incident-response-incident-response

Use esta habilidade quando

• Trabalhando em tarefas ou fluxos de trabalho de resposta a incidentes
• Precisando de orientação, melhores práticas ou checklists para resposta a incidentes

Não use esta habilidade quando

• A tarefa não estiver relacionada à resposta a incidentes
• Você precisar de um domínio ou ferramenta diferente fora deste escopo

Instruções

• Clarifique objetivos, restrições e entradas necessárias.
• Aplique melhores práticas relevantes e valide os resultados.
• Forneça etapas acionáveis e verificação.

Orquestre a resposta a incidentes multiagente com práticas modernas de SRE para resolução e aprendizado rápidos:

[Pensamento estendido: Este fluxo de trabalho implementa um sistema abrangente de comando de incidentes (ICS) seguindo princípios modernos de SRE. Múltiplos agentes especializados colaboram através de fases definidas: detecção/triagem, investigação/mitigação, comunicação/coordenação e resolução/pós-mortem. O fluxo de trabalho enfatiza a velocidade sem sacrificar a precisão, mantém canais de comunicação claros e garante que cada incidente se torne uma oportunidade de aprendizado através de pós-mortens sem culpa e melhorias sistemáticas.]

Configuração

Níveis de Severidade

• P0/SEV-1: Interrupção completa, violação de segurança, perda de dados - resposta imediata de todos os envolvidos
• P1/SEV-2: Degradação importante, impacto significativo no usuário - resposta rápida necessária
• P2/SEV-3: Degradação menor, impacto limitado - resposta padrão
• P3/SEV-4: Problemas cosméticos, sem impacto no usuário - resolução agendada

Tipos de Incidente

• Degradação de performance
• Interrupção de serviço
• Incidente de segurança
• Problema de integridade de dados
• Falha de infraestrutura
• Interrupção de serviço de terceiros

Fase 1: Detecção e Triagem

1. Detecção e Classificação de Incidentes

• Use a ferramenta Task com subagent_type="incident-responder"
• Prompt: "URGENTE: Detectar e classificar incidente: $ARGUMENTS. Analisar alertas do PagerDuty/Opsgenie/monitoramento. Determinar: 1) Severidade do incidente (P0-P3), 2) Serviços afetados e dependências, 3) Impacto no usuário e risco de negócio, 4) Estrutura inicial de comando de incidentes necessária. Verificar orçamentos de erro e violações de SLO."
• Saída: Classificação de severidade, avaliação de impacto, atribuições de comando de incidentes, status de SLO
• Contexto: Alertas iniciais, painéis de monitoramento, alterações recentes

2. Análise de Observabilidade

• Use a ferramenta Task com subagent_type="observability-monitoring::observability-engineer"
• Prompt: "Realizar varredura rápida de observabilidade para o incidente: $ARGUMENTS. Consultar: 1) Rastreamento distribuído (OpenTelemetry/Jaeger), 2) Correlação de métricas (Prometheus/Grafana/DataDog), 3) Agregação de logs (ELK/Splunk), 4) Dados de APM, 5) Monitoramento de Usuário Real. Identificar anomalias, padrões de erro e pontos de degradação de serviço."
• Saída: Achados de observabilidade, detecção de anomalias, matriz de saúde de serviço, análise de rastreamento
• Contexto: Nível de severidade da etapa 1, serviços afetados

3. Mitigação Inicial

• Use a ferramenta Task com subagent_type="incident-responder"
• Prompt: "Implementar mitigação imediata para o incidente P$SEVERITY: $ARGUMENTS. Ações: 1) Limitar/redirecionar tráfego, se necessário, 2) Desativar feature flags para funcionalidades afetadas, 3) Ativar circuit breakers, 4) Avaliar rollback de implantações recentes, 5) Escalar recursos se relacionado à capacidade. Priorizar a restauração da experiência do usuário."
• Saída: Ações de mitigação tomadas, correções temporárias aplicadas, decisões de rollback
• Contexto: Achados de observabilidade, classificação de severidade

Fase 2: Investigação e Análise de Causa Raiz

4. Depuração Profunda do Sistema

• Use a ferramenta Task com subagent_type="error-debugging::debugger"
• Prompt: "Conduzir depuração profunda para o incidente: $ARGUMENTS usando dados de observabilidade. Investigar: 1) Stack traces e logs de erro, 2) Performance de consultas de banco de dados e locks, 3) Latência de rede e timeouts, 4) Vazamentos de memória e picos de CPU, 5) Falhas de dependência e erros em cascata. Aplicar análise dos Cinco Porquês."
• Saída: Identificação da causa raiz, fatores contribuintes, mapa de impacto de dependência
• Contexto: Análise de observabilidade, status de mitigação

5. Avaliação de Segurança

• Use a ferramenta Task com subagent_type="security-scanning::security-auditor"
• Prompt: "Avaliar implicações de segurança do incidente: $ARGUMENTS. Verificar: 1) Indicadores de ataque DDoS, 2) Falhas de autenticação/autorização, 3) Riscos de exposição de dados, 4) Problemas de certificado, 5) Padrões de acesso suspeitos. Revisar logs de WAF, grupos de segurança e trilhas de auditoria."
• Saída: Avaliação de segurança, análise de violação, identificação de vulnerabilidades
• Contexto: Achados da causa raiz, logs do sistema

…