企業(yè)網(wǎng)絡(luò)安全應(yīng)急響應(yīng)方案(編輯修改稿)
2025-05-22 00:15 本頁面
【文章內(nèi)容簡介】 的網(wǎng)絡(luò)或主機已經(jīng)或正在面臨著某種類別的攻擊： (1)、日志文件中記錄有異常的沒有登錄成功的審計事件?！ ?2)、日志文件中有成功登錄的不明賬號記錄?！ ?3)、日志文件中存在有異常的修改某些特殊文件的記錄?！ ?4)、日志文件中存在有某段時間來自網(wǎng)絡(luò)的不正常掃描記錄?！ ?5)、日志文件中存在有在某段時間啟動的不明服務(wù)進程的記錄。 (6)、日志文件中存在有特殊用戶權(quán)限被修改或添加了不明用戶賬號的記錄?！ ?7)、日志文件中存在有添加了某種不明文件的記錄?！ ?8)、日志文件中存在有不明軟件主動向外連接的記錄?！ ?9)、查看日志文件屬性時，時間戳不對，或者日志文件大小與你的記錄不相符?！ ?10)、查看日志文件內(nèi)容時，發(fā)現(xiàn)日志文件中的某個時間段不存在或被修改?！ ?11)、發(fā)現(xiàn)系統(tǒng)反應(yīng)速度變慢，或在某個時間段突然變慢，但已經(jīng)排除了系統(tǒng)硬件性能影響的原因?！ ?12)、發(fā)現(xiàn)系統(tǒng)中安全軟件被停止，正常服務(wù)被停止。 (13)、發(fā)現(xiàn)網(wǎng)站網(wǎng)頁被篡改或被刪除替換?！ ?14)、發(fā)現(xiàn)系統(tǒng)變得不穩(wěn)定，突然死機，系統(tǒng)資源占用過大，不斷重啟?！ ?15)、發(fā)現(xiàn)網(wǎng)絡(luò)流量突然增大，查看發(fā)現(xiàn)對外打開了不明端口?！ ?16)、發(fā)現(xiàn)網(wǎng)卡被設(shè)為混雜模式?！ ?17)、某些正常服務(wù)不能夠被訪問等等?！ ∧軌蛴脕碜龀雠袛喈惓Ｓ涗浐彤惓，F(xiàn)象還有很多，筆者就不在這里全部列出了。這要求事件響應(yīng)人員應(yīng)當(dāng)不斷學(xué)習(xí)，努力提高自身的技術(shù)水平，不斷增加識別異?，F(xiàn)象的經(jīng)驗，然后形成一種適合自己的判斷方法后，再加上日志分析工具以及安全監(jiān)控軟件的幫助，就不難在這些日志記錄項和現(xiàn)象中找出真正的攻擊事件來?！ 〉侥壳盀橹?，通過分析各種日志文件來識別事件性質(zhì)，依然是最主要的方法之一。你可以重新設(shè)置這些安全軟件的日志輸出格式，使它們?nèi)菀妆焕斫?。你也可以重新詳?xì)設(shè)置安全軟件的過濾規(guī)則，減少它們的誤報和漏報，增加可識別強度。你還可以使用一些專業(yè)的日志文件分析工具，例如OSSECHIDS，來加快分析大體積日志文件的速度，提高識別率，同時也會減輕你的負(fù)擔(dān)。至于擔(dān)心日志會被攻擊者刪除或修改，你可以將所有的日志文件都保存到受防火墻保護的存儲系統(tǒng)之中，來減少這種風(fēng)險?？傊?，為了能從日志文件中得到我們想要的信息，就應(yīng)該想法使日志文件以我們需要的方式來工作?！ ∷羞@些，都得要求事件響應(yīng)人員在平時經(jīng)常檢查網(wǎng)絡(luò)及系統(tǒng)的運行情況，不斷分析日志文件中的記錄，查看各種網(wǎng)絡(luò)或系統(tǒng)異?，F(xiàn)象，以便能及時真正的攻擊事件做出正確的判斷。