告警分析、应急响应流程

1.威胁情报类告警分析流程

1.确认事件的真实性
2.查询IOC的情报信息——IOC的时效性、相关的情报信息等
3.定位受害ip，确定攻击ip是在内网还是外网
4.排除误报，排除因内部人员操作引起的误报
5.关联分析——定位被扩散的资产，攻击源是否进行了横向渗透,进行了哪些相关的操作,造成了何种后果
6.溯源分析
把时间向前推进5-10分钟,是攻击者首次攻击的时间，分析攻击者是以哪种漏洞进行攻击的，什么方式，何种手段攻击进来的，我们要以何种方式去解决
7.提出处置建议+出报告

2.应急响应流程

应急响应流程：
1、准备阶段:安装必要的工具集合。天眼、PChunter、 Everything等工具
2、检测阶段:分析所有可能得到的信息来判定安全事件和确定入侵行为的特征。天眼、威胁情报、进程、启动项、计划任务等。
3、抑制阶段:限制事件扩散和影响的范围。防火墙策略、关闭端口、业务下线、断网等。
4、根除阶段:通过事件分析查明事件危害的方式，并且给出清除危害的解决方案。清除攻击载荷、杀毒、修复漏洞、打补丁等。
5、恢复阶段：把被破坏的信息彻底地还原到正常运作状态，业务连续性。
6、跟踪阶段:检查后续业务状态，产出应急响应报告，重新评估和修改事件响应过程，复盘。