信息安全事件的应急响应与处理

Contoso CSIRT（计算机安全事件响应组 小组如何响应红色代码 II 病毒

场景说明：您公司是主营业务是通过网站进行业务销售的公司，您公司已经组建了针对IT 运维系统的应急支持小组，您就是其中一员，今天在例行巡检中发现服务器有红色代码的相关迹象，请问如何进行处理？

说明：安全小组的虚拟角色和应急预案请在模拟行动前进行。 开始识别突发事件突发事件登记突发事件分类（优先级/种类）服务请求调查/诊断处理资源足够事件升级（直线上级优先)寻求解决方案同意处理结果与客户确认结束报告/归档是否否归档处理否CMDB是是否服务请求处理是结束突发事件管理流程

事件响应步骤 采取的行动

进行初期评估 Samantha Smith 是随时待命的 CSIRT 成员，她查看 Contoso 入侵检测系统所记录的事件的简短描述。系统指出在 Web 服务器 WEB2 上可能发生红色代码 II 事件。她检查 WEB2 服务器的 Internet 信息服务 (IIS) 日志文件中的签名字符串，并检查 c:\inetpub\scripts 中是否存在 root.exe。调查的结果表明这不太可能是假阳性检测。

报告事件 Samantha 通过电话告知 CSIRT 的其他成员她刚刚发现的问题，并答应一旦发现更多的迹象会随时报告。

减少损失并将风险控制在最小 Contoso 的事件响应策略指出一旦证实系统中有蠕虫存在，应断开系统与网络的连接。Samantha 去掉了网线。幸运的是，WEB2 是负载均衡的一组服务器中的一部分，因此不会由于该系统的断开而使网络服务中断。

报告事件 Samantha 通过电子邮件将所发现的问题报告给 CSIRT 的其他成员，并直接与 CSIRT 领导联系。CSIRT

领导指定由信息安全经理 Taylor Maxwell 担任事件领导。Taylor 将协调所有活动，并与核心 CSIRT 交换信息。

Taylor 通知技术部主任以及随时待命的信息技术组，Web 服务器已断开与网络的连接，至少应在清除蠕虫之后再将其重新连接。

信息安全应急响应流程

信息安全按重要性表述为下面金字塔结构，越往上重要性越高。

针对各种突发事故，确定事故发生所在级别，并采取相应级别的应急措施。

各级别应急措施如下

1、数据完整

如果数据已经被破坏，要立即从定期自动备份的数据还原恢复，并尝试手动恢复未备份的增量数据，将数据损失将至最低。

2、防病毒木马和防入侵

如果发现感染了病毒或木马，要立即进行病毒木马查杀，检查杀毒软件是否完好，否则需要重装或更换杀毒软件，如果发现被入侵，要立即查找并清除入侵后门，修复入侵后被破坏的程序，并评估和更新防入侵程序和措施。 3、服务器正常运转

如果服务器出现故障，当检查是系统故障还是硬件故障，如果是系统故障，尝试修复系统，如果不行则通过克隆还原系统，还原之前需导出重要数据，还原系统后通常还需要更新更上级的防病毒木马和防入侵措施，和还原重要数据。如果是硬件故障，还需要区分是硬盘存储设备故障还是其他硬件故障，如果存储设备完好，要先保障存储设备上的数据完整，重新搭建服务器或更换损坏零件。

4、网络畅通

如果是院内网络故障，需及时排除故障，如果是设备损害无法修复，则需紧急重新设置网络结构，保障服务对外畅通，如果技术力量不够，需向相关供应商或集成商请求技术支援。

第 1 页 共 12 页 信息系统安全措施和应急处理预案

信息系统安全是指在信息系统的设计、开发、部署和维护过程中，采取一系列的措施和方法，保护信息系统的可靠性、完整性、可用性和保密性，防止信息系统受到恶意攻击、破坏和泄露。