另外，你應(yīng)當(dāng)在平時在對網(wǎng)絡(luò)系統(tǒng)中的某些對象進行操作時，應(yīng)當(dāng)詳細(xì)記錄下你所操作過的所有對象的內(nèi)容及操作時間，以便在識別時有一個判斷的依據(jù)。在工作當(dāng)中，經(jīng)常用筆記錄下這些操作是一個事件響應(yīng)人員應(yīng)當(dāng)養(yǎng)成的好習(xí)慣?！ ‘?dāng)發(fā)現(xiàn)了上述出現(xiàn)的異常記錄或異?，F(xiàn)象，就說明攻擊事件已經(jīng)發(fā)生了，因而就可以立即進入到下一個環(huán)節(jié)當(dāng)中，即對出現(xiàn)的攻擊事件的嚴(yán)重程度進行分類?！ ∈录诸悺 ‘?dāng)確認(rèn)已經(jīng)發(fā)現(xiàn)攻擊事件后，就應(yīng)當(dāng)立即對已經(jīng)出現(xiàn)了的攻擊事件做出嚴(yán)重程度的判斷，以明確攻擊事件到達了什么地步，以便決定下一步采取什么樣的應(yīng)對措施。例如，如果攻擊事件是涉及到服務(wù)器中的一些機密數(shù)據(jù)，這肯定是非常嚴(yán)重的攻擊事件，就應(yīng)當(dāng)立即斷開受到攻擊的服務(wù)器的網(wǎng)絡(luò)連接，并將其隔離，以防止事態(tài)進一步的惡化及影響網(wǎng)絡(luò)中其它重要主機。 對攻擊事件進行分類，一直以來，都是沒有一個統(tǒng)一的標(biāo)準(zhǔn)的，各安全廠商都有他自己的一套分類方法，因此，你也可以自行對攻擊事件的嚴(yán)重程度進行分類。一般來說，可以通過確認(rèn)攻擊事件發(fā)展到了什么地步，以及造成了什么樣的后果來進行分類，這樣就可以將攻擊事件分為以下幾個類別： (1)、試探性事件?！ ?2)、一般性事件?！ ?3)、控制系統(tǒng)事件。 (4)、拒絕服務(wù)事件?！ ?5)、得到機密數(shù)據(jù)事件。 對網(wǎng)絡(luò)中的主機進行試探性掃描，都可以認(rèn)為是試探性質(zhì)的事件，這些都是攻擊者為了確認(rèn)網(wǎng)絡(luò)中是否有可以被攻擊的主機，而進行的最基本的工作。當(dāng)攻擊者確認(rèn)了要攻擊的目標(biāo)后，他就會進一步地對攻擊目標(biāo)進行更加詳細(xì)，更加有目的的掃描，這時，所使用的掃描方式就會更加先進和不可識別性，例如半連接式掃描及FIN方式掃描等，這種掃描完成后，就可以找到一些是否可以利用的漏洞信息，由于現(xiàn)在的一些整合性防火墻和IDS也能夠識別這些方式的掃描，因此，如果在日志文件中找到了與此相應(yīng)的記錄，就表明攻擊已經(jīng)發(fā)展到了一般性事件的地步了。當(dāng)攻擊者得到可以利用的漏洞信息后，他就會利用各種手段對攻擊目標(biāo)進行滲透，這時，如果你沒有及時發(fā)現(xiàn)，滲透的成功性是非常大的，網(wǎng)絡(luò)中已經(jīng)存在有太多的這類滲透工具，使用這些工具進行滲透工作是輕而易舉的事，在滲透成功后，攻擊者就會想法提高自己在攻擊目標(biāo)系統(tǒng)中的權(quán)限，并安裝后門，以便能隨心所欲地控制已經(jīng)滲透了的目標(biāo)，此時，就已經(jīng)發(fā)展到了控制系統(tǒng)的地步。到這里，如果你還沒有發(fā)現(xiàn)攻擊行為，那么，你所保護的機密資
公司管理相關(guān)推薦
鄂ICP備17016276號-1