信息安全應(yīng)急響應(yīng)服務(wù)流程-wenkub.com
2025-04-04 23:01 本頁面
【正文】 相關(guān)的工具文檔（如專項預(yù)案、方案等）歸檔。 事件發(fā)生的原因分析；252。 連接網(wǎng)絡(luò)，服務(wù)重新上線，并持續(xù)監(jiān)控持續(xù)匯總分析，了解各網(wǎng)的運行情況；l 對于不能徹底恢復(fù)配置和清除系統(tǒng)上的惡意文件，或不能肯定系統(tǒng)在根除處理后是否已恢復(fù)正常時，應(yīng)選擇徹底重建系統(tǒng)；l 應(yīng)急服務(wù)實施小組應(yīng)協(xié)助服務(wù)對象驗證恢復(fù)后的系統(tǒng)是否正常運行；l 應(yīng)急服務(wù)實施小組宜幫助服務(wù)對象對重建后的系統(tǒng)進(jìn)行安全加固；l 應(yīng)急服務(wù)實施小組宜幫助服務(wù)對象為重建后的系統(tǒng)建立系統(tǒng)快照和備份；（Summary）l 目標(biāo)：通過以上各個階段的記錄表格，回顧安全事件處理的全過程，整理與事件相關(guān)的各種信息，進(jìn)行總結(jié)，并盡可能的把所有信息記錄到文檔中。 如何成功運行備用設(shè)備l 如果涉及到涉密數(shù)據(jù)，確定恢復(fù)方法時應(yīng)遵循相應(yīng)的保密要求。 如何通知相關(guān)系統(tǒng)的內(nèi)部和外部業(yè)務(wù)伙伴；252。（Restoration）l 目標(biāo)：恢復(fù)安全事件所涉及到得系統(tǒng)，并還原到正常狀態(tài)，使業(yè)務(wù)能夠正常進(jìn)行，恢復(fù)工作應(yīng)避免出現(xiàn)誤操作導(dǎo)致數(shù)據(jù)的丟失。 改變?nèi)靠赡苁艿焦舻南到y(tǒng)帳號和口令，并增加口令的安全級別；252。l 角色：應(yīng)急服務(wù)實施小組、應(yīng)急響應(yīng)日常運行小組。 使用反病毒軟件或其他安全工具檢查文件，掃描硬盤上所有的文件，隔離或清除病毒、木馬、蠕蟲、后門等可疑文件；252。 掛起或結(jié)束未被授權(quán)的、可疑的應(yīng)用程序和進(jìn)程；252。 抑制方案的實施l 應(yīng)急服務(wù)提供者要嚴(yán)格按照相關(guān)約定實施抑制，不得隨意更改抑制的措施的范圍，如有必要更改，需獲得服務(wù)對象的授權(quán)；l 抑制措施易包含但不僅限于以下幾方面：252。 通過分析得到的其他結(jié)論，如入侵者的來源；252。（Suppresses）l 目標(biāo)：及時采取行動限制事件擴散和影響的范圍，限制潛在的損失與破壞，同時要確保封鎖方法對涉及相關(guān)業(yè)務(wù)影響最小。 災(zāi)害性事件：由于不可抗力對信息系統(tǒng)造成物理破壞而導(dǎo)致的信息安全事件。 信息內(nèi)容安全事件：利用信息網(wǎng)絡(luò)發(fā)布、傳播危害國家安全、社會穩(wěn)定和公共利益的內(nèi)容的安全事件。 網(wǎng)絡(luò)攻擊事件：通過網(wǎng)絡(luò)或其他技術(shù)手段，利用信息系統(tǒng)的配置缺陷、協(xié)議缺陷、程序缺陷或使用暴力攻擊對信息系統(tǒng)實施攻擊，并造成信息系統(tǒng)異?；?qū)π畔⑾到y(tǒng)當(dāng)前運行造成潛在危害的信息安全事件。 檢測結(jié)果的處理l 確定安全事件的類型經(jīng)過檢測，判斷出信息安全事件類型。 文件檢查目標(biāo)：檢查病毒、木馬、蠕蟲、后門等可疑文件。252。252。252。 