核心論點

資安演練的核心概念是「用受控情境驗證控制面與協作流程」。Abuse case 提供攻擊或濫用假設，game day 驗證團隊能否在訊號、角色與決策節奏上完成收斂。

讀者入口

本篇適合銜接 7.R11 流程濫用問題卡片、7.16 從公開事故到工程 Workflow 與 Game Day。它把資安案例庫轉成演練材料。

演練模型

演練模型的責任是把不同粒度的材料放在同一條路徑上：

這條路徑的關鍵是先用抽象層材料定義問題，再用現場演練驗證行為。如此可以讓同一張 problem card 在不同服務情境重用。

演練前置設計

演練前置設計的責任是讓每次演練都能回答同一組問題，並用固定欄位維持命名一致性。建議欄位如下：

1. Scenario：定義服務情境與風險邊界。
2. Trigger：定義演練起點訊號。
3. Roles：定義決策角色與操作角色。
4. Expected path：定義預期路由與完成條件。
5. Evidence：定義演練後要保留的證據。

Tabletop 演練

Tabletop 的責任是驗證決策與協作。重點是讓角色在時間壓力下仍能維持一致路由，並把升級流程與外部溝通節奏跑過一次。

Tabletop 推薦輸出：

1. Decision timeline：每個決策點何時產生、由誰承接。
2. Escalation record：何時升級、升級依據為何。
3. Gap list：本輪找到的流程缺口。

Game Day 演練

Game day 的責任是驗證系統與流程在真實操作下的穩定度。重點是把 control path、alert path、recovery path 串在同一輪場景。

Game day 推薦輸出：

1. Signal evidence：告警、log、metric、trace 片段。
2. Control evidence：release gate、rollback、token revocation 操作記錄。
3. Write-back task：對應回寫到章節與卡片的位置。

演練回寫流程

演練回寫的責任是讓演練成果進入知識網。建議回寫順序：

1. 先回寫 problem card 的失效樣式與補強點。
2. 再回寫 7.x 判讀訊號與風險邊界描述。
3. 最後回寫 incident workflow 的任務模板與檢查點。

兩種常見演練場景

1. 身份與會話場景：檢查 token 濫用、權限收斂與 session 失效節奏。
2. 供應鏈場景：檢查 artifact provenance、release freeze、tripwire 與放行條件。

判讀訊號與路由

判讀表格的重點是從訊號直接推到下一步行動。這種路由格式可以直接轉成演練 backlog。

必連章節

• 7.R7 事故案例庫
• 7.R8 控制面失效樣式
• 7.R11 流程濫用問題卡片
• 7.16 從公開事故到工程 Workflow

完稿判準

完稿時要讓讀者能用一張 problem card 建立一次資安演練。演練設計至少包含場景、角色、訊號、決策點、操作證據、關閉條件與回寫位置。

概念位置

Resiliency matrix 位在 blast radius 與 readiness 之間。它把失敗模式盤點（FMEA / pre-mortem）的產出結構化成可追蹤矩陣，並驅動 game day 演練題目的選擇 — gap 欄直接成為演練的優先目標。

可觀察訊號與例子

需要 resiliency matrix 的訊號是團隊知道有風險但不確定哪些已有防護。典型例子是高峰活動前的準備流程：把所有關鍵服務列成行、所有失敗模式（依賴斷線 / 容量超限 / 資料污染 / 配置漂移）列成列，逐格檢查防護狀態。Shopify 在 BFCM 準備中使用這個工具把年度驗證進度視覺化。

設計責任

Resiliency matrix 的責任是把 reliability debt 從模糊的「我們知道有缺口」變成可排序、可追蹤的清單。它的維護節奏跟 6.21 reliability debt backlog 對齊 — 每次演練後更新 matrix 的 gap/covered 狀態，每季 review matrix 的完整性。matrix 變成文件而不是工具（超過 6 個月未更新、gap 無 owner）是治理失敗的訊號。

核心論點

Tabletop 與 game day 的核心概念是「用受控演練驗證角色、訊號、決策與操作證據」。Tabletop 驗證協作與決策，game day 驗證系統與流程能否實際承接。

讀者入口

本篇適合銜接 7.19 資安演練：從 Abuse Case 到 Game Day、7.B2 從偵測到回應的路由 與 Game Day。

演練設計欄位

演練設計欄位的重點是讓演練可重複。當 scenario、injects、expected actions 固定，團隊可以跨季度比較能力變化。

選題來源

選題來源的責任是讓演練對準實際風險。建議優先順序：

1. 已出現在 problem card 的高風險流程。
2. 近期發生變更的關鍵系統。
3. 近期公開事故對應的同類場景。

Tabletop 設計

Tabletop 設計的責任是驗證角色協作與決策節奏。這一層可在不動系統的前提下，先跑完整個判讀與升級路由。

Tabletop 推薦輸出：

1. Decision timeline。
2. Escalation transitions。
3. Communication script。
4. Write-back draft。

Game Day 設計

Game day 設計的責任是驗證實際操作能力。這一層會執行告警處理、控制面操作、放行或回復流程，並收集完整證據。

Game day 推薦輸出：

1. Signal evidence：告警、log、metric、trace。
2. Action evidence：runbook 操作、gate 決策、rollback 記錄。
3. Closure evidence：關閉條件驗證與回寫任務。

