【网络安全】安全运营知识点小结

什么是安全运营

安全运营是指通过持续监控、有效响应和漏洞管理等措施，保护组织的信息技术系统免受网络威胁和攻击，确保数据安全、系统可用性和业务连续性的活动和实践

信息安全（CIA）三要素

机密性 （Confidentiality）	确保信息只能被授权的个人、实体或系统访问，未经授权者无法获得或查看信息内容。 保持信息的机密性可以防止敏感信息泄露给未授权的人员或系统，从而保护信息的完整性和可信度
完整性 （Intergrity）	确保信息在创建、传输、存储过程中没有被意外地篡改、损坏或未经授权地修改。 保持信息的完整性可以确保信息的准确性和可靠性，避免因信息篡改而导致的误导、损失或安全问题
可用性 （Availability）	确保信息在需要时能够及时可靠地访问和使用。 信息和信息系统需要在面对意外事件或恶意攻击时保持可用状态，不因各种故障或攻击而无法访问或使用，从而保证业务连续性和效率

安全合规小结

合规性审查与评估	审查和评估组织是否符合适用的法律法规、行业标准、政府规定和内部规定。这包括定期进行合规性检查，以确保网络安全策略、程序和控制措施的有效性和合规性
数据保护与隐私	确保数据保护和隐私保护措施符合适用的数据保护法律（如GDPR、CCPA等）和行业标准。包括数据收集、处理、存储、传输和销毁过程中的安全措施和合规要求
安全标准和框架遵循	遵循行业标准和安全框架，如ISO 27001信息安全管理系统、NIST Cybersecurity Framework等，以指导和实施网络安全控制措施，并确保符合这些标准的要求
访问控制和身份验证	实施有效的访问控制措施和身份验证机制，以限制对系统和数据的访问，并确保只有授权人员能够访问和处理敏感信息
风险管理和合规监控	实施风险管理流程，定期评估网络安全威胁和漏洞，并采取必要的措施来管理和减少风险。同时，监控合规状态，及时发现和应对合规问题和违规行为
安全意识培训与教育	提供员工和相关利益相关者必要的网络安全培训和教育，以增强他们的安全意识，使其能够识别和应对潜在的安全威胁和风险
应急响应和事件管理	建立和维护有效的应急响应计划和事件管理流程，以及时应对网络安全事件和数据泄露，减少潜在损失和影响
监管合规报告与沟通	定期向监管机构、内部管理层和其他利益相关者报告网络安全合规状况，保持沟通和透明度

运营流程

确立 - 安全目标	明确保障的目标有哪些 圈定保障的范围 确立保障目标所需能力
梳理 - 资产清单	梳理资产及对应业务清单 明确资产所属部门及责任人 明确资产&业务重要性
整合 - 安全能力	明确达成保障目标及范围现有的安全能力 梳理各项能力的安全策略进行方案调整 完成各安全能力与运营平台的对接
沉淀 - 运营经验	梳理过往常见安全问题和日常事务 梳理过往常规安全工作处置办法 梳理过往运营团队组织人员分工
建立 - 机制流程	基于以上信息完成各体系权责划分 基于建设思路进行场景分类与事件分类 基于场景及运营经验构建机制流程

应急响应常见流程

准备 -> 检测 -> 抑制 -> 根除 -> 恢复 -> 总结

准备	建立应急响应团队：确定应急响应团队的成员及其职责。包括安全专家、系统管理员和相关利益相关者 建立应急响应计划：制定详细的应急响应计划，包括流程、联系方式、紧急联系人信息等 配置监控和日志记录：确保系统中配置了足够详细的监控和日志记录，以便在有安全事件发生时能够及时检测和响应
检测	安全事件检测：使用安全信息和事件管理系统（SIEM）、入侵检测系统（IDS/IPS）等工具来实时监测系统和网络活动 异常行为分析：分析日志和监控数据，寻找异常行为模式，如未经授权的访问、异常流量等
抑制	快速响应措施：一旦发现异常活动，立即采取措施限制其影响范围，如隔离受感染系统、关闭漏洞等 恢复关键服务：确保重要服务仍能正常运行，可以考虑临时修复措施来保持业务连续性
根除	确定根本原因：分析安全事件的根本原因，如漏洞、恶意软件等，并进行彻底的修复措施 修复系统漏洞：更新和修补系统，确保不再受到同类攻击的影响
恢复	系统恢复：恢复受影响系统到正常运行状态，包括数据恢复、服务重新启动等 完整性检查：确保恢复的数据和系统完整性，通过测试验证系统的正常运行
总结	事件总结和报告：记录整个事件响应过程，包括发现、响应、修复的详细步骤和时间线 经验教训学习：评估响应过程中的成功和失败点，提出改进建议，以提高未来应急响应的效率和效果