一、信息系统安全措施

1.物理安全措施：

（1）机房的选择和布局要合理，远离有害环境和易发生事故的地方；

（2）机房要建设防火、防爆、防水等安全设施；

（3）机房要配置监控设备，确保安全监控全天候运行；

（4）机房内实施访客登记，限制无关人员进入。

2.网络安全措施：

（1）建立网络边界防火墙，策略设置合理；

（2）配置入侵检测系统和入侵防御系统，及时发现和阻止网络攻击行为；

（3）加强对内外网数据包的过滤和监测；

（4）及时更新网络设备的安全补丁，确保设备的安全性。

3.身份认证与访问控制：

（1）使用强密码和多因素认证技术，保护用户账号的安全；

（2）根据用户的权限设置访问控制策略，确保信息的机密性和完整性； 第 2 页 共 12 页 （3）定期审计用户权限，及时撤销无效用户账号；

（4）加强对管理员账号的权限控制，避免滥用权限。

4.数据保护措施：

（1）对重要的数据进行备份，保证数据的完整性和可用性；

（2）建立合理的数据权限控制机制，确保数据的机密性；

（3）配置数据加密设备，防止数据在传输中被窃取；

（4）建立数据恢复机制，及时恢复因软硬件故障导致的数据损失。

二、应急处理预案

1.漏洞管理预案：

（1）定期对系统进行安全扫描和漏洞评估，及时发现系统存在的漏洞；

（2）制定漏洞修复计划，对高危漏洞进行紧急修补；

（3）建立漏洞快速响应机制，及时更新涉及漏洞的系统和应用；

（4）建立漏洞报告和修复记录，追踪漏洞的修复情况。

2.访问控制管理预案：

（1）建立用户权限管理制度，用户申请和注销要经过严格审批；

（2）及时收集用户的访问日志和行为日志，发现异常行为进行及时处理；

信息安全事件响应与应急处理的服务流程解析

随着信息技术的发展，网络安全问题日益严重。为了应对潜在的信息安全威胁，信息安全事件响应与应急处理成为了组织和企业必备的能力。本文将分析信息安全事件响应与应急处理的服务流程，并探究其重要性和步骤。

信息安全事件响应与应急处理是指在信息系统遭受安全威胁或遭受攻击后，组织或企业采取一系列措施来迅速恢复系统功能、保护重要数据，以及调查事件的过程。这个过程的目标是最小化安全漏洞造成的损失，并恢复受影响的信息系统。为了达到这个目标，需要建立一个完善的响应和应急处理服务流程。

首先，信息安全事件的响应流程可以分为四个关键阶段：识别、评估、解决和恢复。首先是识别阶段，在这一阶段，组织或企业需要建立一个监测系统来及时发现潜在的安全事件，并及时报告给相应的责任人。其次是评估阶段，即评估安全事件的严重性和影响范围。在这个阶段，可以进行初步的调查和分析，以确定事件的原因和可能的影响。然后是解决阶段，即制定并执行应对措施的阶段。这包括封锁攻击来源、清理恶意代码、修复安全漏洞等操作。最后是恢复阶段，即在解决安全事件之后，对受影响的系统进行恢复和修复，确保系统能够重新正常运行。

其次，要建立一个高效的信息安全事件响应与应急处理服务流程，需要明确各个阶段的任务和责任。首先是建立一个责任明确的安全应急响应团队。这个团队需要包括来自不同部门的专业人员，例如网络安全专家、数据恢复专家、法务人员等。其次是明确各个团队成员的职责，每个人都需要清楚自己在整个过程中的工作职责和要求。此外，这个团队需要定期进行培训和演练，以保持高效的应对能力和熟悉应急处理流程。

同时，安全事件响应与应急处理的服务流程还需要建立一个良好的沟通机制。这包括内部沟通和外部沟通。内部沟通是指团队成员之间的沟通和协作，可以通过电子邮件、会议、内部通知等形式进行。外部沟通则是与外部合作伙伴、业务伙伴、公共安全机构等的沟通。在处理安全事件的过程中，及时和准确地沟通是非常重要的，可以帮助减少信息的误解和不必要的延误。