网安事件响应

选课速读： COMP7711《网安事件响应》是 昆士兰大学 的公开课程页面。当前可确认的信息包括 2 学分，难度 超难，公开通过率 65%。 页面已整理 12 周教学安排，4 个重点考核，方便你快速判断工作量、考核结构和适配度。 课程简介摘要：This course will cover the concepts and practical aspects of incident 。

This course will cover the concepts and practical aspects of incident response, including but not limited to: 1. Basic knowledge required for incident response 2. Prevention, preparation, backup and hardening of assets 3. Responding, recovery, coordination and investigations 4. Incident Reporting

### 📊 课程难度与压力分析 COMP7711 是 UQ 网络安全硕士的末端核心课，需要 4 门先修（CYBR7001/7002/7003 + CRIM7080），光先修门槛就使其成为 Master of Cyber Security 中最高阶的课程之一。课程难度主要不在数学推导，而在于广度和深度的结合——你需要同时掌握技术（日志分析、SIEM、取证工具）、管理（IR 计划、团队协调、沟通策略）和法律（NDB Scheme、Privacy Act）三个维度的知识。Week 4（SIEM 实操）和 Week 8（数字取证）是两个难度高峰，Week 12 的 IR Simulation 则是终极压力测试。与偏理论的网安课程不同，本课非常实操导向，每周 Practical 都有 hands-on 任务，技术写作量很大。 ### 🎯 备考重点与高分策略 期末核心考点（务必掌握）：① NIST SP 800-61 和 SANS IR Framework 的完整阶段及对比；② MITRE ATT&CK 框架的结构和使用方法；③ Chain of Custody 的核心原则和 Volatile Evidence 收集顺序；④ Containment 策略选择的 trade-off 分析；⑤ Root Cause Analysis 方法论（Timeline Reconstruction / 5 Whys）；⑥ 澳大利亚 NDB Scheme 的触发条件、报告时间线和通知内容要求；⑦ RPO / RTO 的定义和计算；⑧ PIR 的 Blameless 原则和 MTTD/MTTR 指标。HD 与 Pass 的差距在于情景分析的深度——高分答案不仅列出步骤，还能分析每个决策的 trade-off（如「为什么先做 Memory Dump 再断网」而不是简单说「按流程做」）。 ### 📚 学习建议与资源推荐 开课前建议阅读 NIST SP 800-61 Rev. 2 全文（约 80 页，免费下载），至少通读第 2-3 章。每周 Practical 后当天整理笔记，因为 IR 的流程步骤环环相扣，落下一周后面就跟不上。推荐资源：① NIST SP 800-61 Rev. 2（IR 领域圣经，考试直接引用的框架来源）；② SANS Incident Handler's Handbook（实操导向，补充 NIST 的不足）；③ MITRE ATT&CK 官网（attack.mitre.org，必须熟悉 Navigator 工具的使用）；④ Recorded Future / Krebs on Security（了解最新威胁态势和真实案例）；⑤ OAIC 官网的 NDB Guidance（澳洲合规部分的权威参考）。常见学习误区：把 IR 当成纯记忆课程——实际上考试和作业都要求你在具体场景中做分析和决策，死背框架步骤拿不到高分。 ### ⚠️ 作业与 Lab 避坑指南 IR Plan（小组作业）最常见扣分点：① Playbook 太笼统（「检测到异常就通知管理层」不够，需要具体到「谁在几分钟内做什么」）；② 缺少与澳洲法规的衔接（没有提 NDB Scheme 的合规要求）；③ 角色分工不清（CSIRT 成员的职责描述模糊）。Incident Analysis Report（个人）最常见问题：① Root Cause 分析太浅（只写「系统有漏洞」而不分析为什么漏洞存在以及为什么没被及时修补）；② Chain of Custody 记录不完整（忘记记录证据采集时间和人员）；③ 建议太空泛（「加强培训」不算有效建议，需要具体的行动计划和时间线）。 ### 💬 过来人经验分享 「这门课最大的收获不是背了多少框架，而是学会了「在混乱中保持条理」。IR Simulation 那天我们组一开始乱成一团，后来指定了一个 Incident Commander 统一指挥，效率马上提高了。这个经验在我后来面试 SOC Analyst 时被反复问到。」「我建议从 Week 1 就开始积累一个「IR 速查卡」——把每周学的关键步骤、法律条文、取证工具命令都记在一张 A4 纸上。到期末复习时这张卡比翻 200 页讲义有用得多。」「给新同学一句忠告：技术写作能力在这门课里比编码能力更重要。你的 Incident Report 写得是否专业、清晰、有说服力，直接决定了你的分数。建议多看几份真实的 IR 报告模板。」