应急响应(日志/流量)

事件分类

1. 有害程序事件
2. 网络攻击事件
3. 信息破坏事件
4. 事件内容安全事件
5. 设备设施故障事件
6. 灾害性事件
7. 其它事件

应急响应工作流程

准备阶段

• 应急团队建设
• 应急方案制定
• 等级保护测评

检测阶段

• 判断安全设备告警
• 判断事件类型
• 判断事件级别
• 确定应急方案

抑制阶段

• 阻断:封禁IP、断开网络连接．隔离失陷主机
• 排查:排查可疑进程、排查可疑服务、审计各类日志、排查可疑账户、排查可疑文件

根除阶段

• 修复:系统漏洞.网站漏洞
• 更新:安全策略、威胁情报
• 还原:操作系统.业务系统

恢复阶段

• 恢复:恢复网络通信、恢复业务系统

总结阶段

• 应急报告输出
• 事件会议总结
• 应急工作优化

日志分析简介

日志:日志文件为服务器、工作站、防火墙和应用软件等IT资源相关活动记录必要的、有价值的信息。日志文件中的记录可提供以下用途:监控系统资源;审计用户行为;对可疑行为进行告警;确定入侵行为的范围;为恢复系统提供帮助;生成调查报告;为打击计算机犯罪提供证据来源。

日志分析的目的:
在安全事件的应急处置中，日志分析的目的很明确，就是要对攻击行为进行溯源。
攻击者IP:定位攻击者，用于抓捕或者进一步溯源
攻击范围、攻击流程:摸清攻击行为，寻找过程中的安全薄弱点，进行加固防范利用的脆弱点:针对性的进行漏洞加固