第6講 應(yīng)急響應(yīng)課件

第6講應(yīng)急響應(yīng)6.1應(yīng)急響應(yīng)概述6.2應(yīng)急響應(yīng)計(jì)劃6.3應(yīng)急響應(yīng)案例分析6.4國(guó)家互聯(lián)網(wǎng)應(yīng)急處理中心介紹第6講應(yīng)急響應(yīng)6.1應(yīng)急響應(yīng)概述應(yīng)急響應(yīng)(EmergencyResponse)，指組織為了應(yīng)對(duì)突發(fā)／重大信息安全事件的發(fā)生所做的準(zhǔn)備及在事件發(fā)生后所采取的措施。應(yīng)急響應(yīng)計(jì)劃(EmergencyResponse

Plan)，指組織為了應(yīng)對(duì)突發(fā)／重大信息安全事件而編制的，對(duì)包括信息系統(tǒng)運(yùn)行在內(nèi)的業(yè)務(wù)運(yùn)行進(jìn)行維持或恢復(fù)的策略和規(guī)程。第6講應(yīng)急響應(yīng)6.2應(yīng)急響應(yīng)計(jì)劃計(jì)劃的準(zhǔn)備階段：指應(yīng)急響應(yīng)需求分析和應(yīng)急響應(yīng)策略的確定。需求分析和策略確定建立在風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)之上，并且緊緊圍繞著組織的業(yè)務(wù)戰(zhàn)略來(lái)展開。計(jì)劃的編制階段：應(yīng)將需求和策略細(xì)化成應(yīng)急響應(yīng)的各項(xiàng)措施，編制應(yīng)急響應(yīng)計(jì)劃文檔。計(jì)劃的實(shí)踐階段：應(yīng)急響應(yīng)計(jì)劃的測(cè)試、人員培訓(xùn)、演練（實(shí)戰(zhàn)）和計(jì)劃更新。第6講應(yīng)急響應(yīng)６.2.1應(yīng)急響應(yīng)計(jì)劃的準(zhǔn)備信息環(huán)境——軟環(huán)境威脅識(shí)別信息環(huán)境——硬環(huán)境威脅識(shí)別公用信息載體威脅識(shí)別專用信息載體威脅識(shí)別威脅輸出報(bào)告第6講應(yīng)急響應(yīng)６.2.1應(yīng)急響應(yīng)計(jì)劃的準(zhǔn)備風(fēng)險(xiǎn)評(píng)估業(yè)務(wù)影響分析：評(píng)估特定信息安全事件對(duì)各種業(yè)務(wù)功能的影響。制定應(yīng)急響應(yīng)策略：如何快速、有效地恢復(fù)信息系統(tǒng)的運(yùn)行的方法，用于指導(dǎo)、設(shè)計(jì)應(yīng)急響應(yīng)計(jì)劃的詳細(xì)工作流程。第6講應(yīng)急響應(yīng)6.2.2應(yīng)急響應(yīng)計(jì)劃的制定總則角色及職責(zé)預(yù)防和預(yù)警機(jī)制應(yīng)急響應(yīng)流程應(yīng)急響應(yīng)保障措施附件第6講應(yīng)急響應(yīng)總則編制目的：制定的原因和目標(biāo)編制依據(jù)：說(shuō)明編制的依據(jù)，包括國(guó)家有關(guān)信息安全應(yīng)急響應(yīng)的相關(guān)標(biāo)準(zhǔn)、政府或企業(yè)的有關(guān)突發(fā)公共事件應(yīng)急響應(yīng)的文件等適用范圍：說(shuō)明計(jì)劃的范圍、解決哪些問題。工作原則：確定應(yīng)急響應(yīng)計(jì)劃組織和實(shí)施原則第6講應(yīng)急響應(yīng)角色和流程成立應(yīng)急響應(yīng)工作機(jī)構(gòu)，明確職責(zé)應(yīng)急響應(yīng)領(lǐng)導(dǎo)小組應(yīng)急響應(yīng)技術(shù)保障小組應(yīng)急響應(yīng)專家小組應(yīng)急響應(yīng)實(shí)施小組應(yīng)急響應(yīng)日常運(yùn)行小組第6講應(yīng)急響應(yīng)應(yīng)急響應(yīng)工作機(jī)構(gòu)圖Ｐ３３９第6講應(yīng)急響應(yīng)預(yù)防和預(yù)警機(jī)制