incident-response-forensics-standards

用于安全事件的技术响应与调查——遵循 NIST SP 800-61r3 和 SANS PICERL 阶段，实施保留证据的遏制措施，按照 RFC 3227 易失性顺序采集数据，进行内存和磁盘镜像，执行哈希校验与监管链管理，获取云快照及控制平面日志，收集容器与临时性工件，利用 plaso/log2timeline 和 Timesketch 构建超级时间线，使用 Velociraptor、GRR、KAPE、Volatility 3、Autopsy/Sleuth Kit、YARA-X、CyberChef 等工具，完成 IOC 与 ATT&CK 映射，执行根除操作并从可信源重建系统，开展大规模凭据与令牌轮换，应对勒索软件、身份泄露、供应链攻击及内部威胁场景，遵守 GDPR、NIS2 和 DORA 下的违规通知时限要求。

存档时间线

版本索引永久保留；内容副本只保留最新 1 份，更早版本仅留索引与哈希（存档时间线的证据链不会因此断裂）。

下载存档内容副本