。回應雲端事件需要與您的雲端服務供應商合作、檢視身分與存取管理 (IAM) 原則，並實施多重要素驗證 (MFA)。安全團隊將稽核雲端組態、輪替認證資料，並套用零信任原則。由於服務彼此互連，以及供應商與客戶之間的共同責任模型，雲端事件會迅速擴散。

法律、合規與通報要求

以下是您在規劃網路事件回應時應了解的大部分法律、合規與通報要求：

資料侵害通報義務

當資料外洩發生時，GDPR、HIPAA、CCPA 以及各州資料外洩通報法等法律，要求及時向受影響方與監管機關揭露。GDPR 規定，在知悉影響歐盟公民的外洩事件後，必須於 72 小時內完成通報。HIPAA 要求受規範實體，對於影響 500 名或以上個人的外洩事件，必須於 60 天內通知美國衛生與公共服務部（HHS）。您的事件回應計畫應包含預先擬定的通報範本、利害關係人聯絡清單，以及明確的時程。

證據處理與監管鏈

妥善的證據處理可維護數位鑑識在法律程序與調查中的完整性。監管鏈記錄每一位接觸證據的人員、其採取的行動，以及移轉發生的時間。您的團隊將建立受影響系統的鑑識映像、保全日誌檔案，並記錄所有調查步驟。證據必須安全保存並限制存取。您將需要記錄雜湊值，以證明未發生竄改，且備份已妥善維護。不良的證據處理可能使調查結果在法庭上不被採納，並在訴訟或監管執法程序中削弱您的法律立場。

法規通報時程與最佳實務

不同法規會施加特定的通報期限與要求。SEC 規則要求上市公司在四個工作天內揭露重大網路資安事件。Payment card industry data security standard (PCI DSS) 違規事件必須立即通報給卡組織與收單銀行。您的組織應維護一份合規行事曆，以追蹤所有適用法規及其通報時限。 

事件回應最佳實務包括：指定合規主管、自動化合規監控、定期執行稽核，以及維護詳細的事件記錄。延遲或不完整的通報可能導致重大罰款、聲譽受損，以及更嚴格的監管審查。

事件回應計畫範本與檢查清單

因此，您的事件回應計畫範本將包含以下項目：

• 使命宣言
• 範圍
• 角色、職責與聯絡資訊
• 利害關係人資訊
• 事件回應生命週期階段

使命宣言是您組織的宗旨或長期目標。您所有的 IR 目標與工作流程都將與其保持一致，以確保業務持續營運。範圍將定義您的 IP 計畫將涵蓋哪些類型的事件，以及將保護哪些資產。您也會在文件中註明任何假設條件（例如可用的工具和團隊成員），並列出核心 IR 團隊的成員。

談到您的事件回應檢查清單，以下是您的行動項目與關鍵問題：

• 您的公司在上一季是否進行過任何桌上演練？
• 您是否已識別關鍵 IT 資源與資產，並依優先順序進行分類？
• 我們是否已將隔離或受感染的系統從網路中斷開？
• 您的企業是否已蒐集鑑識分析與證據蒐集所需的所有必要資訊？
• 您是否已識別事件的根本原因？
• 是否已套用所有修補程式與安全性更新？
• 您是否已通知相關的執法機關與監管機構？如果沒有，是否需要根據事件類型這麼做？
• 您預先核准的公開聲明是否已準備就緒？
• 您是否已通知並更新所有關鍵內部利害關係人？
• 您是否已與所有相關方舉行經驗教訓檢討會議？
• 您是否已製作事後檢討報告？
• 您是否已根據團隊回饋與新變更更新您的 IR 文件？
• 您是否已記錄如何在未來防止網路事件的發現結果？

MDR You Can Trust

Get reliable end-to-end coverage and greater peace of mind with Singularity MDR from SentinelOne.

Get in Touch

結論

現在您已清楚了解事件回應規劃。您知道事件回應生命週期的不同階段，以及事件回應框架如何運作。如果您需要事件回應方面的協助，您可以試用 SentinelOne’s Singularity™ MDR+DFIR services。您將獲得涵蓋所有端點及其他範圍的完整端對端防護。Singularity™ XDR 能以機器速度回應事件，並透過自動化工作流程賦能您的團隊，防止攻擊擴散至整個數位環境。若有威脅突破防線，它會立即對事件進行優先排序。您也可以試用 Vigilance MDR，讓您能夠獲得人類專家團隊的支援，並最大化運用有限的 SOC 資源。 SentinelOne’s agentless CNAPP solution 也包含 Cloud Detection and Response (CDR) 模組，讓您獲得專家的事件回應能力。立即聯絡 SentinelOne 團隊。