7.BM1 藍隊專業來源卡 on Tarragon

NIST SP 800-61r3：事故回應作為風險管理能力

Thu, 30 Apr 2026 00:00:00 +0000

NIST SP 800-61r3 的素材責任是把事故回應放進整體資安風險管理。NIST 在 2025 年 4 月發布 Rev. 3，並說明它取代 2012 年的 Rev. 2，定位為 CSF 2.0 community profile。

來源定位

NIST SP 800-61 Rev. 3 適合支撐「事故回應需要跨 Identify、Protect、Detect、Respond、Recover、Govern」的論點。它把 incident response 從單一救火流程，轉成涵蓋治理、偵測、回應與復原的風險管理能力。

可引用論點

可引用論點	藍隊轉譯
事故回應屬於風險管理	7.B 可把 incident routing 接到治理例外與 tripwire
CSF 2.0 六大功能都參與	控制面地圖需要同時包含偵測、回應、復原與治理
回應效率需要前置準備	runbook、owner、evidence chain 要在事故前建立

後端服務轉譯

後端服務引用這張卡時，重點是把事故回應拆成工程欄位。常見欄位包含 signal、severity、owner、containment action、rollback route、evidence target 與 post-incident write-back。

引用限制

NIST 適合提供流程與治理基準，具體控制項仍要回到服務架構轉譯。若文章要討論 API gateway、queue、artifact registry 或 database 的細節，需搭配 05/06/08 實作章節補足。

CISA Playbooks：事故與漏洞回應程序

Thu, 30 Apr 2026 00:00:00 +0000

CISA Playbooks 的素材責任是提供事故與漏洞回應的操作程序。CISA 將 playbooks 定位為規劃與執行 incident response、vulnerability response 的標準程序，並提供識別、協調、修復、復原與追蹤緩解狀態的流程。

來源定位

CISA Federal Government Cybersecurity Incident and Vulnerability Response Playbooks 適合支撐「藍隊流程需要 checklist、狀態追蹤與協調節點」的論點。它對後端章節特別有用，因為漏洞回應常需要在 patch、隔離、限縮存取、提升監控與回復節奏之間做取捨。

可引用論點

可引用論點	藍隊轉譯
Incident 與 vulnerability 分流	7.B2 可區分惡意活動處置與漏洞曝險處置
回應流程需要協調與追蹤	08 章可承接 owner、狀態、證據與通報
緩解可以先於完整修補	05/06 章可承接隔離、限縮與監控提升

後端服務轉譯

後端服務引用這張卡時，重點是把漏洞回應轉成可交接的狀態機。狀態可包含 observed、triaged、mitigated、patched、validated、reported 與 closed。

引用限制

CISA Playbooks 適合支撐程序與協作，技術細節需要依服務邊界重寫。API 服務、資料庫、CI/CD 與雲端控制面的緩解做法各有 owner 與驗證方式。

MITRE D3FEND：防守技術詞彙地圖

Thu, 30 Apr 2026 00:00:00 +0000

MITRE D3FEND 的素材責任是提供防守技術的共用詞彙。D3FEND 把 countermeasure techniques 與 adversary techniques 建成知識圖譜，適合用來統一控制面、偵測能力與防守設計語言。

來源定位

MITRE D3FEND 與 D3FEND FAQ 適合支撐「防守控制面需要標準詞彙」的論點。FAQ 明確說明 D3FEND 是 defensive cybersecurity techniques 的 knowledge graph，並說明它的主要目標是標準化描述防守技術功能的 vocabulary。

可引用論點

可引用論點	藍隊轉譯
防守技術需要標準詞彙	7.B1 控制面地圖可用 D3FEND 統一命名
防守技術可對應攻擊技術	7.B 可把 red-team problem card 轉成防守控制面
技術詞彙服務架構決策	05/06/08 可用同一語言交接控制能力

後端服務轉譯

後端服務引用這張卡時，重點是把「防守技術名稱」轉成「服務控制面欄位」。例如 access control、credential protection、message validation、artifact verification 與 monitoring 都需要 owner、訊號與驗證證據。

引用限制

D3FEND 適合作為詞彙與關係地圖，優先序、投資順序與效果驗證仍要回到服務風險、事件資料與控制測試。

MITRE ATT&CK Evaluations：威脅導向驗證素材

Thu, 30 Apr 2026 00:00:00 +0000

MITRE ATT&CK Evaluations 的素材責任是示範防守能力如何用 adversary emulation 驗證。它以 ATT&CK knowledge base 為基礎，用公開威脅情報與透明方法評估安全產品如何偵測、回應與呈現攻擊行為。

來源定位

MITRE ATT&CK Evaluations impact story 適合支撐「藍隊驗證需要 threat-informed、evidence-based、transparent methodology」的論點。2025 enterprise evaluation news 也顯示評估正在涵蓋 cloud、identity 與 multi-platform 威脅。

