AntonTseitlinGIT/incident-response-fundamentals

# 事件响应基础 — 笔记 这是我学习 TryHackMe 的 **Incident Response Fundamentals**、**Digital Forensics Fundamentals** 和 **Logs Fundamentals** 房间（SOC Analyst Level 1 路径）的个人学习笔记。用我自己的话进行总结以巩固知识，并非直接复制房间内容。 ## IR 生命周期 所教授的标准模型（与 NIST 的事件处理指南保持一致）将事件响应分为六个阶段： 1. **准备** — 决定后续步骤是否有效的平淡环节：在任何事件发生*之前*，设置好日志覆盖率、playbook、联系人列表和工具访问权限。 2. **识别** — 确认某个事件确实属于安全事件。这是告警分诊（参阅本仓库中的配套文章）与日志分析交汇之处：分析师必须从大量噪声中区分出真正的入侵。 3. **遏制** — 在不破坏证据的情况下止血。短期遏制（隔离主机）不同于长期遏制（打补丁、轮换凭证、重建），且房间内容强调，在了解影响范围之前，切勿直接跳到根除阶段。 4. **根除** — 移除实际的根本原因：恶意软件、持久化机制或被盗用的账户。 5. **恢复** — 在保持监控的前提下，将系统恢复至正常运行状态，以捕捉任何表明威胁未被彻底清除的迹象。 6. **经验教训** — 在时间压力下最常被省略的步骤，但它却是真正能改善下一次事件响应的环节：是什么样的检测缺口导致了此次事件，以及由此需要做出哪些改变。 ## 日志与数字取证作为证据层 有两个房间与此生命周期直接相关： - **Logs Fundamentals** 涵盖了日志实际包含的内容（时间戳、源/目标地址、事件 ID、进程谱系），以及为何在关联不同日志源时数据归一化如此重要——例如，Windows Event Log 和防火墙日志对同一事件的描述方式大相径庭。 - **Digital Forensics Fundamentals** 涵盖了如何维护证据的完整性（证据保管链，避免因处理不当而修改时间戳），以及实时分析与对磁盘/内存镜像进行事后分析之间的区别。 实际联系在于：识别和遏制决策的质量，取决于为其提供数据的日志质量；同时，在遏制期间收集的任何证据都必须经得起审查，以防该事件后续需要进行正式报告。 ## 核心要点 事件响应并非单一的技能，而是检测、证据处理和修复之间一系列严谨的交接过程。在这里，跳过任何一个步骤（尤其是“经验教训”）都会在下次事件发生时，让组织悄然付出代价。 *这是我 TryHackMe SOC Analyst Level 1 学习进度的一部分：[tryhackme.com/p/antontseitlin](https://tryhackme.com/p/antontseitlin)*

标签：学习笔记, 安全运营, 库, 应急响应, 扫描框架, 数字取证, 自动化脚本, 防御加固