cisp-3-應急響應(編輯修改稿)
2025-01-26 00:14 本頁面
【文章內容簡介】 遠程系統(tǒng)無法登陸，或無法通過遠程訪問的方式替客戶解決問題，客戶確認后，轉到本地應急相應流程，同時此次遠程響應無效，歸于本地應急響應類型。 itsec 本地應急響應服務 ? 應急響應組在第一時間趕往客戶網絡系統(tǒng)安全事件的事發(fā)地點，在現(xiàn)場為客戶查找事發(fā)原因并解決相應問題，最后出具詳細的應急響應服務報告。 itsec 應急響應服務的內容 ? 病毒事件響應 ? 系統(tǒng)入侵事件響應 ? 網絡故障事件響應 ? 拒絕服務攻擊事件響應 itsec 內容提要 ? 應急響應服務背景 ? 什么是應急響應 ? 應急響應組的組建 ? 應急響應服務的過程 ? 應急響應服務的形式和內容 ? 應急響應服務的指標 ? 應急響應服務案例 itsec 應急響應服務的指標 ? 遠程應急響應服務 在確認客戶的應急響應請求后 2小時內，交與相關應急響應人員進行處理。無論是否解決，進行處理的當天必須返回響應情況的簡報，直到此次響應服務結束。 ? 本地應急響應服務 對本地范圍內的客戶， 36小時內到達現(xiàn)場；對異地的客戶， 24小時加路途時間內到達現(xiàn)場。 itsec 內容提要 ? 應急響應服務背景 ? 什么是應急響應 ? 應急響應組的組建 ? 應急響應服務的過程 ? 應急響應服務的形式和內容 ? 應急響應服務的指標 ? 應急響應服務案例 itsec 應急響應服務案例 ? 國家 XX局的主機入侵應急響應 ? XX證券公司“紅色代碼”病毒事件應急響應 ? XX電信 公司網絡拒絕服務攻擊事件應急響應 ? XX省教育網拒絕服務攻擊事件應急響應 itsec 國家 XX局應急響應 ? 事件描述 該主機位于國家 XX局的 X層計算機辦公室 ， 在2023年 11月中曾經連續(xù)發(fā)生數(shù)據(jù)庫被刪除記錄的事件 ， 最后該網站管理員認定事件可疑 ， 隨即向國家XX局網絡安全管理部門報告 。 ? 主機用途 做為國家 XX局計算中心內部網站使用 ， 負責發(fā)布計算中心內部信息 。 操作系統(tǒng) Windows 2023 Server SP2 ， 網 站 運 行 IIS5 ， 后 臺 數(shù) 據(jù) 庫 采 用ACCESS。 itsec 國家 XX局應急響應 ? 現(xiàn)場分析 主要依據(jù)是服務器的 IIS日志 ， 利用查找功能在該日志的文件夾里查找是否有被攻擊的行為 。 查找漏洞攻擊的關鍵字后發(fā)現(xiàn)沒有找到任何攻擊行為的征兆 ， 只有幾次 NIMUDA病毒發(fā)作的記錄 ， 和此次攻擊事件無關 。 然后查找該主機數(shù)據(jù)庫的關鍵字 后發(fā)現(xiàn)該數(shù)據(jù)庫曾經在 11 月被來自 IP地址的的瀏覽者非法下載 。 進一步的跟蹤該 IP地址的瀏覽記錄后發(fā)現(xiàn) ， 該 IP地址的訪問者之后曾經非法訪問了該網站的在線管理系統(tǒng) 。 由于攻擊者下載的網站數(shù)據(jù)庫中明文存放著該管理員的管理密碼 ,經和管理員確認后認定來自此 IP地址的訪問并非遠程管理員 ， 所以初步懷疑為攻擊者 。 itsec 國家 XX局應急響應 ? 掃描分析 ? 發(fā)現(xiàn)服務器采用 FAT32的磁盤格式 ， 建議采用NTFS格式的磁盤分區(qū)提供更高的安全可靠性能； ? 沒有采取端口訪問限制策略 ， 遠程主機可以隨意連接到電腦上的開放端口； ? 開放的 SNMP協(xié)議暴露服務器主機的配置和使用情況； ? 沒有禁止的 IPC共享連接可以遠程得到主機的網絡和系統(tǒng)配置文件 。 itsec 國家 XX局應急響應 ? 原因分析 由于此名攻擊者是直接下載的 xx局計算中心網站的數(shù)據(jù)庫文件 ， 之前沒有做任何攻擊和猜解嘗試 ， 表明該攻擊者非常熟悉該網站文件和數(shù)據(jù)庫結構 ， 懷疑是內部知情人員所為 。 ? 響應建議 ? 由于主機的數(shù)據(jù)庫名稱已經暴露 ， 所以建議把該數(shù)據(jù)庫文件名稱改為新的名稱； ? 由于目標主機完全采用的是默認安裝所以建議對該主機做一次全面的安全配置； ? 建議主機打全最新的安全補丁； ? 嚴格限制該主機的物理訪問權限 。 itsec XX證券公司應急響應 ? 事件描述 20
教學課件相關推薦
鄂ICP備17016276號-1