实训第十一天

1.总结应急响应流程

收集信息：收集客户信息和中毒主机信息，包括样本

1.确定病毒入侵的时间节点，或者病毒执行的异常操作

2.是否有异常访问的域名或ip

判断类型：判断是否是安全事件，何种安全事件，勒索、挖矿、断网、DoS等等

深入分析：日志分析、进程分析、启动项分析、样本分析

1.操作系统日志，windows事件查看器(eventvwr)

2.计划任务分析，启动进程分析，是否有可疑远程连接

清理处置：直接杀掉进程，删除文件，打补丁，抑或是修复文件

产出报告：整理并输出完整的安全事件报告

2.总结应急响应措施及相关操作

准备阶段

1. 组建应急响应团队：

   1.团队应包括网络管理员、安全工程师、法律顾问等关键角色。

   2.明确各成员的角色和责任，并提供必要的培训。

2. 制定应急响应计划：

   1.计划应详细说明应急响应的流程和步骤。

   2.包括如何检测威胁、如何分析威胁、如何包含威胁、如何消除威胁、如何恢复系统和数据，以及如何进行后续改进和学习。

3. 资源准备：

   1.确保有足够的网络安全设备、软件和工具，如入侵检测系统（IDS）、入侵防御系统（IPS）、防火墙、杀毒软件等。

   2.准备好必要的备份和恢复设备，以及相关的技术文档和手册。

检测和分析阶段

1. 使用工具和技术检测威胁：

   1.利用IDS和IPS等系统检测网络流量中的异常模式。

   2.使用网络流量分析工具（如Wireshark）、系统日志分析工具和恶意软件分析工具等进一步分析威胁。

2. 确定威胁的性质和范围：

   1.分析威胁的来源、目标、方式和影响等。

   2.评估威胁的严重程度和潜在风险。

包含阶段

1. 隔离受影响的系统：

   1.将受影响的系统从网络中隔离出来，以防止威胁的进一步扩散。

   2.关闭受影响的系统或服务的网络连接。

2. 备份重要数据：

   1.对受影响的系统和数据进行备份，以备后续的恢复和分析。

   2.包括系统的镜像、日志和流量等关键数据。

消除阶段

1. 消除威胁根源：

   1.使用杀毒软件、修复工具等消除病毒、恶意程序等威胁。

   2.修复系统漏洞和配置错误，以防止类似威胁的再次发生。

2. 恢复系统和数据：

   1.使用备份和恢复工具恢复受影响的系统和数据。

   2.测试恢复后的系统是否正常运行，并确保没有遗留的威胁。

恢复阶段

1. 恢复业务：

   1.协调各个部门恢复正常的业务流程。

   2.恢复用户账户、网络连接等关键服务。

2. 事后分析和改进：

   1.进行根本原因分析，理解威胁的根源和漏洞。

   2.评估威胁的影响，制定改进计划。

   3.更新应急响应计划、防火墙规则、IDS/IPS规则等防御措施。

   4.提供培训和演练，提高团队的应急响应能力。

特定情况下的应急响应措施

1. 大规模沦陷：

   1.迅速切断受影响的网络连接，防止威胁扩散。

   2.逐一排查并恢复受影响的系统。

2. 勒索病毒：

   1.立即隔离受感染的系统，防止病毒传播。

   2.评估数据损失情况，并考虑是否支付赎金。

   3.使用备份恢复数据，并加强系统安全防护。

3. 钓鱼应急响应：

   1.提高用户的安全意识，教育用户识别钓鱼邮件和链接。

   2.及时发现并处理钓鱼攻击，防止敏感信息泄露。