最常見的措施是容災(zāi)備份第6講應(yīng)急響應(yīng)應(yīng)急響應(yīng)流程Ｐ３４０第6講應(yīng)急響應(yīng)應(yīng)急響應(yīng)流程事件通告事件定級(jí)應(yīng)急啟動(dòng)應(yīng)急處置后期處置第6講應(yīng)急響應(yīng)1)事件通告信息通報(bào)信息上報(bào)信息披露第6講應(yīng)急響應(yīng)信息安全事件報(bào)告表第6講應(yīng)急響應(yīng)2)事件定級(jí)：對(duì)突發(fā)安全事件進(jìn)行分類和分級(jí)評(píng)估組織的主要業(yè)務(wù)與其他區(qū)域受到影響的程度，并以此作為事件定級(jí)的依據(jù)潛在的附加影響或損失（次生災(zāi)害）造成緊急情況或系統(tǒng)中斷的原因物理環(huán)境的狀況系統(tǒng)設(shè)備的總和和功能狀態(tài)系統(tǒng)設(shè)備及其存貨的損失類型（如水災(zāi)或熱能等）被更換的項(xiàng)目評(píng)估恢復(fù)正常報(bào)務(wù)所需的時(shí)間第6講應(yīng)急響應(yīng)信息安全事件響應(yīng)等級(jí)表事件響應(yīng)等級(jí)內(nèi)容描述Ｉ級(jí)事件現(xiàn)有的系統(tǒng)停機(jī)，或遭到嚴(yán)重攻擊行為或安全事件，或?qū)?shù)據(jù)中心的業(yè)務(wù)運(yùn)作有重大影響，持續(xù)時(shí)間小于4h的事件。持續(xù)時(shí)間超過4h，則升級(jí)到重大責(zé)任事故Ⅱ級(jí)事件現(xiàn)有系統(tǒng)的操作系統(tǒng)性能嚴(yán)重降低，或由于網(wǎng)絡(luò)性能失常或安全事件嚴(yán)重影響數(shù)據(jù)中心業(yè)務(wù)運(yùn)作，持續(xù)時(shí)間小于8h的事件。持續(xù)時(shí)間超過８h，則升級(jí)為Ｉ級(jí)事件Ⅲ級(jí)事件系統(tǒng)的操作性能受損，安全事件如病毒在小范圍內(nèi)發(fā)作，但大部分業(yè)務(wù)運(yùn)作仍可正常工作，持續(xù)時(shí)間小于8h的事件。持續(xù)時(shí)間超過８h，則升級(jí)為Ⅱ級(jí)事件Ⅳ級(jí)事件在服務(wù)器、存儲(chǔ)設(shè)備、安全設(shè)備等的功能、安裝或配置方面需要信息咨詢或技術(shù)支持。本級(jí)故障對(duì)數(shù)據(jù)中心的業(yè)務(wù)運(yùn)作幾乎無(wú)影響，或根本沒有影響，持續(xù)時(shí)間小于4h的事件。持續(xù)時(shí)間超過８h，則升級(jí)為Ⅲ級(jí)事件第6講應(yīng)急響應(yīng)3）應(yīng)急啟動(dòng)啟動(dòng)原則：果斷、快速、在序啟動(dòng)依據(jù)：激活條件啟動(dòng)方法：由應(yīng)急啟動(dòng)領(lǐng)導(dǎo)小組發(fā)布啟動(dòng)令，但現(xiàn)場(chǎng)人員應(yīng)按照預(yù)先制定的響應(yīng)方案立即采取搶救措施，同時(shí)請(qǐng)示領(lǐng)導(dǎo)小組發(fā)布啟動(dòng)令第6講應(yīng)急響應(yīng)4）應(yīng)急處置●應(yīng)急響應(yīng)啟動(dòng)令一旦下達(dá)，就應(yīng)采取相關(guān)措施抑制或清除信息安全事件影響?！駠?guó)家有關(guān)標(biāo)準(zhǔn)中的應(yīng)急處理規(guī)定主要對(duì)恢復(fù)順序和恢復(fù)任務(wù)作了一些規(guī)范性要求●恢復(fù)順序●恢復(fù)任務(wù)●恢復(fù)流程第6講應(yīng)急響應(yīng)5）后期處置●信息系統(tǒng)重建，具體的方法（1）統(tǒng)計(jì)分析各種數(shù)據(jù)，查明原因。