信息安全應(yīng)急響應(yīng)服務(wù)流程(參考版)
2025-04-10 23:01本頁(yè)面
【正文】 事故報(bào)告l 應(yīng)急服務(wù)提供者應(yīng)向服務(wù)對(duì)象提供完備的網(wǎng)絡(luò)安全事件處理報(bào)告；l 應(yīng)急服務(wù)提供者應(yīng)向服務(wù)對(duì)象提供網(wǎng)絡(luò)安全方面的措施和建議；l 上述總結(jié)報(bào)告的具體信息參考Excel表《應(yīng)急響應(yīng)報(bào)告表》。 采取的主要應(yīng)對(duì)措施；252。 系統(tǒng)的損害程度評(píng)估；252。 事件發(fā)生的現(xiàn)象總結(jié)；252。l 角色：應(yīng)急服務(wù)實(shí)施小組、應(yīng)急響應(yīng)日常運(yùn)行小組。 開啟系統(tǒng)和應(yīng)用服務(wù)，將受到入侵或者懷疑存在漏洞而關(guān)閉的服務(wù)，修改后重新開放；252。 恢復(fù)信息系統(tǒng)l 應(yīng)急響應(yīng)實(shí)施小組應(yīng)按照系統(tǒng)的初始化安全策略恢復(fù)系統(tǒng)；l 恢復(fù)系統(tǒng)時(shí)，應(yīng)根據(jù)系統(tǒng)中個(gè)子系統(tǒng)的重要性，確定系統(tǒng)恢復(fù)的順序；l 恢復(fù)系統(tǒng)過(guò)程宜包含但不限于以下方面：252。 如何恢復(fù)系統(tǒng)數(shù)據(jù)；252。 如何獲得安裝所需的硬件部件；252。 如何獲得訪問(wèn)受損設(shè)施或地理區(qū)域的授權(quán)；252。l 角色：應(yīng)急服務(wù)實(shí)施小組、應(yīng)急響應(yīng)日常運(yùn)行小組。 提高其監(jiān)視保護(hù)級(jí)別，以保證將來(lái)對(duì)類似的入侵進(jìn)行檢測(cè)； 根除效果的判定l 找出造成事件的原因，備份與造成事件的相關(guān)文件和數(shù)據(jù)；l 對(duì)系統(tǒng)中的文件進(jìn)行清理，根除；l 使系統(tǒng)能夠正常工作。 修補(bǔ)系統(tǒng)、網(wǎng)絡(luò)和其他軟件漏洞；252。 根除方案的實(shí)施l 應(yīng)急服務(wù)提供者應(yīng)使用可信的工具進(jìn)行安全事件的根除處理，不得使用受害系統(tǒng)已有的不可信的文件和工具；l 根除措施易包含但不僅限與以下幾個(gè)方面：252。l 內(nèi)容：(1) 根除方案的確定；(2) 根除方案的認(rèn)可；(3) 根除方案的實(shí)施；(4) 根除效果的判定；l 輸出：《根除處理記錄表》、《…》 根除方案的確定l 應(yīng)急服務(wù)提供者應(yīng)協(xié)助服務(wù)對(duì)象檢查所有受影響的系統(tǒng)，在準(zhǔn)確判斷安全事件原因的基礎(chǔ)上，提出方案建議；l 由于入侵者一般會(huì)安裝后門或使用其他的方法以便于在將來(lái)有機(jī)會(huì)侵入該被攻陷的系統(tǒng)，因此在確定根除方法時(shí)，需要了解攻擊者時(shí)如何入侵的，以及與這種入侵方法相同和相似的各種方法。（Eradicates）l 目標(biāo)：對(duì)事件進(jìn)行抑制之后，通過(guò)對(duì)有關(guān)事件或行為的分析結(jié)果，找出事件根源，明確相應(yīng)的補(bǔ)救措施并徹底清除。 設(shè)置陷阱，如蜜罐系統(tǒng)；或者反擊攻擊者的系統(tǒng)。 使用net share或其他第三方的工具停止所有開放的共享；252。 關(guān)閉存在的非法服務(wù)和不必要的服務(wù)；252。 停止或刪除系統(tǒng)非正常帳號(hào)，隱藏帳號(hào)，更改口令，加強(qiáng)口令的安全級(jí)別；252。 確定受害系統(tǒng)的范圍后，將被害系統(tǒng)和正常的系統(tǒng)進(jìn)行隔離，斷開或暫時(shí)關(guān)閉被攻擊的系統(tǒng)，使攻擊先徹底停止；252。 