核心論點

偵測到回應路由的核心概念是「訊號要能推動決策」。偵測本身提供觀察，回應路由則定義誰判讀、如何分級、何時升級、何時關閉。

讀者入口

本篇適合銜接 7.13 偵測覆蓋率與訊號治理、7.14 資安治理例外與 Tripwire 與 Escalation Policy。

路由欄位

路由欄位的核心是把訊號轉成可執行任務。若欄位完整，團隊在壓力下仍能用一致方式判讀與升級。

訊號分類

訊號分類的責任是建立優先順序。建議先區分三種來源：

1. 技術訊號：監控、掃描、驗證結果。
2. 流程訊號：例外到期、審查延遲、關卡失敗。
3. 外部訊號：公開漏洞、供應鏈公告、客戶通報。

Triage 問題設計

Triage 問題的責任是縮短第一輪決策時間。常用問題包含：

1. 影響範圍是否持續擴大。
2. 訊號可信度是否足夠觸發升級。
3. 目前證據是否支持 containment。
4. 目前事件是否需要跨團隊決策。

Severity 對齊

Severity 對齊的責任是讓資安訊號與 incident 節奏一致。這一層建議直接掛到 incident severity 與 escalation policy。

做法上可先定義分級規則，再為每個分級綁定 owner、通訊節奏與關閉條件。

Response 路由

Response 路由的責任是把分級後動作排成流程。建議最小流程：

1. Containment：先穩定影響面。
2. Evidence collection：同步保留關鍵證據。
3. Communication：同步內外部利害關係人。
4. Write-back plan：預留回寫任務入口。

Exit 與回寫

Exit 的責任是定義這輪事件何時完成。關閉前應確認：

1. 影響面收斂到目標範圍。
2. 事件證據可回查。
3. 後續任務已進入問題卡與 workflow。

回寫位置建議固定到 detection rule、problem card 與 incident workflow，讓下一輪判讀更快收斂。

判讀訊號與路由

判讀表格可以直接當作值班檢查單。每次事件結束後重新掃一次，能快速找到下輪優先補強項目。

必連章節

• 7.13 偵測覆蓋率與訊號治理
• 7.14 資安治理例外與 Tripwire
• 7.16 從公開事故到工程 Workflow
• 7.B1 防守控制面地圖

完稿判準

完稿時要讓讀者能把一個偵測訊號寫成回應路由。路由至少包含 signal、triage question、severity、owner、escalation path、exit condition 與 write-back target。

核心論點

Incident triage loop 的核心概念是讓訊號推動一致決策。循環一旦固定，團隊在壓力下仍能用同一組欄位完成判讀與交接。

讀者入口

本篇適合銜接 7.B2 從偵測到回應的路由、7.B5 Detection Engineering Lifecycle 與 incident severity。

Triage 循環欄位

Triage 問題設計

Triage 問題設計的責任是讓判讀聚焦。每次事件可先回答四題：

1. 目前影響面在哪些服務邊界。
2. 訊號可信度與誤報機率在哪個範圍。
3. 哪個 ownership 可以先收斂風險。
4. 這輪事件的關閉條件是什麼。

Severity 對齊

Severity 對齊的責任是把技術判讀接到業務影響。分級決策可直接綁定升級節奏、通訊節奏與處置時限，並和 escalation policy 對齊。

Containment 與 Evidence

Containment 與 evidence 的責任是讓事件處置可驗證。處置動作與證據保留同步進行，常見證據包含 audit log、變更紀錄、時間線與決策紀錄。

回寫閉環

回寫閉環的責任是讓每次 triage 提升下次效率。建議回寫到三個位置：

1. detection rule 與 tuning 記錄。
2. runbook 與 escalation path。
3. 7.x 章節中的判讀訊號與路由。

判讀訊號與路由

必連章節

• 7.B2 從偵測到回應的路由
• 7.B3 資安控制驗證
• 7.B5 Detection Engineering Lifecycle
• 7.24 資安事故如何回寫產品與架構

完稿判準

完稿時要讓讀者能把一個 incident 訊號走完 triage loop。輸出至少包含訊號、問題、分級、接手、處置、證據與回寫。