Cyber Security Academy · บทเรียน

คู่มือปฏิบัติและระบบติดตามงาน

การทำตามคู่มือปฏิบัติและติดตามเหตุการณ์

บทเรียน 3 จาก 413 ขั้นตอน

คู่มือปฏิบัติและระบบติดตามงาน เป็นบทเรียน Cyber Security Academy ฟรีบน CoddyKit นี่คือบทเรียนที่ 3 จากทั้งหมด 4 บทเรียน คุณสามารถอ่านบทเรียนทั้งหมดด้านล่างฟรี — จากนั้นลองปฏิบัติด้วยตัวคุณเองในเบราว์เซอร์พร้อมตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7 บทเรียนนี้เป็นส่วนหนึ่งของเส้นทางการเรียน Cyber Security Academy และความก้าวหน้าของคุณจะซิงค์ข้ามเว็บและแอป CoddyKit คอร์ส Cyber Security Academy มีบทเรียนทั้งหมด 4 บทเรียน

เหตุใดจึงมีคู่มือปฏิบัติการ

คู่มือปฏิบัติการหรือคู่มือดำเนินงาน คือขั้นตอนที่จัดทำไว้เป็นเอกสารและเรียงลำดับทีละขั้นสำหรับจัดการการแจ้งเตือนหรือเหตุการณ์ประเภทใดประเภทหนึ่ง คู่มือปฏิบัติการทำให้การตอบสนองสม่ำเสมอ รวดเร็ว และตรวจสอบได้

หากไม่มีคู่มือปฏิบัติการ นักวิเคราะห์สองคนอาจจัดการการแจ้งเตือนฟิชชิงเดียวกันด้วยวิธีที่แตกต่างกันอย่างมาก แต่เมื่อมีคู่มือ คุณภาพการตอบสนองจะไม่ขึ้นอยู่กับว่าใครกำลังปฏิบัติงานอยู่

โครงสร้างของคู่มือปฏิบัติการ

คู่มือปฏิบัติการที่ดีมีโครงสร้างที่คาดเดาได้ เพื่อให้นักวิเคราะห์ทำตามได้แม้อยู่ภายใต้ความกดดัน:

ตัวกระตุ้น — การแจ้งเตือนหรือเงื่อนไขใดเรียกใช้คู่มือนี้
ขอบเขต — คู่มือนี้ครอบคลุมอะไรและไม่ครอบคลุมอะไร
ขั้นตอน — การดำเนินการสืบสวนและตอบสนองตามลำดับ
จุดตัดสินใจ — ตรรกะการแยกแขนงสำหรับสิ่งที่ค้นพบแต่ละแบบ
เกณฑ์การยกระดับ — เมื่อใดควรส่งต่อ
เงื่อนไขการปิดเรื่อง — เมื่อใดกรณีจึงเสร็จสิ้น

ตัวอย่างคู่มือปฏิบัติการฟิชชิง

ลองพิจารณาอีเมลฟิชชิงที่มีผู้รายงาน คู่มือปฏิบัติการทั่วไปจะระบุขั้นตอนที่ชัดเจนไว้ดังนี้:

1. Pull the original email (headers, body, attachments)
2. Extract IOCs: sender, URLs, attachment hashes
3. Check URL/hash reputation
4. Search mail logs: who else received it?
5. Check if anyone clicked or replied
6. If malicious: purge from all mailboxes
7. Block sender domain and URLs
8. If credentials entered: reset passwords, escalate
9. Notify affected users
10. Close ticket with IOCs and actions taken

จุดตัดสินใจและการแยกแขนง

เหตุการณ์จริงไม่ได้ดำเนินไปเป็นเส้นตรง คู่มือปฏิบัติการจึงมีจุดตัดสินใจที่แยกแขนงตามสิ่งที่คุณค้นพบ

ตัวอย่างเช่น ในคู่มือปฏิบัติการฟิชชิง:

มีใครคลิกลิงก์หรือไม่ หากไม่มี ให้ควบคุมและปิดเรื่อง หากมี ให้แยกไปจัดการกรณีข้อมูลรับรองถูกบุกรุก
มีการกรอกข้อมูลรับรองหรือไม่ หากมี ให้บังคับรีเซ็ตรหัสผ่านและตรวจสอบการเข้าสู่ระบบที่น่าสงสัย

การแยกแขนงช่วยให้คู่มือปฏิบัติการมีสัดส่วนเหมาะสม กล่าวคือใช้ความพยายามน้อยกับรายงานที่ไม่เป็นอันตราย และดำเนินการตอบสนองเต็มรูปแบบกับการบุกรุกจริง

ระบบจัดการใบงาน

ระบบ จัดการใบงาน (การจัดการกรณี) คือระบบบันทึกข้อมูลหลักสำหรับการแจ้งเตือนและเหตุการณ์ทุกกรณี แต่ละกรณีจะเป็นใบงานที่ติดตามการสืบสวนตั้งแต่ต้นจนจบ

