PROBLEM
Framework IR jest na slajdzie, a w momencie alertu nie ma osi czasu ani pytania o izolację.
PODEJŚCIE
Kilka scenariuszy labowych z checklistą: co zebrać, kogo spytać, co zapisać.
ARCHITEKTURA
- endpointy z lab SOC
- alert z Wazuh albo log surowy
- szablon notatki
WDROŻENIE
- checklista IR
- mapowanie na ATT&CK tam, gdzie ma pokrycie w logu
- ćwiczenie „alert ≠ incydent”
REZULTAT
- checklista IR jako zasób
- scenariusze w toku, bez metryk SLA
WNIOSKI
- izolacja bez ownera to teatr
Cel
Lab IR ćwiczy decyzję na danych z labu, nie playbook korporacyjny przepisany z NIST bez kontekstu.
Dwa problemy, które rozwiązałem
1. Framework bez osi czasu
Znałem fazy IR ze slajdu, ale przy alercie nie miałem nawyku: co się stało, od kiedy, na którym hoście, kto może zatwierdzić izolację.
Co zyskałem: checklistę startową i szablon notatki: fakty, hipotezy, braki, decyzja. Publiczna checklista IR jest wynikiem tych ćwiczeń — nie ozdobą.
2. Alert mylony z incydentem
Każdy czerwony kafelek „wyglądał na atak”. Brakowało dyscypliny: najpierw triage, potem eskalacja.
Co zyskałem: ćwiczenie „alert ≠ incydent” na telemetrii z labu (Wazuh / Event Log). Potrafię uzasadnić ignore, watch albo escalate — i zapisać, czego jeszcze nie wiem.
Przebieg ćwiczenia
- Intake: źródło alertu, host, konto, czas (ze strefą).
- Zachowanie materiału: logi, zrzut, notatka — zanim ktoś „wyczyści”.
- Decyzja izolacji tylko z właścicielem.
- Mapowanie ATT&CK tylko gdy log pokrywa technikę.
- Notatka eskalacyjna albo zamknięcie z uzasadnieniem.
Powiązane materiały
Granice
Brak retaineru 24/7, brak obietnicy „usuwamy atakującego w 15 minut”, brak pracy na cudzej produkcji bez zakresu.
Stan
Status development. Publiczna jest checklista; pełne scenariusze z telemetrią dokładane są razem z labem SOC/Wazuh.