Severity on Tarragonhttps://tarrragon.github.io/blog/tags/severity/Recent content in Severity on TarragonHugo -- gohugo.iozh-TWTarragon (CC BY 4.0)Thu, 30 Apr 2026 00:00:00 +00007.B6 Incident Triage Loophttps://tarrragon.github.io/blog/backend/07-security-data-protection/blue-team/incident-triage-loop/Thu, 30 Apr 2026 00:00:00 +0000https://tarrragon.github.io/blog/backend/07-security-data-protection/blue-team/incident-triage-loop/<p>本篇的責任是建立 incident triage loop。讀者讀完後，能把 alert 與外部通報轉成分級、接手、處置與回寫循環。</p> <h2 id="核心論點">核心論點</h2> <p>Incident triage loop 的核心概念是讓訊號推動一致決策。循環一旦固定，團隊在壓力下仍能用同一組欄位完成判讀與交接。</p> <h2 id="讀者入口">讀者入口</h2> <p>本篇適合銜接 <a href="https://tarrragon.github.io/blog/backend/07-security-data-protection/blue-team/detection-to-response-routing/" data-link-title="7.B2 從偵測到回應的路由" data-link-desc="建立資安偵測訊號如何轉成 triage、severity、升級與 incident workflow 的大綱">7.B2 從偵測到回應的路由</a>、<a href="https://tarrragon.github.io/blog/backend/07-security-data-protection/blue-team/detection-engineering-lifecycle/" data-link-title="7.B5 Detection Engineering Lifecycle" data-link-desc="把偵測規則視為可維護資產，建立從來源、測試、調校到退場的完整生命週期">7.B5 Detection Engineering Lifecycle</a> 與 <a href="https://tarrragon.github.io/blog/backend/knowledge-cards/incident-severity/" data-link-title="Incident Severity" data-link-desc="說明事故分級如何把產品影響轉成對應處置節奏">incident severity</a>。</p> <h2 id="triage-循環欄位">Triage 循環欄位</h2> <table> <thead> <tr> <th>欄位</th> <th>責任</th> <th>產出</th> </tr> </thead> <tbody> <tr> <td>Signal intake</td> <td>收斂初始訊號與來源</td> <td>alert record</td> </tr> <tr> <td>Triage question</td> <td>建立第一輪判讀問題</td> <td>triage note</td> </tr> <tr> <td>Severity decision</td> <td>對齊影響等級與節奏</td> <td>severity decision</td> </tr> <tr> <td>Owner assignment</td> <td>明確主責與協作角色</td> <td>owner route</td> </tr> <tr> <td>Containment action</td> <td>控制影響面與擴散</td> <td>containment record</td> </tr> <tr> <td>Evidence capture</td> <td>保留回查證據</td> <td>evidence chain</td> </tr> <tr> <td>Write-back</td> <td>回寫規則與流程</td> <td>backlog item</td> </tr> </tbody> </table> <h2 id="triage-問題設計">Triage 問題設計</h2> <p>Triage 問題設計的責任是讓判讀聚焦。每次事件可先回答四題：</p> <ol> <li>目前影響面在哪些服務邊界。</li> <li>訊號可信度與誤報機率在哪個範圍。</li> <li>哪個 <a href="https://tarrragon.github.io/blog/backend/knowledge-cards/ownership/" data-link-title="Ownership" data-link-desc="說明 ownership 如何把問題、決策與交接責任固定到可執行角色">ownership</a> 可以先收斂風險。</li> <li>這輪事件的關閉條件是什麼。</li> </ol> <h2 id="severity-對齊">Severity 對齊</h2> <p>Severity 對齊的責任是把技術判讀接到業務影響。分級決策可直接綁定升級節奏、通訊節奏與處置時限，並和 <a href="https://tarrragon.github.io/blog/backend/knowledge-cards/escalation-policy/" data-link-title="Escalation Policy" data-link-desc="說明事故升級鏈與值班轉接規則">escalation policy</a> 對齊。</p> <h2 id="containment-與-evidence">Containment 與 Evidence</h2> <p>Containment 與 evidence 的責任是讓事件處置可驗證。處置動作與證據保留同步進行，常見證據包含 audit log、變更紀錄、時間線與決策紀錄。</p> <h2 id="回寫閉環">回寫閉環</h2> <p>回寫閉環的責任是讓每次 triage 提升下次效率。建議回寫到三個位置：</p> <ol> <li>detection rule 與 tuning 記錄。</li> <li>runbook 與 escalation path。</li> <li>7.x 章節中的判讀訊號與路由。</li> </ol> <h2 id="判讀訊號與路由">判讀訊號與路由</h2> <table> <thead> <tr> <th>判讀訊號</th> <th>代表需求</th> <th>下一步路由</th> </tr> </thead> <tbody> <tr> <td>分級標準頻繁改寫</td> <td>需要固定 severity 準則</td> <td>7.B6 → 08</td> </tr> <tr> <td>triage 記錄缺少影響邊界</td> <td>需要補 triage 問題模板</td> <td>7.B6 → 7.B2</td> </tr> <tr> <td>containment 完成但證據不足</td> <td>需要補 evidence capture</td> <td>7.B6 → 7.B3</td> </tr> <tr> <td>事件結束後規則未更新</td> <td>需要 write-back 閉環</td> <td>7.B6 → 7.B5</td> </tr> </tbody> </table> <h2 id="必連章節">必連章節</h2> <ul> <li><a href="https://tarrragon.github.io/blog/backend/07-security-data-protection/blue-team/detection-to-response-routing/" data-link-title="7.B2 從偵測到回應的路由" data-link-desc="建立資安偵測訊號如何轉成 triage、severity、升級與 incident workflow 的大綱">7.B2 從偵測到回應的路由</a></li> <li><a href="https://tarrragon.github.io/blog/backend/07-security-data-protection/blue-team/security-control-validation/" data-link-title="7.B3 資安控制驗證" data-link-desc="建立資安控制面如何用證據、演練與 release gate 驗證的大綱">7.B3 資安控制驗證</a></li> <li><a href="https://tarrragon.github.io/blog/backend/07-security-data-protection/blue-team/detection-engineering-lifecycle/" data-link-title="7.B5 Detection Engineering Lifecycle" data-link-desc="把偵測規則視為可維護資產，建立從來源、測試、調校到退場的完整生命週期">7.B5 Detection Engineering Lifecycle</a></li> <li><a href="https://tarrragon.github.io/blog/backend/07-security-data-protection/security-incident-write-back-to-product-and-architecture/" data-link-title="7.24 資安事故如何回寫產品與架構" data-link-desc="把事故教訓回寫到產品決策、架構控制與知識網，建立持續改進閉環">7.24 資安事故如何回寫產品與架構</a></li> </ul> <h2 id="完稿判準">完稿判準</h2> <p>完稿時要讓讀者能把一個 incident 訊號走完 triage loop。輸出至少包含訊號、問題、分級、接手、處置、證據與回寫。</p>本篇的責任是建立 incident triage loop。讀者讀完後，能把 alert 與外部通報轉成分級、接手、處置與回寫循環。