แพลตฟอร์มที่ใช้กันทั่วไป ได้แก่ ตัวจัดการกรณีของ SOAR, ServiceNow, จิรา หรือเครื่องมือ IR เฉพาะทาง ใบงานเป็นที่เก็บหลักฐาน ลำดับเวลา และการตัดสินใจ เพื่อไม่ให้สิ่งใดขึ้นอยู่กับความจำหรือข้อความแชต

องค์ประกอบของใบงานที่ดี

ใบงานที่มีประโยชน์จะบันทึกทุกสิ่งที่จำเป็นต่อการทำความเข้าใจและตรวจสอบกรณี:

ชื่อเรื่อง — กระชับและเฉพาะเจาะจง
ระดับความรุนแรงและสถานะ
ทรัพย์สินและผู้ใช้ที่ได้รับผลกระทบ
ลำดับเวลา ของขั้นตอนการสืบสวนพร้อมเวลาประทับ
หลักฐานและตัวบ่งชี้การบุกรุก
การสรุปผลและการดำเนินการที่ทำไป

เขียนใบงานเสมือนว่าคนแปลกหน้าจะมาอ่านระหว่างการตรวจสอบในอีกหนึ่งปีข้างหน้า เพราะอาจเป็นเช่นนั้นจริง

ช่องสถานะและระดับความรุนแรง

ช่อง สถานะ และ ระดับความรุนแรง ที่สอดคล้องกันช่วยให้จัดการคิวงานได้ง่ายและทำให้ตัวชี้วัดมีความหมาย

Status:   New -> In Progress -> Escalated -> Resolved -> Closed

Severity:
  SEV1  Critical - active breach, major impact
  SEV2  High     - confirmed threat, contained
  SEV3  Medium   - suspicious, under investigation
  SEV4  Low      - informational / false positive

ลำดับการครอบครองหลักฐาน

เมื่อเหตุการณ์อาจนำไปสู่การดำเนินคดีหรือเกี่ยวข้องกับฝ่าย HR การจัดการหลักฐานย่อมมีความสำคัญ ลำดับการครอบครองหลักฐาน จะบันทึกว่าใครเป็นผู้เก็บรวบรวมหลักฐานแต่ละชิ้น เก็บเมื่อใด และจัดเก็บไว้อย่างไร

ใบงานช่วยสนับสนุนเรื่องนี้ด้วยการบันทึก:

เวลาและแหล่งที่มาที่แน่นอนของข้อมูลแต่ละชิ้น
นักวิเคราะห์ผู้เก็บรวบรวมข้อมูลนั้น
ค่าแฮชที่ยืนยันว่าหลักฐานไม่ได้ถูกแก้ไข

การจัดการหลักฐานอย่างหละหลวมอาจทำให้ข้อค้นพบไม่สามารถใช้เป็นพยานหลักฐานได้หรือถูกโต้แย้ง

SLA และการติดตามเวลา

ใบงานบังคับใช้ ข้อตกลงระดับการให้บริการ (SLA) ซึ่งกำหนดว่าต้องรับทราบและแก้ไขการแจ้งเตือนภายในเวลาเท่าใดตามระดับความรุนแรง

ตัวอย่างเป้าหมาย SLA:

ระดับความรุนแรง 1: รับทราบภายใน 15 นาที
ระดับความรุนแรง 2: รับทราบภายใน 1 ชั่วโมง
ระดับความรุนแรง 3: ตอบสนองภายใน 4 ชั่วโมง

เวลาประทับในใบงานจะนำไปคำนวณตัวชี้วัดที่แสดงว่า SOC ปฏิบัติตามข้อผูกพันเหล่านี้ได้หรือไม่

การดูแลคู่มือปฏิบัติการให้เป็นปัจจุบัน

คู่มือปฏิบัติการจะเสื่อมสภาพหากไม่ได้รับการดูแล เครื่องมือเปลี่ยนแปลง ผู้โจมตีพัฒนาวิธีการใหม่ และขั้นตอนต่าง ๆ ล้าสมัย จงถือว่าคู่มือปฏิบัติการเป็นเอกสารที่ต้องปรับปรุงอยู่เสมอ

ปรับปรุงคู่มือเมื่อ:

มีการเพิ่มเครื่องมือหรือแหล่งข้อมูลใหม่
การทบทวนหลังเหตุการณ์เผยให้เห็นช่องว่าง
มีเทคนิคการโจมตีแบบใหม่เกิดขึ้น
นักวิเคราะห์พบขั้นตอนที่ทำให้สับสนหรือไม่ถูกต้อง

ควบคุมรุ่นของคู่มือปฏิบัติการและทบทวนตามกำหนดเวลา

คู่มือปฏิบัติการกับระบบอัตโนมัติ

ขั้นตอนจำนวนมากในคู่มือปฏิบัติการเป็นงานเชิงกลไกและเหมาะอย่างยิ่งกับ ระบบอัตโนมัติของ SOAR การทำงานเหล่านี้ให้เป็นอัตโนมัติช่วยให้นักวิเคราะห์มีเวลาทำงานที่ต้องใช้วิจารณญาณมากขึ้น

ขั้นตอนที่มักทำให้เป็นอัตโนมัติ:

