maheshreddei/it-ot-incident-response

# IT/OT 事件响应与调查 **一份适用于现场的应急响应计划、调查 SOP、场景 playbook，以及——作为核心部分——一个证据源层，它将你需要证明的内容精确映射到 OT 环境中工件所在的位置以及如何安全地收集它。**      ## 这是什么 大多数 IR 文档只是告诉你*你正处于哪个阶段*。而本文档旨在回答在 OT 调查中真正重要的两个问题： 1. **我试图证明什么？**（发生了未经授权的逻辑更改；设定点被篡改；远程会话被劫持） 2. **证明这一点的证据在哪里，我如何在不中断正在运行的物理过程的情况下收集它？** OT 的特殊性贯穿于本文档的所有内容：在 IT 中，你可以隔离并对主机进行镜像取证；但在 OT 中，该主机可能是驱动正在运行的反应器的 HMI。因此，核心原则是**安全第一，先被动后主动，让运营人员参与其中** —— 在任何人接触控制器之前，先收集无干扰的证据（网络、historian、日志）。 ## 仓库地图 ``` it-ot-incident-response/ ├── docs/ ← the plan │ ├── 01-ir-plan-and-lifecycle.md ← OT-adapted NIST 800-61 lifecycle + safety doctrine │ ├── 02-roles-and-raci.md ← who does what, authority to act │ ├── 03-severity-classification.md ← consequence-driven severity (IT vs OT) │ ├── 04-evidence-handling-chain-of-custody.md │ └── 05-communications-and-regulatory.md ├── sop/ ← how to investigate, step by step │ ├── triage-first-30-minutes.md ← the triage card │ ├── universal-investigation-sop.md ← master investigation procedure │ └── ot-investigation-sop.md ← OT-specific procedure (6 domains) ├── evidence/ ← ★ where the proof lives │ ├── evidence-source-matrix.md ← assertion → evidence → location → what it proves │ ├── windows-ews-hmi-historian-host.md │ ├── network-and-ot-protocols.md │ ├── historian-and-process.md │ ├── plc-controller-safe-acquisition.md │ └── identity-and-remote-access.md ├── playbooks/ ← per-scenario response + evidence steps │ ├── pb-01-unauthorized-plc-logic-change.md │ ├── pb-02-unauthorized-setpoint-change.md │ ├── pb-03-safety-system-manipulation.md │ ├── pb-04-malware-ransomware-on-ot-host.md │ └── pb-05-suspicious-remote-access.md └── templates/ ← fill-in forms ├── incident-report.md ├── chain-of-custody-form.md └── evidence-collection-log.md ``` ## 如何使用 - **值班人员刚刚收到告警** → [`sop/triage-first-30-minutes.md`](sop/triage-first-30-minutes.md)。 - **已确认的事件，需要操作流程** → [`sop/universal-investigation-sop.md`](sop/universal-investigation-sop.md)，如果涉及 OT 范围，则转入 [`sop/ot-investigation-sop.md`](sop/ot-investigation-sop.md)。 - **已知场景** → 选择匹配的 [`playbooks/`](playbooks/) 文件。 - **“我在哪里可以找到 X 的证据？”** → [`evidence/evidence-source-matrix.md`](evidence/evidence-source-matrix.md)，然后查阅它指向的域指南。 - **构建案件档案** → [`templates/`](templates/)。 ## 核心原则（请先阅读） 1. **人员安全高于一切。** 任何调查行动都不得增加对人员或生产过程的风险。当网络响应与工厂安全发生冲突时，安全第一，由工厂/工艺工程师做出决定。 2. **先被动后主动。** 在采取任何触及在线控制器的主动取证之前，请穷尽所有无干扰的证据收集途径（网络捕获、historian、日志、EDR）。 3. **让运营人员参与其中。** 每一项 OT 遏制或取证决策都是网络安全与控制工程的联合决策，并且必须记录在案。 4. **先保存，后分析。** 按易失性顺序捕获易失性证据，*防止*补救措施将其销毁——但决不能以牺牲规则 1 为代价。 5. **用工件证明，而非推断。** 最终报告中的每一项断言都有已收集、经过哈希校验并记录保管链的工件作为支撑。 ## 标准对齐 基于 **NIST SP 800-61**（IR 生命周期）和 **NIST SP 800-82 Rev 3**（OT 安全）构建，按照 **IEC 62443** 进行遏制和分区，通过 **MITRE ATT&CK for ICS** 进行对手技术映射，并根据 **RFC 3227** 的易失性顺序（经 OT 适配）处理证据。监管报告指南位于 [`docs/05-communications-and-regulatory.md`](docs/05-communications-and-regulatory.md) —— 请与您的法务团队和监管机构核实当前的报告阈值。 ## 作者 Mahesh Reddy — OT/ICS 安全 · GICSP, SANS ICS410, Nozomi 认证 ## 许可证 MIT — 请参阅 [`LICENSE`](LICENSE)。

标签：IT与OT融合, PKINIT, 工控安全, 库, 应急响应, 操作规程, 数字取证, 标准规范, 自动化脚本, 防御加固