信息安全毕业实训实习-Day11

1. 应急响应原则

1.1 3W1H原则

3W即Who、What、Why、1H即How，做应急响应要带着疑问来做事，一定要收集清楚这些信息。网络拓扑是怎么样的？需求是啥？发生了什么事？你能做什么？用户用了什么产品？产品版本多少？病毒库版本多少？多少主机中了？主机是普通pc还是服务器？服务器是做什么的？......信息收集越多，对应急响应越有利。

1.2 易失性原则

做应急响应免不了要做信息收集和取证的，但这里是有一定的先后顺序的，即最容易丢失的证据，应该最先收集，其它的依次类推。

1.3 要素原则

做应急响应，主要是抓关键证据，即要素，这些要素包括样本，流量，日志，进程及模块，内存，启动项。

1.4 避害原则

做应急响应，要做到趋利避害，不能问题还没有解决，反而引入了新的问题。譬如，自己使用的工具被感染而不知情：给用户使用不恰当的工具或软件造成客户主机出现问题；给别人发样本，不加密，不压缩，导致别人误点中毒，最极端的场景就是给别人发勒索样本不加密压缩，导致别人误点中毒。

2. 应急响应流程（预案，研判，遏止，取证，溯源，恢复——无先后顺序，根据实际情况进行处理）

2.1 预案（预防为主）

• 预防风险：搜集威胁情报，定期漏洞扫描，内部安全宣讲等。
• 制定应急预案：针对不同风险场景，制定详细的应急响应预案，包括行动计划、团队职责、资源调配等。
• 培训演练：定期对预案进行培训和演练，提高应急响应团队的协同作战能力和应变能力。

应急响应常用命令（Linux）：

应急响应-主机安全之系统及进程排查相关命令

应急响应-主机安全之文件相关命令（Linux操作系统）

应急响应-主机安全之网络相关命令

2.2 研判

• 事件接收：及时接收来自监控系统、用户反馈或其他渠道的安全事件报告。
• 研判分析：对事件进行研判分析，判断是否为真实攻击事件，判断事件类型、影响范围、严重程度等。主要从主机、网络、文件三个方面来判断。
• 信息收集：收集与事件相关的信息，包括攻击者IP、攻击手法、受损情况等。

2.3 遏止

• 紧急隔离：对受影响的系统或设备进行紧急隔离，防止攻击扩散。
• 及时止损：封禁ip，踢出账号，网络隔离，重装操作系统等
• 清除恶意代码：使用杀毒软件、安全工具等手段清除系统中的恶意代码。

2.4 取证

• 证据收集：收集与事件相关的所有证据，包括日志、流量、样本等。
• 证据分析：对收集到的证据进行深入分析，在测试环境复现攻击，还原攻击过程，确定攻击者身份和攻击目的。
• 取证报告：将分析结果整理成报告，为后续处置提供依据。

2.5 溯源

• 追踪攻击路径：根据分析结果，追踪攻击者完整的攻击路径和攻击点。
• 收集攻击者信息：收集攻击者的IP地址、域名、邮箱等信息，为追踪攻击者提供线索。
• 协同处理：与相关部门和机构合作，共同追踪和打击攻击者。

2.6 恢复

• 清理修复：清理攻击痕迹，例如恶意进程、恶意文件等；对系统中存在的漏洞进行修复，防止再次被攻击。
• 恢复服务：在确保系统安全的前提下，逐步恢复受影响的服务。
• 数据恢复：对受损的数据进行恢复，确保业务连续性。

3. 总结应急响应措施及相关操作

应急响应PDCERF模型：

3.1 准备阶段

准备阶段需要及时确认安全事件背景、相关负责人联系方式、确定参与此次应急响应人员、根据情况，初步判定事件响应策略。

准备阶段主要包括：事件背景、响应人员确定、事件响应策略、相关负责人联系方式、应急响应相关授权、应急响应工具包、应急响应手册等。

3.2 检测阶段

检测阶段确认入侵事件是否发生，如真发生了入侵事件，评估造成的危害、范围以及发展的速度，事件会不会进一步升级。然后根据评估结果通知相关的人员进入应急的流程。

检测阶段主要包括：事件类型、事件影响范围、受影响系统、事件发展趋势、安全设备等。

事件类型分类

安全事件分类主要参考中央网信办发布《国家网络安全事件应急预案》，网络安全事件分为有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件和其他网络安全事件等。

1. 有害程序事件分为计算机病毒事件、蠕虫事件、特洛伊木马事件、僵尸网络事件、混合程序攻击事件、网页内嵌恶意代码事件和其他有害程序事件。
2. 网络攻击事件分为拒绝服务攻击事件、后门攻击事件、漏洞攻击事件、网络扫描窃听事件、网络钓鱼事件、干扰事件和其他网络攻击事件。
3. 信息破坏事件分为信息篡改事件、信息假冒事件、信息泄露事件、信息窃取事件、信息丢失事件和其他信息破坏事件。
4. 信息内容安全事件是指通过网络传播法律法规禁止信息，组织非法串联、煽动集会游行或炒作敏感问题并危害国家安全、社会稳定和公众利益的事件。
5. 设备设施故障分为软硬件自身故障、外围保障设施故障、人为破坏事故和其他设备设施障。
6. 灾害性事件是指由自然灾害等其他突发事件导致的网络安全事件。
7. 其他事件是指不能归为以上分类的网络安全事件  

3.3 抑制阶段

采用针对性的安全措施降低事件损失、避免安全事件的扩散和安全事件对受害系统的持续性破坏。主要分为：物理遏制、网络遏制、主机遏制、应用遏制等。

常见手段：断网、降权、网络封堵等。

3.4 根除阶段

本阶段主要任务是通过事件分析查明事件危害的方式，并且给出清除危害的解决方案。可以从以下几个方面入手：系统基本信息、网络排查、进程排查、注册表排查、计划任务排查、服务排查、关键目录排查、用户组排查、事件日志排查、webshell排查、中间件日志排查、安全设备日志排查等。

3.5 恢复阶段

恢复系统的运行过程，把受影响系统、设备、软件和应用服务还原到正常的工作状态；系统恢复、网络恢复、用户恢复、数据恢复以及重新部署。

常见手段：系统重装、补丁加固、网络恢复、密码重置、木马清除等。

3.6 跟踪阶段

在业务系统恢复后，需要整理一份详细的事件总结报告，包括事件发生及各部门介入处理的时间线，事件可能造成的损失和提供安全加固优化建议。

跟踪阶段主要包括：调查事件原因，输出应急响应报告，提供安全建议、加强安全教育、避免同类事件再次发生。