范围
事件发生前、发生中与发生后
事件响应涵盖准备、检测与分析、遏制、根除与恢复，以及事后总结。NIST SP 800-61 Rev. 3（2025）将其对应到 CSF 2.0 的六项职能：Govern、Identify、Protect、Detect、Respond 与 Recover。保留服务既涵盖前期的准备工作，也涵盖事发时的快速响应，这样您就不必在入侵进行时再去商谈工作范围。
通常范围
- 带保证响应时间 SLA 与指定升级路径的保留服务
- 准备：IR 计划评审、行动手册与就绪评估
- 检测与分析：分级、范围界定与取证调查（DFIR）
- 遏制、根除与恢复支持
- 根因分析与一份事后总结报告
- 如有需要，可经由您的法律顾问委托
我们如何工作
一套基于标准的生命周期
我们按 NIST SP 800-61 Rev. 3 与 CSF 2.0 各项职能开展工作，并将对手活动对照 MITRE ATT&CK 映射，使调查有章可循、叙述经得起推敲。如有需要，您可以经由法律顾问委托我们。
- 1
准备
在任何事件发生之前，我们就在保留服务框架下评审您的 IR 计划，以书面形式约定响应时间与升级路径，并签署 NDA。
- 2
检测与分析
在启动响应时，我们进行分级、界定事件范围，并开展取证调查以查明发生了什么。
- 3
遏制
我们帮您遏制事件以止住损失，同时保全取证证据。
- 4
根除与恢复
我们帮您清除据点、封堵入侵途径，并将系统安全地恢复上线。
- 5
事后复盘
我们交付根因分析与经验总结，让同一条路径无法被再次利用。
方法论与标准
遵循 NIST SP 800-61 Rev. 3（CSF 2.0）
NIST SP 800-61r3DFIRMITRE ATT&CK（v19）响应时间 SLA经由您的法律顾问经验总结
保留服务遵循 NIST SP 800-61 Rev. 3（2025），该版本围绕 CSF 2.0 的各项职能（Govern、Identify、Protect、Detect、Respond、Recover）组织事件响应。我们的项目阶段从准备开始，经检测与分析、遏制、根除与恢复，直至事后复盘，并将攻击者活动对照 MITRE ATT&CK 映射。如您希望，项目可经由您的法律顾问委托；是否适用法律特权，由您的法律顾问判断。响应时间承诺在保留服务协议中确定。