1. 应急响应原则
1.1 3W1H原则
3W即Who、What、Why、1H即How,做应急响应要带着疑问来做事,一定要收集清楚这些信息。网络拓扑是怎么样的?需求是啥?发生了什么事?你能做什么?用户用了什么产品?产品版本多少?病毒库版本多少?多少主机中了?主机是普通pc还是服务器?服务器是做什么的?......信息收集越多,对应急响应越有利。
1.2 易失性原则
做应急响应免不了要做信息收集和取证的,但这里是有一定的先后顺序的,即最容易丢失的证据,应该最先收集,其它的依次类推。
1.3 要素原则
做应急响应,主要是抓关键证据,即要素,这些要素包括样本,流量,日志,进程及模块,内存,启动项。
1.4 避害原则
做应急响应,要做到趋利避害,不能问题还没有解决,反而引入了新的问题。譬如,自己使用的工具被感染而不知情:给用户使用不恰当的工具或软件造成客户主机出现问题;给别人发样本,不加密,不压缩,导致别人误点中毒,最极端的场景就是给别人发勒索样本不加密压缩,导致别人误点中毒。
2. 应急响应流程(预案,研判,遏止,取证,溯源,恢复——无先后顺序,根据实际情况进行处理)
2.1 预案(预防为主)
- 预防风险:搜集威胁情报,定期漏洞扫描,内部安全宣讲等。
- 制定应急预案:针对不同风险场景,制定详细的应急响应预案,包括行动计划、团队职责、资源调配等。
- 培训演练:定期对预案进行培训和演练,提高应急响应团队的协同作战能力和应变能力。
应急响应常用命令(Linux):
2.2 研判
- 事件接收:及时接收来自监控系统、用户反馈或其他渠道的安全事件报告。
- 研判分析:对事件进行研判分析,判断是否为真实攻击事件,判断事件类型、影响范围、严重程度等。主要从主机、网络、文件三个方面来判断。
- 信息收集:收集与事件相关的信息,包括攻击者IP、攻击手法、受损情况等。
2.3 遏止
- 紧急隔离:对受影响的系统或设备进行紧急隔离,防止攻击扩散。
- 及时止损:封禁ip,踢出账号,网络隔离,重装操作系统等
- 清除恶意代码:使用杀毒软件、安全工具等手段清除系统中的恶意代码。
2.4 取证
- 证据收集:收集与事件相关的所有证据,包括日志、流量、样本等。
- 证据分析:对收集到的证据进行深入分析,在测试环境复现攻击,还原攻击过程,确定攻击者身份和攻击目的。
- 取证报告:将分析结果整理成报告,为后续处置提供依据。
2.5 溯源
- 追踪攻击路径:根据分析结果,追踪攻击者完整的攻击路径和攻击点。
- 收集攻击者信息:收集攻击者的IP地址、域名、邮箱等信息,为追踪攻击者提供线索。
- 协同处理:与相关部门和机构合作,共同追踪和打击攻击者。
2.6 恢复
- 清理修复:清理攻击痕迹,例如恶意进程、恶意文件等;对系统中存在的漏洞进行修复,防止再次被攻击。
- 恢复服务:在确保系统安全的前提下,逐步恢复受影响的服务。
- 数据恢复:对受损的数据进行恢复,确保业务连续性。
3. 总结应急响应措施及相关操作
应急响应PDCERF模型:
3.1 准备阶段
准备阶段需要及时确认安全事件背景、相关负责人联系方式、确定参与此次应急响应人员、根据情况,初步判定事件响应策略。
准备阶段主要包括:事件背景、响应人员确定、事件响应策略、相关负责人联系方式、应急响应相关授权、应急响应工具包、应急响应手册等。
3.2 检测阶段
检测阶段确认入侵事件是否发生,如真发生了入侵事件,评估造成的危害、范围以及发展的速度,事件会不会进一步升级。然后根据评估结果通知相关的人员进入应急的流程。
检测阶段主要包括:事件类型、事件影响范围、受影响系统、事件发展趋势、安全设备等。
事件类型分类
安全事件分类主要参考中央网信办发布《国家网络安全事件应急预案》,网络安全事件分为有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件和其他网络安全事件等。
- 有害程序事件分为计算机病毒事件、蠕虫事件、特洛伊木马事件、僵尸网络事件、混合程序攻击事件、网页内嵌恶意代码事件和其他有害程序事件。
- 网络攻击事件分为拒绝服务攻击事件、后门攻击事件、漏洞攻击事件、网络扫描窃听事件、网络钓鱼事件、干扰事件和其他网络攻击事件。
- 信息破坏事件分为信息篡改事件、信息假冒事件、信息泄露事件、信息窃取事件、信息丢失事件和其他信息破坏事件。
- 信息内容安全事件是指通过网络传播法律法规禁止信息,组织非法串联、煽动集会游行或炒作敏感问题并危害国家安全、社会稳定和公众利益的事件。
- 设备设施故障分为软硬件自身故障、外围保障设施故障、人为破坏事故和其他设备设施障。
- 灾害性事件是指由自然灾害等其他突发事件导致的网络安全事件。
- 其他事件是指不能归为以上分类的网络安全事件
3.3 抑制阶段
采用针对性的安全措施降低事件损失、避免安全事件的扩散和安全事件对受害系统的持续性破坏。主要分为:物理遏制、网络遏制、主机遏制、应用遏制等。
常见手段:断网、降权、网络封堵等。
3.4 根除阶段
本阶段主要任务是通过事件分析查明事件危害的方式,并且给出清除危害的解决方案。可以从以下几个方面入手:系统基本信息、网络排查、进程排查、注册表排查、计划任务排查、服务排查、关键目录排查、用户组排查、事件日志排查、webshell排查、中间件日志排查、安全设备日志排查等。
3.5 恢复阶段
恢复系统的运行过程,把受影响系统、设备、软件和应用服务还原到正常的工作状态;系统恢复、网络恢复、用户恢复、数据恢复以及重新部署。
常见手段:系统重装、补丁加固、网络恢复、密码重置、木马清除等。
3.6 跟踪阶段
在业务系统恢复后,需要整理一份详细的事件总结报告,包括事件发生及各部门介入处理的时间线,事件可能造成的损失和提供安全加固优化建议。
跟踪阶段主要包括:调查事件原因,输出应急响应报告,提供安全建议、加强安全教育、避免同类事件再次发生。