验证一套用于评估国家计算机安全 incident 响应团队（CSIRTs）所使用的软件工具和数据源的候选标准

《Digital Threats: Research and Practice》：Validating a Set of Candidate Criteria for Evaluating Software Tools and Data Sources for National CSIRTs’ Cyber Incident Responses

本研究通过访谈亚太、非洲及欧洲九个国家CSIRT成员，验证了软件工具与数据源评估的候选标准。结果显示，所有受访者认为这些标准实用且易于部署，可有效辅助CSIRT选择合适工具，提升事件响应效率与质量。

　　

摘要

全球各地都建立了国家计算机安全事件响应团队（CSIRT），以协调国家级别的网络安全事件应对工作。众所周知，软件工具（包括开源工具）和公共数据被广泛用于国家CSIRT的事件响应过程中。然而，目前尚缺乏一套权威的标准，可以用来系统地评估哪些软件工具和数据源应该被国家CSIRT用于事件响应。之前的一项研究提出了一组潜在的评估标准。本文旨在通过询问多个国家CSIRT的工作人员，他们如何看待这些候选标准的实际效用及其在CSIRT运营中的适用性，从而对这些候选标准进行实证验证。研究通过对亚太地区、非洲和欧洲的9个国家CSIRT的9名受访者进行了在线半结构化访谈来进行。在使用这9名受访者的访谈结果验证了候选标准之后，我们将这些标准转化为一个或多个相关指标（例如“衡量工具生成结果所需的时间”）来评估一系列软件工具和数据源。研究的主要发现如下：1) 所有受访者都认为这些候选标准在评估国家CSIRT的工具和数据源方面具有实际效用；2) 所有受访者都同意这些候选标准可以应用于国家CSIRT以及其他类型的CSIRT；3) 这些候选标准在实践中相对容易应用。这些标准有望帮助国家CSIRT选择最合适的工具和数据源，从而有效应对事件、改进其运营实践，并提升整体安全工作的质量。