常见安全事件

• 中病毒（勒索、挖矿等）
• 信息泄露（账号信息、敏感资料）
• 业务服务器被破坏（网页篡改、破坏、数据被删等）
• 系统崩溃、网络瘫痪（DDOS、批量请求）

DDOS攻击	流量清洗设备 增加带宽 封禁IP 负载均衡，搭建反向代理
勒索病毒	定期备份数据 隔离受感染系统 断开网络连接 检测网段间是否存在横向攻击
挖矿木马	立即隔离受感染主机 查看网络连接 停止挖矿进程 检测后门 打补丁 查看日志检测内网是否存在横向主机沦陷
无文件落地	隔离受感染系统 内存马查杀 检测后门 打补丁 查看日志检测内网是否存在横向主机沦陷
钓鱼应急	隔离钓鱼主机并断网，防止横向 检查是否后门，分析钓鱼邮件 加强员工安全意识培训
数据劫持	立即隔离系统 查看日志被入侵痕迹 检测后门 恢复系统 更新补丁
Webshell	隔离系统 Webshell查杀 是否内网存在横向攻击行为 后门检测 Web日志审计 打补丁

安全领域划分

网络安全 （Network Security）	网络基础设施、通信传输安全、防火墙、入侵检测系统（IDS）、虚拟私人网络（VPN）等。
主机安全 （Host Security）	操作系统（如Linux、Windows等）和服务器的安全性，包括补丁管理、安全配置、访问控制等
应用安全 （Application Security）	软件应用程序的安全性，包括开发过程中的安全编码实践、漏洞扫描、代码审计、安全测试等
容器安全 （Container Security）	容器化技术（如Docker、Kubernetes等）的安全性，包括镜像安全、容器配置、运行时安全、网络隔离等
数据安全 （Data Security）	数据的保护和隐私，包括加密、访问控制、数据备份与恢复、合规性要求等
移动安全 （Mobile Security）	移动设备（如智能手机、平板电脑）和移动应用程序的安全保护，包括数据加密、远程擦除、应用审计等
云安全 （Cloud Security）	云计算环境（如公有云、私有云、混合云）的安全性保护，包括数据隔离、身份认证、合规性管理等
物联网安全 （IoT Security）	物联网设备的安全性，包括设备认证、固件更新、通信安全、物理安全等
······	······

应急响应等级划分

紧急级别（Critical）	导致重大的业务中断、数据丢失、财务损失或者对公众安全产生威胁。
高级别 （High）	严重的安全漏洞、大规模的网络攻击或者数据泄露等，已经对组织的重要业务或关键信息造成了实质性的威胁和损害
中级别 （Medium）	涉及到多个用户或系统的受影响，或者是已知恶意软件的大规模传播，但尚未对整体业务造成严重影响
低级别 （Low）	一些较为普通和简单的问题，例如单个用户的计算机感染了一种已知的恶意软件，或者个别网络服务出现了轻微的中断

资产划分

核心资产	这些是组织中最关键的资产，对业务运作至关重要，其丢失或遭到损害可能会对业务造成严重影响甚至停摆 安全事件分级应该是高级别的，通常是最高级别，需要立即响应和全力以赴的处理 - 例子：核心数据库、关键客户数据、核心业务系统等
重要资产	这些资产对业务运作来说非常重要，但如果遭到损害，业务可通过备份或其他措施进行较快恢复 安全事件分级通常是中等或次高级别，需要快速响应和有效处理，以减少对业务的影响 例子：用户个人数据、业务关键文件、支付系统等
一般资产	这些资产对业务的影响较小，即使受到影响，业务也可以相对轻松地进行恢复或替代 安全事件分级是最低级别，处理可以有所延迟或依据实际情况而定 例子：公共信息、一般办公文档、非关键的内部系统等

资产清单划分

硬件资产	服务器 路由器、交换机 存储设备 终端设备（工作站、办公笔记本、手机等）
软件资产	操作系统（Windows、Linux） 应用程序：ERP系统、CRM系统、数据库管理系统、电子邮件服务器等 安全软件及工具：防火墙、IDS、IPS、WAF等
数据资产	业务数据：客户信息、财务数据、产品数据等 敏感信息：员工身份信息等
网络资产	域名和IP VPN等远程访问设备
云资产	托管在云上的虚拟机、存储、数据库等
人员和身份资产	员工ID、访问权限 第三方和合作伙伴账号信息
物理资产	门禁系统等安全设备
知识资产	机密和核心业务信息：研发项目、商业计划、市场战略