网络信息安全事件案例分析

网络与信息安全事件应急预案

1 总则

为做好应对网络与信息安全事件的各项准备工作，提高应急处理能力，结合本市实际，制定本预案。

1.1 编制依据

《中华人民共和国突发事件应对法》、《北京市实施办法》、《北京市信息化促进条例》等法律法规，《国家突发公共事件总体应急预案》、《国家网络与信息安全事件应急预案》、《北京市突发公共事件应急总体预案》、《信息安全事件分类分级指 南》等相关规定。

1.2 事件分类分级

1.2.1 事件分类

网络与信息安全事件分为有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障和灾害性事件等。

(1)有害程序事件分为计算机病毒事件、蠕虫事件、特洛伊木马事件、僵尸网络事件、混合程序攻击事件、网页内嵌恶意代码事件和其他有害程序事件。

(2)网络攻击事件分为拒绝服务攻击事件、后门攻击事件、漏洞攻击事件、网络扫描窃听事件、网络钓鱼事件、干扰事件和其他网络攻击事件。

(3)信息破坏事件分为信息篡改事件、信息假冒事件、信息泄露事件、信息窃取事件、信息丢失事件和其他信息破坏事件。

(4)信息内容安全事件是指通过网络传播法律法规禁止信息，组织非法串联、煽动集会游行或炒作敏感问题并危害国家安全、社会稳定和公众利益的事件。

(5)设备设施故障分为软硬件自身故障、外围保障设施故障、人为破坏事故和其他设备设施故障。

(6)灾害性事件是指由自然灾害等其他突发事件导致的网络与信息安全事件。

1.2.2 事件分级

网络与信息安全事件分为四级：特别重大(Ⅰ级)、重大(Ⅱ级)、较大(Ⅲ级)、一般(Ⅳ级)。

(1)符合下列情形之一的，为特别重大网络与信息安全事件(Ⅰ级)：

①信息系统中断运行2小时以上、影响人数100万人以上。

②信息系统中的数据丢失或被窃取、篡改、假冒，对国家安全和社会稳定构成特别严重威胁，或导致10亿元人民币以上的经济损失。

③其他对国家安全、社会秩序、经济建设和公众利益构成特别严重威胁、造成特别严重影响的网络与信息安全事件。

工业控制网络信息安全案例

一、澳大利亚马卢奇污水处理厂非法入侵事件

2000年3月，澳大利亚昆士兰新建的马卢奇污水处理厂出现故障，无线连接信号丢失，污水泵工作异常，报警器也没有报警。本以为是新系统的磨合问题，后来发现是该厂前工程师VitekBoden因不满工作续约被拒而蓄意报复所为。

这位前工程师通过一台手提电脑和一个无线发射器控制了150个污水泵站；前后三个多月，总计有100万公升的污水未经处理直接经雨水渠排入自然水系，导致当地环境受到严重破坏。

二、美国Davis-Besse核电站受到Slammer蠕虫攻击事件

2003年1月，美国俄亥俄州Davis-Besse核电站和其它电力设备受到SQLSlammer蠕虫病毒攻击，网络数据传输量剧增，导致该核电站计算机处理速度变缓、安全参数显示系统和过程控制计算机连续数小时无法工作。

经调查发现，一供应商为给服务器提供应用软件，在该核电站网络防火墙后端建立了一个无防护的T1链接，病毒就是通过这个链接进入核电站网络的。这种病毒主要利用SQLServer2000中1434端口的缓冲区溢出漏洞进行攻击，并驻留在内存中，不断散播自身，使得网络拥堵，造成SQLServer无法正常工作或宕机。实际上，微软在半年前就发布了针对SQLServer2000这个漏洞的补丁程序，但该核电站并没有及时进行更新，结果被Slammer病毒乘虚而入。 三、美国BrownsFerry核电站受到网络攻击事件

2006年8月，美国阿拉巴马州的BrownsFerry核电站3号机组受到网络攻击，反应堆再循环泵和冷凝除矿控制器工作失灵，导致3号机组被迫关闭。

原来，调节再循环泵马达速度的变频器（VFD）和用于冷凝除矿的可编程逻辑控制器（PLC）中都内嵌了微处理器。通过微处理器，VFD和PLC可以在以太局域网中接受广播式数据通讯。但是，由于当天核电站局域网中出现了信息洪流，VFD和PLC无法及时处理，致使两设备瘫痪。

信息安全事件与分析

对于信息安全行业而言，刚过去不久的2011无疑是“多事之秋”。年初的索尼PlayStation

network的泄密事件为这“不寻常”的一年“正式”拉开帷幕，而年末的知名开发者社区CSDN信息泄密事件则是使得2011惨淡收官。

像其他领域的安全事件一样，信息安全事件的发生，是任何人都不愿意看到的。然而信息安全如雷贯耳般的警钟声却不容忽视。以史为鉴，可以知兴替。通过总结、分析已经发生的信息安全事件，我们可审视自身的不足，提高防范，以最大限度避免类似事件的发生。 下面，跟大家一起回顾2011年影响较大的10大信息安全事件，看看有怎样的经验与教训值得我们深思。

10. 安全机构也中枪——RSA遭入侵 事件回放： 2011年3月17日，美国RSA的执行总裁在其官网上发表一封公开信称，有人以APT（Advance Persistent Threat,先进持续性威胁）的攻击方式对RSA发起了相当复杂的网络攻击，并入侵窃取了RSA系统中的重要数据，而这些数据中有些是专门用于RSA的SecurID双因素认证的产品。事件发生后，RSA为部分用户更换了Secure ID，并建议用户注意异常情况，同时加强令牌管理及注意社交工程攻击。 随后的5月份，美国军火商洛克希德马丁公司传言遭受网络攻击，导致部分机密武器资料等泄漏。有传言称，此次攻击，黑客正是利用了早前失窃的RSA SecureID数据，复制了洛克希德马丁公司使用的SecureID令牌，并最终实施了入侵。 评论： Secure ID双因素认证以及CA证书技术，都是目前应用广泛的安全技术，广泛应用于政府机构、企业、金融等敏感部门，典型的如网银登录等，可以说，一旦出现漏洞，会造成非常重大的实质性损失，波及范围也会非常广泛，站在黑客的角度，自然跟更有利可图。因此，威胁也就更大。 这一事件提醒了我们，在你部署了你认为足够安全和全面的安全措施之后，你可能还是不够安全。这就好像你买了一把高级密码锁来保护你的资产，结果不怀好意者拿到了原配的钥匙；更有甚者，不怀好意者甚至卖了一把假的锁给你，让你的防线形同虚设。 这就需要我们重视安全审计，不放过系统中的任何一点异动，即使你觉得已经部署了足够安全的措施——因为没有绝对的安全。

附录2：网络与信息安全突发事件报告单

报告单位 报告时间 年 月 日 时

事发单位 事件起始时间 年 月 日 时

填报人 审核人

事件分类 □有害程序类事件 □网络攻击类事件 □信息破坏类事件

□信息内容安全类事件 □故障类事件 □灾害类事件

□其它类事件

事件级别 □Ⅰ级 □Ⅱ级 □Ⅲ级 □Ⅳ级

危害表象 □网络中断 □系统瘫痪 □数据毁坏 □数据泄密 □其它危害

事件描述（包括突发事件发生原因、性质，初步原因和危害程度判断）：

处置措施：

（突发事件发生单位已采取的控制措施及其他应对措施）

事件后果的初步估计：

有关意见和建议