取证分析
开展取证分析，以确定事件影响范围。
取证分析由以下 NIST CSF 2.0 成果定义：RS.AN-03 (Analysis is performed to establish what has taken place during an incident and the root cause of the incident); RS.AN-06 (Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved); RS.AN-07 (Incident data and metadata are collected, and their integrity and provenance are preserved)。 对照映射 通过 ISO 27001, PCI DSS, CMMC, 800-53 和 NIS2 中已发布的对照表完成映射。 编辑说明 在 SOC 2 和 DORA 中经编辑映射。 在 CIS v8.1 和 HIPAA 中仅弱相关。 本站数据中无映射 本站数据中 GDPR, Essential Eight, CPS 234 和 Cyber Essentials 无映射。
| 框架 | 要求 | 标题 | 链接 | 来源 / 原因 |
|---|---|---|---|---|
| NIST CSF 2.0 | RS.AN-03RS.AN-06RS.AN-07 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident; Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved; Incident data and metadata are collected, and their integrity and provenance are preserved | 主题定义 | RS.AN-03 RS.AN-06 RS.AN-07 |
| ISO 27001 | A.5.28 | Collection of evidence | 对照映射 | A.5.28: via RS.AN-06; RS.AN-07 |
| CIS v8.1 | CIS 17.8 | 未映射到此主题 | 这些要求仅通过已发布的交叉映射与本主题的 CSF 成果（RS.AN-03, RS.AN-06, RS.AN-07）存在关联：值得核查，但不构成映射。 | |
| SOC 2 | CC7.4 | Responding to identified security incidents | 编辑说明 | CC7.4: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 10.3.2 | Logs protected from modification | 对照映射 | 10.3.2: via RS.AN-06; RS.AN-07 |
| CMMC | AU.L2-3.3.6 | Reduction & Reporting | 对照映射 | AU.L2-3.3.6: via 800-171r3 03.03.06 ↔ RS.AN-03, RS.AN-06, RS.AN-07 → AU-7; 800-171r2 Appendix D → AU-7 |
| 800-53 | AU-7SI-2(7) | Audit Record Reduction and Report Generation; Root Cause Analysis | 对照映射 | AU-7: via RS.AN-03; RS.AN-06; RS.AN-07 SI-2(7): via RS.AN-03 |
| HIPAA | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)§164.312(b)§164.314(a)(2)(i)§164.314(a)(2)(iii) | 未映射到此主题 | 这些要求仅通过已发布的交叉映射与本主题的 CSF 成果（RS.AN-03, RS.AN-06, RS.AN-07）存在关联：值得核查，但不构成映射。 | |
| GDPR | — | 无要求 | 本站数据中无映射 | 本站数据中没有 GDPR 要求映射到此主题。 |
| NIS2 | 3.5 | Incident response | 对照映射 | 3.5: via RS.AN-03 |
| Essential Eight | — | 无要求 | 本站数据中无映射 | 本站数据中没有 Essential Eight 要求映射到此主题。 |
| DORA | Art.13(2)Art.17(2) | Learning and evolving; ICT-related incident management process | 编辑说明 | Art.13(2): Post-incident reviews assess the quality and speed of forensic analysis. Art.17(2): Identify, document and address the root causes of incidents. |
| CPS 234 | — | 无要求 | 本站数据中无映射 | 本站数据中没有 CPS 234 要求映射到此主题。 |
| Cyber Essentials | — | 无要求 | 本站数据中无映射 | 本站数据中没有 Cyber Essentials 要求映射到此主题。 |
主题定义 定义本主题的 CSF 2.0 结果 · 对照映射 至少一项选择有已发布对照表作为依据 · 编辑说明 ControlMapping 的判断及理由 · 未映射，仅与该主题的 CSF 成果相同 · 本站数据中无映射 我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 方法说明.
要求编号和标题均按各框架官方发布的英文原文显示。
映射有误或缺失？ 报告
关于取证分析
数字取证是指系统性地收集、保全、分析和记录数字证据，以查明网络安全事件的根本原因、影响范围和危害程度。取证就绪要求保持充分的日志记录，部署能够保留取证痕迹的终端检测工具，并建立证据保管链（chain of custody）程序，以确保证据在法律程序中可被采信。组织应当要么自建内部取证能力，要么与第三方取证机构签订长期服务协议，以便在事件需要详细调查时快速响应。