抑制方案的認(rèn)可l 應(yīng)急服務(wù)提供者應(yīng)告知服務(wù)對(duì)象所面臨的首要問(wèn)題；l 應(yīng)急服務(wù)提供者所確定的抑制方法和相應(yīng)的措施應(yīng)得到服務(wù)對(duì)象的認(rèn)可；l 在采取抑制措施之前，應(yīng)急服務(wù)提供者要和服務(wù)對(duì)象充分溝通，告知可能存在的風(fēng)險(xiǎn)，制定應(yīng)變和回退措施，并與其達(dá)成協(xié)議。 服務(wù)對(duì)象的業(yè)務(wù)和重點(diǎn)決策過(guò)程；252。 全面評(píng)估入侵范圍、入侵帶來(lái)的影響和損失；252。l 角色：應(yīng)急服務(wù)實(shí)施小組、應(yīng)急響應(yīng)日常運(yùn)行小組。l 評(píng)估突發(fā)信息安全事件的影響采用定量和/或定性的方法，對(duì)業(yè)務(wù)中斷、系統(tǒng)宕機(jī)、網(wǎng)絡(luò)癱瘓數(shù)據(jù)丟失等突發(fā)信息安全事件造成的影響進(jìn)行評(píng)估：l 確定是否存在針對(duì)該事件的特定系統(tǒng)預(yù)案，如有，則啟動(dòng)相關(guān)預(yù)案；如果事件涉及多個(gè)專項(xiàng)預(yù)案，應(yīng)同時(shí)啟動(dòng)所有涉及的專項(xiàng)預(yù)案；l 如果沒(méi)有針對(duì)該事件的專項(xiàng)預(yù)案，應(yīng)根據(jù)事件具體情況，采取抑制措施，抑制事件進(jìn)一步擴(kuò)散。252。252。252。252。252。252。信息安全事件可以有以下7個(gè)基本分類：252。 查找其他入侵痕跡目標(biāo)：查找其它系統(tǒng)上的入侵痕跡，尋找攻擊途徑說(shuō)明：其它系統(tǒng)包括：同一IP地址段或同一網(wǎng)段的系統(tǒng)、同一域的其他系統(tǒng)、擁有相同操作系統(tǒng)的其他系統(tǒng)。說(shuō)明：使用防病毒軟件檢查文件，掃描硬盤上所有的文件，保存到EEAN\artifact目錄下的相應(yīng)子目錄中。 252。 共享檢查目標(biāo)：檢查非法共享目錄。 網(wǎng)絡(luò)連接檢查目標(biāo)：檢查非正常網(wǎng)絡(luò)連接和開放的端口說(shuō)明：關(guān)閉所有的網(wǎng)絡(luò)通訊程序，以免出現(xiàn)干擾，然后使用ipconfig, netstat –an或其它第三方工具查看所有連接，檢查服務(wù)端口開放情況和異常數(shù)據(jù)的信息。 自啟動(dòng)檢查目標(biāo)：檢查未授權(quán)自啟動(dòng)程序說(shuō)明：檢查系統(tǒng)各用戶“啟動(dòng)”目錄下是否存在未授權(quán)程序。 服務(wù)檢查目標(biāo)：檢查系統(tǒng)是否存在非法服務(wù)說(shuō)明：使用“管理工具”中的“服務(wù)”查看非法服務(wù)或使用冰刃、Wsystem察看當(dāng)前服務(wù)情況，利用這些獲得的信息和準(zhǔn)備階段做的服務(wù)快照工作進(jìn)行對(duì)比。 進(jìn)程檢查目標(biāo)：檢查是否存在未被授權(quán)的應(yīng)用程序或服務(wù)說(shuō)明：使用任務(wù)管理器檢查或使用進(jìn)程查看工具進(jìn)行查看，利用這些獲得的信息和前面準(zhǔn)備階段做的進(jìn)程快照工作進(jìn)行對(duì)比，判斷是否有可疑的進(jìn)程。 帳號(hào)檢查目標(biāo)：檢查帳號(hào)信息中非正常帳號(hào)，隱藏帳號(hào)；說(shuō)明：通過(guò)詢問(wèn)管理員或負(fù)責(zé)人，或者和系統(tǒng)的所有的正常帳號(hào)列表做對(duì)比，判斷是否有可疑的陌生的賬號(hào)出現(xiàn)
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1