應急回應（總）-有解無憂

為了應各種意外事件，保證將損失降到最低，事件的主題可能來自自然界、系統自身故障，組織內部或外部的人、計算機病毒或蠕蟲等

應急回應的三要素：

資訊系統的重要程度
資訊系統的損失程度
事件的影響

應急回應的管理六要素：

提供解決方案
對系統進行查漏補缺
明確司法途徑
明確應急的意圖
還原攻擊
保障業務的正常運行（業務至上）

應急回應流程：

準備
發現
分析
上報
遏制
根除
跟蹤

應急回應的幾個階段：

準備階段
1. 分析資產的風險
  1. 明確資訊系統網路與系統架構
  2. 明確資訊系統的管理人員
  3. 明確資訊系統的保護要求
  4. 計算損失和影響
2. 組建管理人員團隊
  1. 組建管理人員團隊
  2. 組建技術人員團隊
  3. 明確人員職責
  4. 建立應急回應組織人員清單
3. 分析資產的風險
  1. 制定應急處理的操作步驟
  2. 制定應急處理的報告路線
  3. 制定資訊系統恢復的優先級順序
  4. 明確配合人員資訊
4. 風險加固
  1. 根據風險建立防御/控制措施
  2. 安全管理及安全技術層面要同時兼顧
5. 保障資源儲備
  1. 資訊安全應急回應專項資金
  2. 應急回應所需的軟硬體設備
  3. 社會關銑澩
6. 技術支持資源庫
  1. 網路拓撲圖
  2. 資訊系統及設備安裝配置檔案
  3. 常見問題處理手冊
檢測階段
1. 日常運維監控
  1. 收集各類故障資訊
  2. 確認資訊系統的實時運行狀況
  3. 資訊安全事件探測
2. 事件判斷
  1. 確認事件給資訊系統帶來的影響
  2. 確認事件給資訊系統造成的損害程度
  3. 一般事件與應急事件的判定
3. 事件上報
  1. 確認應急事件型別
  2. 確認應急事件等級
  3. 通知相關人員
  4. 啟動應急預案
事件通告
1. 事件通告方式
  1. 即時通信工具
  2. 視頻/電話會議
  3. 書面報告
事件等級判定
1. 一般事件
2. 較大事件
3. 重大事件
4. 特別重大事件
事件型別
1. 惡意程式類
  1. 計算機病毒事件
  2. 特伊洛木馬事件
  3. 勒索軟體
  4. 蠕蟲事件
  5. 僵尸網路程式
  6. 挖礦程式
2. 網路攻擊事件類
  1. 拒絕服務攻擊事件
  2. 漏洞攻擊事件
  3. 網路釣魚事件
  4. 后門攻擊事件
  5. 網路掃描竊聽事件
  6. 干擾事件
3. web攻擊事件類
  1. webshell
  2. 網頁掛馬事件
  3. 網頁篡改事件
  4. 網頁暗鏈事件
4. 業務安全事件類
  1. 支付漏洞事件
  2. 資料泄露事件
  3. 權限泄露事件
遏制階段
1. 控制事件蔓延
  1. 采取有效的措施防止事件的進一步擴大
  2. 盡可能減少負面影響
2. 遏制效應
  1. 采取常規的技術手段處理應急事件
  2. 嘗試快速修復系統，清除應急事件帶來的影響
3. 遏制檢測
  1. 確認當前的抑制手段是否有效
  2. 分析應急事件發生的原因，為根除階段提供解決方案
4. 遏制方式
  1. 針對受害資產所確定的范圍進行隔離，包括網路隔離，關機，關閉服務
  2. 持續監控網路及系統活動，記錄例外流量的IP，域名，埠
  3. 停止或者洗掉不正常賬號，隱藏賬號，更改高強度口令
  4. 掛起或關閉未授權的，可疑的應用程式或行程
  5. 關閉不必要的，未知的和非法的服務
  6. 關閉相應的共享
  7. 洗掉系統各個用戶下未授權的自啟動程式
  8. 使用反病毒軟體或者其他的安全工具掃描，檢查，清除病毒，木馬，蠕蟲，后門等可疑檔案
  9. 設定陷阱，如部署蜜罐，或者反攻攻擊者的系統
根除恢復階段
1. 啟動應急預案
  1. 協調各應急小組人員到位
  2. 根據應急場景啟動相關預案
2. 根除檢測
  1. 根據應急預案的執行情況，確認處置是否有效
  2. 嘗試恢復資訊系統的正常運行
3. 持續檢測
  1. 當應急處置成功后對應急事件持續檢測
  2. 確認應急事件已根除
  3. 資訊系統運行恢復到正常狀況
跟蹤階段
1. 應急回應報告
  1. 由應急回應實施小組報告應急事件的處置情況
  2. 由應急回應領導小組下達應急回應結束的指令
2. 應急事件調查
  1. 對應急事件發生的原因進行調查
  2. 評估應急事件對資訊系統造成的損失
  3. 評估應急事件對單位，組織帶來的影響
3. 應急回應總結
  1. 對存在的風險點進行加固和整改
  2. 評價應急預案的執行情況和后續改進計劃
  3. 對應急回應組織成員進行評價，表彰優秀者
涉及到的相關技術
1. 網路安全事件檢測技術
2. Unix系統檢測技術
3. 資料庫系統檢測系統
4. 常見的應用系統檢測技術
5. 攻擊追蹤技術
6. Windows系統檢測技術
7. 入侵檢測技術
8. 現場取樣技術（wireshark）
9. 例外行為分析技術
10. 安全風險評估技術
11. 攻擊隔離技術
12. 系統安全加固技術

應急回應預案

確定風險場景
描述可能收到的業務影響
描述使用的預防性策略
描述應急回應策略
識別和排列關鍵應用系統
行動計劃
團隊和人員的職責
聯絡清單
所需資源配置

本文來自博客園，作者：田家少閑月-，轉載請注明原文鏈接：https://www.cnblogs.com/zhaoyunxiang/p/16649050.html

轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/509676.html

標籤：其他

上一篇：HCIA學習筆記三十一：靜態路由的負載均衡

下一篇：登錄寶塔面板反被溯源IP？教你擦除痕跡！