网络安全毕业实习实训Day11 总结

Yubaibaioo

已于 2024-09-11 22:00:35 修改

阅读量556

点赞数 12

文章标签： web安全安全

于 2024-09-11 21:59:57 首次发布

本文链接：https://blog.csdn.net/m0_62993379/article/details/142151272

版权

一、应急响应流程总结

当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作。进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。具体涵盖以下流程（注意：顺序需根据具体情况具体分析）。

1.1 准备阶段

准备（Preparation）阶段是网络安全事件响应的第一个阶段，也属于一个过渡阶段，即横跨在网络安全事件真正发生前和有迹象将要发生的时间段上，大部分工作需要在应急响应之前就已做好准备。这一阶段极为重要，因为事件发生时可能需要在短时间内处理较多事务，如果没有足够的准备，将无法准确地完成及时响应，导致难以意料的损失。

1.2 研判阶段

检测阶段确认入侵事件是否发生，如真发生了入侵事件，评估造成的危害、范围以及发展的速度，事件会不会进一步升级。然后根据评估结果通知相关的人员进入应急的流程。

检测阶段主要包括：事件类型、事件影响范围、受影响系统、事件发展趋势、安全设备等。

1.3 遏制阶段

采用针对性的安全措施降低事件损失、避免安全事件的扩散和安全事件对受害系统的持续性破坏。主要分为：物理遏制、网络遏制、主机遏制、应用遏制等。常见手段：断网、降权、网络封堵等。

1.4 根除阶段

本阶段主要任务是通过事件分析查明事件危害的方式，并且给出清除危害的解决方案。个人认为可以从以下几个方面入手：系统基本信息、网络排查、进程排查、注册表排查、计划任务排查、服务排查、关键目录排查、用户组排查、事件日志排查、webshell排查、中间件日志排查、安全设备日志排查等。

1.5 恢复阶段

恢复系统的运行过程就是把受影响系统、设备、软件和应用服务还原到正常的工作状态；系统恢复、网络恢复、用户恢复、数据恢复以及重新部署。常见手段：系统重装、补丁加固、网络恢复、密码重置、木马清除等。

1.6 跟踪阶段

在业务系统恢复后，需要整理一份详细的事件总结报告，包括事件发生及各部门介入处理的时间线，事件可能造成的损失，为客户提供安全加固优化建议。

跟踪阶段主要包括：调查事件原因，输出应急响应报告，提供安全建议、加强安全教育、避免同类事件再次发生。

1.7 取证阶段

全面收集与事件相关的证据材料，包括日志、流量数据、样本文件等。分析收集到的证据，还原事件发生的过程和攻击者的行为轨迹。

二、应急响应措施及相关操作总结

2.1 准备阶段

准备阶段的工作内容主要有2个，一是对信息网络系统进行初始化快照。二是准备应急响应工具包。系统快照是指常规情况下，信息系统进程、账号、服务端口和关键文件签名等状态信息的记录。通过在系统初始化或发生重要状态改变后，在确保系统未被入侵的前提下，立即制作并保存系统快照，并在检测的时候将保存的快照与信息系统当前状态进行对比，是后续“检测”安全事件的一种重要途径。