事后責(zé)任追究甚至法律介入起到關(guān)鍵作用（2）對(duì)信息安全事件造成的影響及恢復(fù)重建工作進(jìn)行分析與評(píng)估（3）認(rèn)真制定恢復(fù)重建計(jì)劃（4）重建工作完成后，對(duì)所采取的措施進(jìn)行（簡(jiǎn)要的）風(fēng)險(xiǎn)評(píng)估第6講應(yīng)急響應(yīng)5）后期處置●應(yīng)急響應(yīng)/事件總結(jié)，具體包括：（1）分析和總結(jié)事件發(fā)生的原因（2）分析和總結(jié)事件現(xiàn)象（3）評(píng)估系統(tǒng)的損害程度（4）評(píng)估事件導(dǎo)致的損失（5）分析和總結(jié)應(yīng)急處置記錄（6）評(píng)審應(yīng)急響應(yīng)措施的效果和效率，并提出改進(jìn)建議（7）評(píng)審應(yīng)急響應(yīng)計(jì)劃的效果和效率，并提出改進(jìn)建議第6講應(yīng)急響應(yīng)應(yīng)急響應(yīng)/事件總結(jié)第6講應(yīng)急響應(yīng)應(yīng)急響應(yīng)保障措施人員保障：管理人員保障，技術(shù)人員保障物質(zhì)保障：財(cái)力物質(zhì)、交通運(yùn)輸物質(zhì)、治安維護(hù)、通信保障技術(shù)保障：事件監(jiān)控與預(yù)警的技術(shù)保障、應(yīng)急技術(shù)保障第6講應(yīng)急響應(yīng)應(yīng)急響應(yīng)計(jì)劃的培訓(xùn)、演練和更新培訓(xùn)人員，提高素質(zhì)演練計(jì)劃（實(shí)戰(zhàn)演練）計(jì)劃更新第6講應(yīng)急響應(yīng)文檔的保存、分發(fā)與維擴(kuò)由專人負(fù)責(zé)保存與分發(fā)復(fù)制多份并在不同的地點(diǎn)保存分發(fā)給參與應(yīng)急響應(yīng)工作的所有人員在每次修訂后對(duì)所有復(fù)制件統(tǒng)一更新，并保留一套，以備查閱舊版本應(yīng)按有關(guān)規(guī)定銷毀第6講應(yīng)急響應(yīng)６.3應(yīng)急響應(yīng)案例分析南海大學(xué)信息安全應(yīng)急響應(yīng)計(jì)劃示例四個(gè)校區(qū)，5萬(wàn)學(xué)生，“數(shù)字化校園”“南洋烽火計(jì)劃”第6講應(yīng)急響應(yīng)南洋烽火計(jì)劃１．總則２．角色與職責(zé)３．預(yù)防和預(yù)警機(jī)制４．應(yīng)急響應(yīng)流程５．應(yīng)急響應(yīng)保障措施６．計(jì)劃的培訓(xùn)和演練７．附件第6講應(yīng)急響應(yīng)編制依據(jù)貫徹落實(shí)《中華人民共和國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》、《計(jì)算機(jī)病毒防治管理辦法》、《計(jì)算機(jī)信息網(wǎng)絡(luò)國(guó)際聯(lián)網(wǎng)管理暫行規(guī)定》等國(guó)家有關(guān)法律、法規(guī)依據(jù)信息安全技術(shù)信息安全事件管理指南》（GB/Z20985-2007）《信息安全技術(shù)信息安全事件分級(jí)分類指南》（GB/Z20986-2007）、

《信息安全技術(shù)信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范》（GB/Z20988-2007）參照《信息安全技術(shù)信息安全應(yīng)急響應(yīng)計(jì)劃規(guī)范》（草案）第6講應(yīng)急響應(yīng)事件分類校園網(wǎng)網(wǎng)站主頁(yè)被篡改、交互式欄目里發(fā)表反政府、分裂國(guó)家、不利于民族團(tuán)結(jié)、色情等內(nèi)容的信息，以及損害國(guó)家、學(xué)校所在地區(qū)和學(xué)校聲譽(yù)方面的謠言內(nèi)網(wǎng)網(wǎng)絡(luò)應(yīng)用服務(wù)器被非法入侵，應(yīng)用服務(wù)器上的數(shù)據(jù)被非法復(fù)制、修改和刪除內(nèi)網(wǎng)有關(guān)學(xué)校科研、教學(xué)及學(xué)校行政管理有關(guān)的敏感數(shù)據(jù)被泄露或未經(jīng)授權(quán)被訪問在外網(wǎng)網(wǎng)站上發(fā)布的內(nèi)容違反國(guó)家的法律、法規(guī)或侵犯知