帳號信息目標(biāo)：導(dǎo)出所有帳號信息；說明：使用net user，net group，net local group命令檢查帳號和組的情況，使用計算機管理查看本地用戶和組，將導(dǎo)出的信息保存在D:\EEAN\user中 l 主機檢測252。并保存到EEAN\screenshot目錄下，文件名稱應(yīng)該使用：系統(tǒng)常規(guī)0自動更新0遠(yuǎn)程01等形式命名。 屏幕拷貝文件應(yīng)該使用BMP格式。 命令行輸出文件缺省僅使用TXT格式。 cmdoutput：用于記錄命令行輸出結(jié)果 216。 檢測方案的確定l 應(yīng)急服務(wù)提供者和服務(wù)對象共同確定檢測方案；l 應(yīng)急服務(wù)提供者制定的檢測方案應(yīng)明確應(yīng)急服務(wù)提供者所使用的檢測規(guī)范；l 應(yīng)急服務(wù)提供者制定的檢測方案應(yīng)明確應(yīng)急服務(wù)提供者的檢測范圍，其檢測范圍應(yīng)僅限于服務(wù)對象已授權(quán)的與安全事件相關(guān)的數(shù)據(jù)，對服務(wù)對象的機密性數(shù)據(jù)信息未經(jīng)授權(quán)的不得訪問；l 應(yīng)急服務(wù)提供者制定的檢測方案應(yīng)包含實施方案失敗的應(yīng)變和回退措施；l 應(yīng)急服務(wù)提供者和服務(wù)對象充分溝通，并預(yù)測應(yīng)急處理方案可能造成的影響。（Examination）l 目標(biāo)：接到事故報警后在服務(wù)對象的配合下對異常的系統(tǒng)進(jìn)行初步分析，確認(rèn)其是否真正發(fā)生了信息安全事件，制定進(jìn)一步的響應(yīng)策略，并保留證據(jù)。252。252。 入侵檢測技術(shù)；252。 網(wǎng)絡(luò)安全事故檢測技術(shù)規(guī)范；252。l 工具包的準(zhǔn)備1) 應(yīng)急服務(wù)提供者應(yīng)根據(jù)應(yīng)急服務(wù)對象的需求準(zhǔn)備處置網(wǎng)絡(luò)安全事件的工具包，包括常用的系統(tǒng)基本命令、其他軟件工具等；2) 應(yīng)急服務(wù)提供者的工具包中的工具最好是采用綠色免安裝的，應(yīng)保存在安全的移動介質(zhì)上，如一次性可寫光盤、加密的U盤等；3) 應(yīng)急服務(wù)提供者的工具包應(yīng)定期更新、補充；l 必要技術(shù)的準(zhǔn)備上述是針對應(yīng)急響應(yīng)的處理涉及到的安全技術(shù)工具涵蓋應(yīng)急響應(yīng)的事件取樣、事件分析、事件隔離、系統(tǒng)恢復(fù)和攻擊追蹤等各個方面，構(gòu)成了網(wǎng)絡(luò)安全應(yīng)急響應(yīng)的技術(shù)基礎(chǔ)。 系統(tǒng)資源利用率等快照。 計劃任務(wù)快照等等；2) 對網(wǎng)絡(luò)設(shè)備做一個標(biāo)準(zhǔn)的安全初始化的狀態(tài)快照，包括的主要內(nèi)容有：252。 關(guān)鍵文件簽名快照；252。 用戶賬戶快照；252。這樣，如果以后在出現(xiàn)事故后對該服務(wù)器做安全檢測時，通過將初始化快照做的結(jié)果與檢測階段做的快照進(jìn)行比較，就能夠發(fā)現(xiàn)系統(tǒng)的改動或異常。l 內(nèi)容：根據(jù)不同角色準(zhǔn)備不同的內(nèi)容。第三部分 應(yīng)急響應(yīng)實施流程該服務(wù)流程并非一個固定不變的教條，需要應(yīng)急響應(yīng)服務(wù)人員在實際中靈活變通，可適當(dāng)簡化，但任
公司管理相關(guān)推薦
鄂ICP備17016276號-1