××信息安全應急處置管理規(guī)范

第第I頁共14頁**信息安全事件與應急響應管理規(guī)范v10目錄TOC\o"1-5"\h\z目的 1\o"CurrentDocument"適用范圍 1\o"CurrentDocument"工作原則 1\o"CurrentDocument"組織體系和職責 1\o"CurrentDocument"信息安全事件分類和分級 2信息安全事件分類 21.1 2.1.2 213 3.1.4 3.1.5 35。2。安全事件的分級 321 ( 32.2 ( ) 32.3 3\o"CurrentDocument"上報流程 4后期處置 11解釋 111.1.目的第第#頁共14頁?開啟系統(tǒng)及網(wǎng)絡審計日志功能，以便偵測和追蹤未獲授權(quán)活動;6。2安全事故應急響應安全事故應急涉及制定程序評估事故并做出應急,盡快將受影響的系統(tǒng)元服務恢復正常。有關(guān)程序大致可分為五個階段:如下圖5。1所示的確認、升級處理、遏制、杜絕和恢復。認識各階段具體工作有利于在發(fā)生安全事故時迅速做出響應。圖5.2安全事故應急流程6。3信息安全事故的總結(jié)和改進系統(tǒng)恢復正常操作并不代表安全事故處理程序的結(jié)束,采取必要的跟進行動十分重要。跟進行動包括評估事故所造成的破壞、系統(tǒng)改良以防止再度發(fā)生事故、安全政策和程序更新及為日后的檢控進行個案調(diào)查.5。3.1安全事故分析事故事后分析是對事故及事故應急措施的分析，這有助于更深入地了解系統(tǒng)受到的威脅及可能存在的安全漏洞，以便采取更有效的保障措施。分析結(jié)果體現(xiàn)在安全事故報告中，分析范圍可以包括以下內(nèi)容：防止再度受攻擊的建議行動；在事故應急時，須迅速取得的資料及獲取有關(guān)資料的方法；供偵測及杜絕程序所用或所需的額外工具；準備和應急措施的足夠程度;溝通的足夠程度;實際困難；?事故的破壞，當中包括：＞處理事故所需的人力消耗＞金錢成本＞中斷操作的損失＞遺失或遭破壞的數(shù)據(jù)、軟件和硬件，包括被泄露的敏感數(shù)據(jù)＞受托保密數(shù)據(jù)的法律責任＞難堪或喪失信譽?吸取的其它教訓。5。3。2安全事故報告根據(jù)事故分析所編制的事故事后報告，應概述事故、應急、恢復行動、破壞和吸取的教訓。相關(guān)信息系統(tǒng)的主管負責編制報告，并提交信息安全事故應急小組作參考,以便日后及時采取預防措施，避免其它系統(tǒng)和服務再度發(fā)生同類安全事故.事故事后報告應包括下列項目：事故的類型、范圍和程度；事故的詳情：攻擊的來源、時間和可能方法及發(fā)現(xiàn)攻擊的方法等；概述受攻擊的系統(tǒng)，包括系統(tǒng)范圍及功能、技術(shù)資料（例如系統(tǒng)硬件、軟件和操作系統(tǒng),以及版本、網(wǎng)絡體系結(jié)構(gòu)及程序編制語言等）;事故應急及杜絕方法；恢復程序；吸取的其它教訓。安全事故報告模版參見附件《信息安全事故報告模版》5。3.3安全評估可能受到安全風險威脅的系統(tǒng)宜定期進行安全風險評估和審計,尤其是曾經(jīng)受安全事故影響的系統(tǒng).安全復檢及系統(tǒng)審計應持續(xù)進行,以便及時發(fā)現(xiàn)可能存在的安全漏洞及／或因應安全保護措施及攻擊／入侵科技的發(fā)展,而須做出的系統(tǒng)改善.在發(fā)生安全事故時收集的資料亦有助于事后安全評估，對找出系統(tǒng)的安全漏洞和安全威脅尤其有用..3。4安全改進根據(jù)事故事后分析與定期安全評估所得出的結(jié)果，可確定應對系統(tǒng)的安全政策、程序和保護機制做出哪些改善。技術(shù)發(fā)展一日千里，所以必須定期更新安全相關(guān)政策、程序和保護機制,以確保整體安全保護措施對計算機系統(tǒng)的效用。在進行事故事后分析時，如有需要應復檢和修訂政策、程序和指南，以配合預防措施。5。3。5取證及檢控1、取證規(guī)則:證據(jù)的可容許性：證據(jù)是否可以在法庭上使用;證據(jù)的份量：證據(jù)的質(zhì)量和完備性;2、取證內(nèi)容：系統(tǒng)事件和其它相關(guān)資料，例如審計日志、服務器日志、網(wǎng)絡日志、防火墻／路由器日志、訪問記錄等系統(tǒng)日志文件;仍在進行活動的系統(tǒng)登錄或網(wǎng)絡連接及程序狀態(tài)資料；受攻擊系統(tǒng);已采取的所有行動,包括日期、時間和參與行動人員；所有對外通訊，包括日期、時間、內(nèi)容及有關(guān)各方；3、證據(jù)維護:紙面文檔：原物應被安全保存且包含以下信息的記錄：時間、地點、發(fā)現(xiàn)人、證明人；應確保原物沒有被篡改；計算機介質(zhì)中的信息:任何可移動介質(zhì)的鏡像或拷貝、硬盤或內(nèi)存中的信息都應確保其可用性；拷貝過程中所有的行為日志都應保存下來，且應有證據(jù)證明該過程；原始的介質(zhì)和日志應安全保存且不能改變;任何法律取證工作應僅在證據(jù)資料的拷貝上進行；4,后期處置安全事件應急處理結(jié)束后