核心論點

Incident triage loop 的核心概念是讓訊號推動一致決策。循環一旦固定，團隊在壓力下仍能用同一組欄位完成判讀與交接。

讀者入口

本篇適合銜接 7.B2 從偵測到回應的路由、7.B5 Detection Engineering Lifecycle 與 incident severity。

Triage 循環欄位

欄位 責任 產出
Signal intake 收斂初始訊號與來源 alert record
Triage question 建立第一輪判讀問題 triage note
Severity decision 對齊影響等級與節奏 severity decision
Owner assignment 明確主責與協作角色 owner route
Containment action 控制影響面與擴散 containment record
Evidence capture 保留回查證據 evidence chain
Write-back 回寫規則與流程 backlog item

Triage 問題設計

Triage 問題設計的責任是讓判讀聚焦。每次事件可先回答四題：

  1. 目前影響面在哪些服務邊界。
  2. 訊號可信度與誤報機率在哪個範圍。
  3. 哪個 ownership 可以先收斂風險。
  4. 這輪事件的關閉條件是什麼。

Severity 對齊

Severity 對齊的責任是把技術判讀接到業務影響。分級決策可直接綁定升級節奏、通訊節奏與處置時限，並和 escalation policy 對齊。

Containment 與 Evidence

Containment 與 evidence 的責任是讓事件處置可驗證。處置動作與證據保留同步進行，常見證據包含 audit log、變更紀錄、時間線與決策紀錄。

回寫閉環

回寫閉環的責任是讓每次 triage 提升下次效率。建議回寫到三個位置：

  1. detection rule 與 tuning 記錄。
  2. runbook 與 escalation path。
  3. 7.x 章節中的判讀訊號與路由。

判讀訊號與路由

判讀訊號 代表需求 下一步路由
分級標準頻繁改寫 需要固定 severity 準則 7.B6 → 08
triage 記錄缺少影響邊界 需要補 triage 問題模板 7.B6 → 7.B2
containment 完成但證據不足 需要補 evidence capture 7.B6 → 7.B3
事件結束後規則未更新 需要 write-back 閉環 7.B6 → 7.B5

必連章節

完稿判準

完稿時要讓讀者能把一個 incident 訊號走完 triage loop。輸出至少包含訊號、問題、分級、接手、處置、證據與回寫。

]]>