信息安全重大突发事件 应急处置报告 流程图

. .. .

..

学习参考

信息安全应急预案

V 1.0

文件名称 信息安全应急预案 密级 内部

文件编号 版 本 号 V1.0

编写部门 编 写 人

审 批 人 发布时间 . .. .

..

学习参考

. .. .

..

学习参考 第一章 总则

第一条 为提高公司网络与信息系统处理突发事件的能力，形成科学、有效、反应迅速的应急工作机制，减轻或消除突发事件的危害和影响，确保公司信息系统安全运行，最大限度地减少网络与信息安全突发公共事件的危害，特制定本预案。

第二章 适用范围

第二条 本预案适用于公司信息系统安全突发事件的应急响应。当发生重大信息安全事件时，启动本预案。

第三章 编制依据

第三条 《国家通信保障应急预案》、《中华人民共和国计算机信息系统安全保护条例》、《计算机病毒防治管理办法》、《信息安全应急响应计划规范》、《信息安全技术 信息安全事件分类分级指南》

第四章 组织机构与职责

第四条 公司信息系统网络与信息安全事件应急响应由公司信息安全领导小组统一领导。负责全中心系统信息安全应急工作的领导、决策和重大工作部署。

第五条 由公司董事长担任领导小组组长，技术部负责人担任领导小组副组长，各部门主要负责人担任小组成员。 . .. .

..

学习参考 第六条 应急领导小组下设应急响应工作小组，承担领导小组的日常工作，应急响应工作小组办公室设在技术部。主要负责综合协调网络与信息安全保障工作，并根据网络与信息安全事件的发展态势和实际控制需要，具体负责现场应急处置工作。工作小组应当经常召开会议，对近期发生的事故案例进行研究、分析，并积极开展应急响应具体实施方案的研究、制定和修订完善。

第五章 预防与预警机制

网络与信息安全应急处置流程图

网络与信息安全应急处置流程图

1.引言

网络与信息安全是当前社会中的重要议题，为应对安全事件的发生，建立一套科学、规范的应急处置流程是必不可少的。本文档旨在提供一个最新最全的网络与信息安全应急处置流程图范本，以供参考使用。