演練觀察與回寫

演練觀察的責任是把事後改進對齊到章節結構。建議每次演練至少回寫三個位置：

1. blue-team 路由與驗證章節。
2. red-team problem cards 失效樣式。
3. incident workflow 檢查點與 owner map。

演練節奏建議

演練節奏的責任是建立可持續運作 cadence。建議以「月度 tabletop + 季度 game day」組合，並把每輪成果寫入固定回寫模板。

判讀訊號與路由

判讀表格可以當作演練發起條件。當任一列被命中，團隊就有清楚起點啟動演練設計。

必連章節

• 7.R11 流程濫用問題卡片
• 7.16 從公開事故到工程 Workflow
• 7.19 資安演練：從 Abuse Case 到 Game Day
• 7.B3 資安控制驗證

完稿判準

完稿時要讓讀者能設計一次 tabletop 或 game day。演練設計至少包含 scenario、participants、injects、expected actions、evidence、exit condition 與 write-back target。

核心論點

Scenario library 的核心概念是把防守知識轉成可重播情境。可重播情境讓控制驗證從一次性討論變成可累積資產。

讀者入口

本篇適合銜接 7.B4 Tabletop 與 Game Day 設計、7.BM3 藍隊推演情境素材 與 7.B7 Threat-Informed Validation。

情境卡模板

初始情境組合

初始情境組合的責任是聚焦高價值風險。可先固定四組：

1. Identity Support Token Tabletop：支援流程、session token 與客戶通報。
2. Edge Session Hijack Game Day：入口曝險、修補後 hunting 與 session invalidation。
3. Supply Chain Artifact Drill：artifact provenance、release freeze 與 rollback。
4. Low-frequency Exfiltration Tabletop：資料範圍判讀、通報與證據保存。

Source-first 情境規則

情境庫的責任是把真實案例轉成可重播演練。每張情境卡都要能回查到 field case 或 professional source，並把事件細節轉譯成通用服務壓力。

Source-first 讓情境保留真實防守壓力，同時避免把單一公司事件寫成讀者必須照抄的流程。情境卡負責抽出 trigger、hypothesis、control surface、response route、evidence target 與 write-back target。

演練節奏

演練節奏的責任是讓情境能持續更新。每輪演練後同步更新觸發條件、分級基準、證據欄位與 runbook，並記錄下一輪要驗證的假設。

指標設計

指標設計的責任是評估情境品質。建議追蹤命中率、triage 時間、升級一致性、證據完整度與回寫完成率。

判讀訊號與路由

必連章節

• 7.B4 Tabletop 與 Game Day 設計
• 7.B6 Incident Triage Loop
• 7.B7 Threat-Informed Validation
• 7.BM3 藍隊推演情境素材
• 7.BM2 藍隊現場案例素材

完稿判準

完稿時要讓讀者能把一個風險轉成可演練情境。輸出至少包含 trigger、hypothesis、control surface、response route、evidence target 與 write-back target。

Scenario Trigger

外部 advisory 指出 edge gateway 存在已被利用的 session disclosure vulnerability。平台團隊已完成 patch，但 SOC 仍看到部分高權限 session 在異常來源延續。

Initial Hypothesis

Control Surface

控制面包含 public entrypoint、patch management、session invalidation、containment、hunting 與 incident severity。

Response Route

1. Observed：確認 CVE、暴露資產與 patch 狀態。
2. Assessed：比對 IOC、session activity 與 high-risk account。
3. Mitigated：限縮 gateway access、撤銷 session、提升監控。
4. Validated：確認新 session policy、log coverage 與 downstream audit。
5. Closed：更新 vulnerability response 與 edge runbook。

Evidence Target

Write-back Target

• 7.3 入口治理與伺服器防護
• 7.B11 Vulnerability Response State Machine
• Vulnerability response pattern
• Evidence chain pattern

支撐素材

欄位

判讀訊號

適用邊界

此模式適合 tabletop、game day、incident postmortem 與 threat-informed validation。小型演練可保留 finding、owner 與 due date，重大演練要完整回寫控制面與 tripwire。

下一步路由

• 7.B4 Tabletop 與 Game Day 設計
• 7.24 資安事故如何回寫產品與架構
• Low-frequency exfiltration tabletop