入侵檢測管理制度

入侵檢測管理制度文檔信息文檔名稱入侵檢測管理制度文檔管理編號保密級別文檔版本號制作人制作日期復審人復審日期擴散范圍擴散批準人適用范圍本文檔是公司提供，用于指導公司入侵檢測及告警事件處理等工作。版本變更記錄目錄TOC\o"1-5"\h\z概述 1\o"CurrentDocument"入侵檢測系統(tǒng)管理 2\o"CurrentDocument"2.1入侵檢測系統(tǒng)管理員職責 2\o"CurrentDocument"2.2入侵檢測系統(tǒng)運維管理 2\o"CurrentDocument"安全事件處置及分發(fā) 3\o"CurrentDocument"3.1一般安全事件處理 3\o"CurrentDocument"事件分發(fā) 3\o"CurrentDocument"3.1.2事件結果發(fā)布 3\o"CurrentDocument"3.2較大安全事件處理 3事件分發(fā) 33.2.2事件結果發(fā)布 4\o"CurrentDocument"3.3重大安全事件處理 4事件分發(fā) 4事件結果發(fā)布 4\o"CurrentDocument"附錄A相關資料 1概述本管理制度為公司入侵檢測系統(tǒng)制定運維管理規(guī)范。指定專職人員負責入侵檢測系統(tǒng)管理。定期查看入侵檢測系統(tǒng)觸發(fā)的告警事件，及時按照相關流程處理告警事件。完成并提交相關報告。本管理制度為入侵檢測告警事件提供處理流程，告警事件依據(jù)高中底級別進行分類處理。二.入侵檢測系統(tǒng)管理2.1入侵檢測系統(tǒng)管理員職責恪守職業(yè)道德，嚴守企業(yè)秘密；熟悉國家安全生產(chǎn)法以及有關通信管理的相關規(guī)程；負責入侵檢測系統(tǒng)的管理、更新和事件庫備份、升級；負責對入侵檢測系統(tǒng)發(fā)現(xiàn)的惡意攻擊行為進行跟蹤處理；根據(jù)網(wǎng)絡實際情況正確配置入侵檢測策略，充分利用入侵檢測系統(tǒng)的處理能力；遵守入侵檢測設備各項管理規(guī)范；負責撰寫并提交入侵檢測的相關報告。2.2入侵檢測系統(tǒng)運維管理入侵檢測系統(tǒng)管理員每天查看入侵檢測系統(tǒng)告警事件，如有高中事件按照高中告警事件處理流程處理；入侵檢測系統(tǒng)管理員每周五完成每周一次的《入侵檢測系統(tǒng)周報》，包括入侵檢測設備的運行狀況和日志分析等，并提交相關負責人；每月定期安裝、更新廠家發(fā)布的入侵檢測設備補丁程序（包括事件庫）；入侵檢測設備安全規(guī)則設置、更改的授權、審批依據(jù)《入侵檢測設備配置變更審批表》（參見附表2）進行；入侵檢測設備安全規(guī)則的設置、更改，應該得到信息系統(tǒng)運行管理部門負責人的批準，由入侵檢測系統(tǒng)管理員具體負責實施。三.安全事件處置及分發(fā)當運維中心發(fā)現(xiàn)安全事件或從其他地方獲取安全事件時，應根據(jù)事件對系統(tǒng)造成的影響，結合具體情況對相應的安全事件進行分類分級處理，常將安全事件分為一般、較大和重大三個等級進行處理，同時還需要及時將信息分發(fā)給所有相關人員配合處理。3.1—般安全事件處理一般安全事件處理應由運維中心按照常規(guī)方式處理，即首先由安全監(jiān)控組受理安全事件，并初步分析處理，由安全服務組和系統(tǒng)管理員提供支持，直到問題的解決。3.1.1事件分發(fā)當安全監(jiān)控組發(fā)現(xiàn)安全事件或受理安全事件時，應初步判斷安全事件影響的系統(tǒng)及范圍，并上報安全運維中心負責人知曉，同時應及時電話、郵件或短信的方式告知受影響的系統(tǒng)管理人員，并配合處理。3.1.2事件結果發(fā)布安全事件的處理結果應在處理完后及時發(fā)布，事件中涉及的所有人員都是發(fā)布對象，需要相關各方對事件結果進行責任確認。安全事件發(fā)布方式包括電子郵件發(fā)布、內部論壇發(fā)布等，并且定期匯總。3.2較大安全事件處理當IDS上發(fā)生較多高中告警事件，相關業(yè)務系統(tǒng)服務受到影響，確認為較大安全事件。較大安全事件應由安全服務組和相關系統(tǒng)管理員受理并處理，由應急響應小組提供二線支持工作，直到問題的解決。3.2.1事件分發(fā)相關人員處理安全事件，應及時上報運維負責人知曉，同時應及時電話、郵件或短信的方式告知受影響的系統(tǒng)管理人員，還應當及時向應急響應小組處理進展。3.2.2事件結果發(fā)布安全事件的處理結果應在處理完后及時發(fā)布，事件中涉及的所有責任人都是發(fā)布對象，需要相關各方對事件結果進行責任確認。安全事件發(fā)布方式包括電子郵件發(fā)布、公文發(fā)布等，并且定期匯總。3.3重大安全事件處理當入侵檢測設備出現(xiàn)大量告警，已經(jīng)引起網(wǎng)絡擁塞或網(wǎng)絡癱瘓等重大安全事件時，應立即啟動緊急響應程序。由應急響應小組牽頭處理采取相應措施，對網(wǎng)絡進行緊急處理，如通過防火墻封禁相關源地址等，恢復網(wǎng)絡的正常運行，并追查攻擊來源，及時上報。3?3?1事件分發(fā)應及時電話、郵件或短信的方式向應急響應小組報告，隨后將紙質報告報應急響應小組，并將有關材料一起報上級安全領導小組。同時還應及時電話、郵件或短信的方式告知受影響的系統(tǒng)管理人員，應急響應小組聯(lián)調處理事件。3.3.2事件結果發(fā)布安全事件的處理結果應在處理完后及時發(fā)布，事件中涉及的所有責任人都是發(fā)布對象，需要相關各方對事件結果進行責任確認。安全事件發(fā)布方式包括電子郵件發(fā)布、公文發(fā)布等，并且定期匯總。附錄入相關資料附件1入侵檢測系統(tǒng)月報