可引用論點

可引用論點	藍隊轉譯
驗證需要 adversary behavior	7.B3 可用攻擊路徑設計控制測試
評估結果需要 evidence-based	偵測規則要保留測試資料、觸發證據與分析結論
雲端與身份威脅需要納入	7.10 與 7.B 可連接 workload identity 與 cloud control

後端服務轉譯

後端服務引用這張卡時，重點是把 adversary emulation 翻成可演練的服務場景。場景可以從 identity abuse、edge exploitation、supply chain tampering 或 data exfiltration 開始，再檢查 detection、triage、containment 與 evidence。

引用限制

ATT&CK Evaluations 適合支撐驗證方法與透明度要求，特定廠商結果需要依自身環境、資料源、部署方式與操作流程解讀。

Sigma：偵測規則生命週期素材

Thu, 30 Apr 2026 00:00:00 +0000

Sigma 的素材責任是提供跨 SIEM 的偵測規則描述語言。Sigma rules 使用 YAML 描述 logsource、detection、condition、falsepositives 與 level，適合支撐 detection-as-code 與規則維護流程。

來源定位

Sigma Rules documentation 適合支撐「偵測規則需要明確資料源、條件、誤報說明與等級」的論點。Sigma Conditions documentation 則適合支撐「偵測邏輯需要可讀的 AND/OR/NOT 與 filter 表達」。

可引用論點

可引用論點	藍隊轉譯
規則需要 logsource	7.B2 的 signal 要標明來源系統
規則需要 condition	偵測邏輯要可 review、可測試
規則需要 falsepositives	誤報情境要進 triage 與調校流程
規則需要 level	severity 與 escalation 可接到 08

後端服務轉譯

後端服務引用這張卡時，重點是把 detection rule 當成生命週期資產。每條規則都需要來源、觸發條件、測試事件、誤報說明、調校紀錄、owner 與退場條件。

引用限制

Sigma 適合支撐規則格式與維護欄位，實際查詢語法、資料品質與 alert 噪音要依 SIEM、log schema 與服務流量特性調校。

Mandiant M-Trends 2025：防守現場壓力素材

Thu, 30 Apr 2026 00:00:00 +0000

Mandiant M-Trends 2025 的素材責任是提供防守現場壓力。Mandiant 以第一線調查經驗整理攻擊者如何提升複雜度、繞過偵測、利用 edge device 與延長停留時間。

來源定位

M-Trends 2025 適合支撐「防守設計需要面對攻擊者繞過與低可見度資產」的論點。文章提到攻擊者會使用 zero-day、edge devices、proxy networks、custom malware ecosystems 與 obfuscation 來延長存活時間。

可引用論點

可引用論點	藍隊轉譯
Edge device 可見度壓力	7.3 與 7.B2 需要補入口與管理面訊號
客製化 malware 壓力	7.B3 需要用行為與證據鏈驗證控制面
Proxy 與 obfuscation 壓力	7.B4 演練要包含低信心訊號與關聯分析

後端服務轉譯

後端服務引用這張卡時，重點是把高階威脅趨勢轉成可演練情境。典型情境包含管理入口異常、身份來源異常、低頻資料外送、artifact 來源偏移與偵測訊號延遲。

引用限制

Mandiant 適合支撐現場壓力與威脅趨勢，控制面設計仍要結合自身服務資料源、攻擊面、部署拓撲與事故承接能力。

SANS Detection Engineering Survey：偵測工程職能素材

Thu, 30 Apr 2026 00:00:00 +0000

SANS Detection Engineering Survey 的素材責任是提供偵測工程職能與流程成熟度觀察。它適合支撐「藍隊需要把偵測規則當成可維護工程資產」的論點。

來源定位

2025 SANS Detection Engineering Survey 適合支撐 detection engineering 在現代 security operations 中持續演進的論點。2026 SANS detection engineering webcast 則顯示 accuracy、automation 與 AI adoption 已經成為偵測工程討論重點。

可引用論點

可引用論點	藍隊轉譯
Detection engineering 是持續職能	7.B2 規則維護需要 owner、review cadence 與測試
Accuracy 與 automation 是重點	7.B3 驗證要包含誤報、漏報與自動化邊界
協作流程影響偵測品質	7.B4 演練要納入 analyst、engineer 與 service owner

後端服務轉譯

後端服務引用這張卡時，重點是把偵測工程放進服務交付流程。每個高風險服務變更都可以同步檢查 log schema、rule coverage、alert routing、owner 與回寫節奏。

引用限制

SANS 適合支撐職能趨勢與流程討論，具體偵測策略仍要回到服務事件資料、攻擊面與既有工具能力。