AI-промты для реагирования на киберинциденты

Роль: Ты IR-консультант с 10+ лет опыта в построении SOC и оценке зрелости процессов реагирования. Экспертиза: NIST CSF 2.0, SIM3, CMMI для Cybersecurity, NIST SP 800-61r2.

Контекст: Я [моя роль — CISO/Head of SOC] в [тип организации — финтех/промышленность]. Текущее состояние: [размер команды SOC], [стек инструментов — SIEM/EDR/SOAR], [количество инцидентов за квартал]. Данные для аудита: [метрики MTTD и MTTR], [покрытие MITRE ATT&CK], [наличие playbook-ов для типов инцидентов].

Задача: Провести аудит зрелости процессов IR и выдать дорожную карту улучшений на 12 месяцев с привязкой к NIST CSF функциям Detect, Respond, Recover.

Формат вывода: (1) Таблица оценки по 5-балльной шкале для каждой подкатегории NIST CSF с обоснованием. (2) Топ-7 gap-ов с уровнем риска (High/Medium/Low) и ссылкой на конкретный контроль. (3) Roadmap по кварталам с KPI и оценкой ресурсов в человеко-часах.

Детали: Опирайся на бенчмарки SANS IR Survey и Verizon DBIR. Избегай общих рекомендаций — каждая мера должна иметь измеримый критерий готовности и ответственную роль (L1/L2/IR Lead/CISO).

Роль: Ты Lead IR Instructor с 8 лет опыта проведения tabletop exercises и red/blue team учений. Экспертиза: CISA Tabletop Exercise Packages, MITRE ATT&CK Navigator, methodology ENISA CSIRT.

Контекст: Я [моя роль — IR Lead] в [тип организации — ритейл/банк]. Участники учения: [состав — CEO, CFO, юристы, PR, CISO]. Контур: [критичные активы — процессинг/e-commerce платформа], [регуляторы — 152-ФЗ/GDPR/PCI DSS], [предыдущий опыт учений — есть/нет].

Задача: Спроектировать 3-часовой tabletop-сценарий ransomware-атаки с эскалациями, injects и критериями оценки решений участников.

Формат вывода: (1) Timeline сценария в таблице: T+0, T+30мин, T+1ч, T+2ч — событие, inject, ожидаемое решение. (2) Чек-лист решений для каждого участника (CEO/юрист/PR/CISO) с привязкой к 152-ФЗ и уведомлению РКН. (3) Rubric оценки по шкале 1–5 для коммуникации, техрешений и соблюдения регуляторики.

Детали: Используй реалистичные TTPs групп типа LockBit или Conti по MITRE ATT&CK. Избегай технических деталей, непонятных нетехническим участникам — фокус на бизнес-решениях.

Роль: Ты IR-документалист и GRC-специалист с 7 лет опыта подготовки отчётов для ЦБ РФ, РКН и советов директоров. Экспертиза: 152-ФЗ, 187-ФЗ о КИИ, GDPR Art. 33/34, NIST SP 800-61.

Контекст: Я [моя роль — IR Lead/CISO] в [тип организации — оператор ПДн/субъект КИИ]. Инцидент: [тип — утечка ПДн/компрометация учётной записи], [дата обнаружения], [затронутые системы и объём данных]. Аудитория отчёта: [регулятор — РКН/ФСТЭК/ЦБ] и [внутренняя — правление/аудит].

Задача: Сгенерировать двухуровневый отчёт: формальный для регулятора (строго по форме) и executive summary для правления на 1 страницу.

Формат вывода: (1) Executive summary: суть инцидента, бизнес-импакт в деньгах, статус, 3 ключевых решения правления. (2) Регуляторный раздел: хронология, категории ПДн, меры уведомления субъектов, меры по устранению. (3) Технический appendix: IoCs, TTPs по MITRE ATT&CK, lessons learned.

Детали: Соблюдай сроки уведомления (24 ч GDPR, 24 ч РКН). Избегай юридически рискованных формулировок признания вины — используй фактологический стиль.

Роль: Ты SOC Training Lead с 9 лет опыта подготовки аналитиков L1/L2 и построения программ обучения. Экспертиза: MITRE ATT&CK, Atomic Red Team, Sigma rules, TheHive, детекционный инжиниринг.

Контекст: Я [моя роль — Head of SOC] в [тип организации — MSSP/enterprise]. Новый аналитик: [бэкграунд — выпускник/админ], [срок до продуктивности — 3 месяца]. Стек: [SIEM — Splunk/ELK], [EDR — CrowdStrike/Kaspersky], [типовые инциденты — фишинг/BEC/ransomware].

Задача: Составить 12-недельную программу обучения SOC-аналитика L1 с недельными целями, практикой на эмуляциях атак и критериями допуска к боевым сменам.

Формат вывода: (1) Таблица по неделям: тема, теория (часы), лаба (часы), KPI недели. (2) Список из 10 practical labs на базе Atomic Red Team с маппингом на MITRE ATT&CK тактики TA0001–TA0011. (3) Чек-лист допуска к дежурству: 15 обязательных навыков с методом проверки.

Детали: Привязывай каждую неделю к реальным alert-ам из SIEM. Избегай академической теории без практики — соотношение теория/практика не более 30/70.