ดึงอีเมลต้นฉบับและแยกตัวบ่งชี้การบุกรุก
ตรวจสอบชื่อเสียงของข้อมูล
ลบจดหมายประสงค์ร้ายออกจากกล่องจดหมายทั้งหมด
อัปเดตใบงานด้วยข้อค้นพบ

นักวิเคราะห์ยังคงเป็นผู้ตัดสินใจเรื่องสำคัญ ระบบอัตโนมัติเพียงดำเนินการในส่วนที่เป็นงานประจำให้เร็วขึ้นและสม่ำเสมอ

ตรวจสอบความเข้าใจ

ทดสอบความเข้าใจเกี่ยวกับคู่มือปฏิบัติการและการจัดการใบงาน

ตอบคำถามในบทเรียนแบบโต้ตอบ

ทบทวน

คุณได้เรียนรู้ว่าคู่มือปฏิบัติการและการจัดการใบงานช่วยจัดโครงสร้างการทำงานของ SOC อย่างไร:

คู่มือปฏิบัติการ ให้ขั้นตอนที่สอดคล้องและทำซ้ำได้ พร้อมจุดตัดสินใจและเกณฑ์การยกระดับ
ระบบจัดการใบงาน คือระบบบันทึกข้อมูลหลักสำหรับทุกกรณี
ใบงานที่ดีบันทึกลำดับเวลา หลักฐาน ตัวบ่งชี้การบุกรุก การสรุปผล และสนับสนุน ลำดับการครอบครองหลักฐาน
SLA กำหนดเป้าหมายเวลาตอบสนองซึ่งติดตามจากเวลาประทับในใบงาน
ดูแลคู่มือปฏิบัติการให้เป็นปัจจุบันและทำให้ขั้นตอนเชิงกลไกเป็นอัตโนมัติด้วย SOAR

ถัดไป คุณจะวัดประสิทธิภาพการทำงานของ SOC โดยใช้ MTTD และ MTTR

เริ่มต้นได้ฟรี

เรียนรู้ Cyber Security Academy ด้วย AI tutor — ฟรี

เขียนและเรียกใช้โค้ดจริงในเบราว์เซอร์ของคุณ รับความช่วยเหลือทันทีจาก AI tutor 24/7 และเรียนรู้ต่อจากที่คุณหยุดบนเว็บหรือในแอป

คอร์ส: 76
บทเรียน: 303

เริ่มเรียนฟรี ดูหลักสูตรเต็ม

คำถามที่พบบ่อย

บทเรียน “คู่มือปฏิบัติและระบบติดตามงาน” ฟรีหรือไม่

ใช่ — ข้อความเต็มของ “คู่มือปฏิบัติและระบบติดตามงาน” ฟรีให้อ่านที่นี่บนเว็บ เพื่อปฏิบัติแบบโต้ตอบ (ตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7) และปลดล็อคส่วนที่เหลือของคอร์ส Cyber Security Academy ให้อัปเกรดเป็น CoddyKit PRO คอร์ส Cyber Security Academy มีบทเรียนทั้งหมด 4 บทเรียน

คุณจะเรียนรู้อะไรในบทเรียน “คู่มือปฏิบัติและระบบติดตามงาน”

การทำตามคู่มือปฏิบัติและติดตามเหตุการณ์ คุณปฏิบัติ Cyber Security Academy ด้วยโค้ดที่ใช้งานได้จริงที่คุณเรียกใช้โดยตรงในเบราว์เซอร์ และติวเตอร์ AI ตลอด 24/7 ตอบคำถามของคุณขณะที่คุณไปผ่านบทเรียน

คุณต้องมีประสบการณ์ก่อนที่จะเริ่มเรียน Cyber Security Academy หรือไม่

ไม่จำเป็นต้องมีประสบการณ์มาก่อน Cyber Security Academy บน CoddyKit ออกแบบมาสำหรับผู้เริ่มต้นไปจนถึงผู้เรียนขั้นสูง คุณสามารถเริ่มต้นที่นี่หรือเริ่มจากตัวแรกและเรียนด้วยความเร็วของคุณเอง นี่คือบทเรียนที่ 3 จากทั้งหมด 4 บทเรียน

บทเรียน “คู่มือปฏิบัติและระบบติดตามงาน” ใช้เวลานานแค่ไหน

บทเรียน CoddyKit ส่วนใหญ่ใช้เวลาประมาณ 5–10 นาที แต่ละบทเรียนจึงสั้นและเป็นแบบโต้ตอบ คุณสามารถก้าวหน้าอย่างต่อเนื่องและกลับมาเรียนต่อจากตรงที่เพิ่งหยุดบนเว็บและแอปได้เลย

ฉันเขียนและรันโค้ดในบทเรียน Cyber Security Academy นี้ได้ไหม

ได้ บทเรียน Cyber Security Academy ทุกบทมีตัวแก้ไขโค้ดในตัว คุณจึงเขียนและรันโค้ดจริงได้เลยในเบราว์เซอร์ และได้รับข้อเสนอแนะจาก AI ในทันที — ไม่ต้องติดตั้งในเครื่องของคุณ

บทเรียนทั้งหมดในหลักสูตรนี้

← กลับไปที่ Cyber Security Academy