2.应急响应准备阶段

2.1 确定应急响应团队：

在组织内部确定一支专门负责网络与信息安全应急响应的团队，明确团队成员的职责和工作范围。

2.2 制定应急响应计划：

制定详细的应急响应计划，包括应急响应流程、通讯方式、协作机制等，确保在安全事件发生时能够迅速有效地响应和处置。

2.3 部署安全监测与预警系统：

部署安全监测与预警系统，及时监测并预警网络与信息安全事件的发生，为应急响应提供准确的数据支持。

3.事件鉴定与分类阶段 3.1 接收安全事件报告：

从安全监测与预警系统中接收相关安全事件的报告，并进行初步的筛选和鉴定。

3.2 进行事件溯源调查：

对报告的安全事件进行溯源调查，确定安全事件发生的原因和影响范围。

3.3 分类与优先级评估：

根据安全事件的性质、影响程度等因素，将安全事件进行分类并评估优先级，以确定后续的处置措施。

4.响应与处置阶段

4.1 启动应急响应：

确定应急响应的启动时间，通知相关人员参与应急处置工作。

4.2 抑制安全事件扩散：

采取措施尽快抑制安全事件的扩散，防止进一步的损失。

4.3 核实与调查安全事件：

对安全事件进行全面的核实和调查，收集相关证据和数据，分析事件的来源和过程。 4.4 恢复受影响的系统：

针对受影响的系统进行恢复工作，修复漏洞和安全弱点，确保系统恢复正常运行。

4.5 情报收集与分析：

收集并分析安全事件的情报，了解攻击者的行为特征和攻击手法，提供给后续的防御和预防措施参考。

⽹络安全应急响应流程图

⼀、⽹络安全应急响应建设的背景和现状

当前，许多地区和单位已经初步建⽴了⽹络安全预警机制，实现了对⼀般⽹络安全事件的预警和处置。但是，由于⽹络与信息安全技术起

步相对较晚，发展时间较短，与其他⾏业领域相⽐，其专项应急预案、应急保障机制和相关的技术⽀撑平台都还在不断发展中。各政府机

构、企业也根据⾃⾝情况，设计了服务于⾃⾝的⽹络与信息安全应急预案，建⽴有相应的制度流程和保障队伍，但相关的应急流程和保障

措施普遍存在有⾃动化程度低、与实践脱节等共性问题。在⾯对重⼤⽹络与信息安全事件时，现有机制还是凸显出⼀定的不⾜：机制尚显

薄弱，难以有效整合资源，或是难以实现从预警到评判再到应急处置的快速反应处置机制。

基于现实困境，在充分运⽤既有研究、建设成果的基础上，应当进⼀步实现信息汇聚、信息分析、联合研判、辅助决策、应急指挥、应急

演练、预案管理等核⼼处置流程，确保⼀旦发⽣重⼤信息安全事件，能够迅速研判，形成预案，迅速指挥调度相关部门执⾏应急预案，做

好应对措施，避免给国家和社会造成重⼤影响和损失，防⽌威胁国家安全的情况发⽣。⼆、⽹络安全应急响应体系的要素

建⽴良好的⽹络安全应急保障体系，使其能够真正有效地服务于⽹络安全保障⼯作，应该重点加强以下⼏⽅⾯的能⼒。

（⼀）综合分析与汇聚能⼒

⽹络安全领域的应急保障，有其⾃⾝较为明显的特点，其对象灵活多变、信息复杂海量，难以完全靠⼈⼒进⾏综合分析决策，需要依靠⾃

动化的现代分析⼯具，实现对不同来源海量信息的⾃动采集、识别和关联分析，形成态势分析结果，为指挥机构和专家提供决策依据。完

整、⾼效、智能化，是满⾜现实需求的必然选择。因此，应有效建⽴以信息汇聚（采集、接⼊、过滤、范化、归并）、管理（存储、利

⽤、管理）、分析（基础分析、统计分析、业务关联性分析、技术关联性分析）、发布（多维展现）等为核⼼的完整能⼒体系，在重⼤信

息安全事件发⽣时，能够迅速汇集各类最新信息，形成易于辨识的态势分析结果，最⼤限度地为应急指挥机构提供决策参考依据。

Contoso CSIRT（计算机安全事件响应组 小组如何响应红色代码 II 病毒

场景说明：您公司是主营业务是通过网站进行业务销售的公司，您公司已经组建了针对IT 运维系统的应急支持小组，您就是其中一员，今天在例行巡检中发现服务器有红色代码的相关迹象，请问如何进行处理？

说明：安全小组的虚拟角色和应急预案请在模拟行动前进行。 开始识别突发事件突发事件登记突发事件分类（优先级/种类）服务请求调查/诊断处理资源足够事件升级（直线上级优先)寻求解决方案同意处理结果与客户确认结束报告/归档是否否归档处理否CMDB是是否服务请求处理是结束突发事件管理流程

事件响应步骤 采取的行动

进行初期评估 Samantha Smith 是随时待命的 CSIRT 成员，她查看 Contoso 入侵检测系统所记录的事件的简短描述。系统指出在 Web 服务器 WEB2 上可能发生红色代码 II 事件。她检查 WEB2 服务器的 Internet 信息服务 (IIS) 日志文件中的签名字符串，并检查 c:\inetpub\scripts 中是否存在 root.exe。调查的结果表明这不太可能是假阳性检测。

报告事件 Samantha 通过电话告知 CSIRT 的其他成员她刚刚发现的问题，并答应一旦发现更多的迹象会随时报告。

减少损失并将风险控制在最小 Contoso 的事件响应策略指出一旦证实系统中有蠕虫存在，应断开系统与网络的连接。Samantha 去掉了网线。幸运的是，WEB2 是负载均衡的一组服务器中的一部分，因此不会由于该系统的断开而使网络服务中断。

报告事件 Samantha 通过电子邮件将所发现的问题报告给 CSIRT 的其他成员，并直接与 CSIRT 领导联系。CSIRT

领导指定由信息安全经理 Taylor Maxwell 担任事件领导。Taylor 将协调所有活动，并与核心 CSIRT 交换信息。

Taylor 通知技术部主任以及随时待命的信息技术组，Web 服务器已断开与网络的连接，至少应在清除蠕虫之后再将其重新连接。