識(shí)產(chǎn)權(quán)，已經(jīng)造成嚴(yán)重后果病毒的大規(guī)模爆發(fā)和網(wǎng)絡(luò)攻擊第6講應(yīng)急響應(yīng)事件定級(jí)分為四級(jí)：一般(Ⅳ級(jí),藍(lán)色事件)、較大(Ⅲ級(jí)，黃色事件)、重大(Ⅱ級(jí)，橙色事件)、特別重大(Ⅰ級(jí)，紅色事件)藍(lán)色事件（Ⅳ級(jí)）：校園網(wǎng)出現(xiàn)的非法信息，在校內(nèi)造成一定的影響，但尚未在社會(huì)上造成影響；由于病毒攻擊、非法入侵等原因，200臺(tái)以內(nèi)的用戶主機(jī)不能正常工作藍(lán)色事件發(fā)生后,24h之內(nèi)無(wú)法解決，自動(dòng)上升為黃色事件，并啟動(dòng)黃色事件響應(yīng)程序第6講應(yīng)急響應(yīng)事件定級(jí)續(xù)1黃色事件（Ⅲ級(jí)）：校園網(wǎng)出現(xiàn)的非法信息，在校內(nèi)造成廣泛影響，并在社會(huì)上造成一定的影響；由于病毒攻擊、非法入侵等原因，致使學(xué)校大部分校區(qū)網(wǎng)絡(luò)癱瘓，或者FTP及部分網(wǎng)站服務(wù)不能響應(yīng)用戶請(qǐng)求黃色事件發(fā)生后,在8h之內(nèi)無(wú)法解決，自動(dòng)上升為橙色事件，并啟動(dòng)橙色事件響應(yīng)程序第6講應(yīng)急響應(yīng)事件定級(jí)續(xù)2橙色事件（Ⅱ級(jí)）：校園網(wǎng)出現(xiàn)的非法信息，在校內(nèi)造成實(shí)質(zhì)性影響，并在社會(huì)上造成嚴(yán)重影響；由于病毒攻擊、非法入侵等原因，致使學(xué)校大部分校區(qū)網(wǎng)絡(luò)癱瘓，或者郵件、校園一卡通計(jì)費(fèi)服務(wù)器無(wú)法正常工作橙色事件發(fā)生后,在8h之內(nèi)無(wú)法解決，自動(dòng)上升為紅色事件，并啟動(dòng)紅色事件響應(yīng)程序第6講應(yīng)急響應(yīng)事件定級(jí)續(xù)3紅色事件（Ⅰ級(jí)）：校園網(wǎng)出現(xiàn)的非法信息，在校內(nèi)造成重大實(shí)質(zhì)性影響，并在社會(huì)上嚴(yán)重危害國(guó)家和社會(huì)；由于病毒攻擊、非法入侵等原因，致使校園網(wǎng)整體癱瘓，或者學(xué)校網(wǎng)絡(luò)中心全部NDS、主Web服務(wù)器不能正常工作；由于病毒攻擊、非法入侵、人為破壞或不可抗力等原因，造成校園網(wǎng)與Internet的連接中斷紅色事件發(fā)生后,在4h之內(nèi)無(wú)法解決，則成為較大信息安全責(zé)任事故，需按照學(xué)校有關(guān)規(guī)定上報(bào)上級(jí)有關(guān)部門第6講應(yīng)急響應(yīng)應(yīng)急處置病毒傳播：及時(shí)斷開傳播源，判斷病毒的性質(zhì)，采用的端口，然后關(guān)閉相應(yīng)的端口，在網(wǎng)上公布病毒攻擊信息及防御方法入侵：首先判斷入侵來(lái)源，區(qū)分來(lái)自內(nèi)部還是外部。來(lái)自外部的，定位和取證入侵的IP地址，關(guān)閉入侵的端口；來(lái)自內(nèi)部的，查清入侵來(lái)源，如IP地址，上網(wǎng)帳號(hào)等信息，同時(shí)斷開對(duì)應(yīng)的交換機(jī)端口并進(jìn)行取證，然后針對(duì)入侵方法布署或更新相應(yīng)的入侵檢測(cè)設(shè)備信息被篡改：馬上斷開相應(yīng)鏈接，并盡快恢復(fù)被篡改的信息網(wǎng)絡(luò)故障：一旦發(fā)現(xiàn)，及時(shí)排除其他災(zāi)害：結(jié)合具體情況進(jìn)行分析第6講應(yīng)急響應(yīng)6.4國(guó)家互聯(lián)網(wǎng)應(yīng)急中心介紹成立于1999年，是工信部領(lǐng)導(dǎo)下的國(guó)家級(jí)網(wǎng)絡(luò)安全應(yīng)急機(jī)構(gòu)，支持重要信息系統(tǒng)的網(wǎng)絡(luò)監(jiān)測(cè)、預(yù)警和處置等。積極預(yù)防，及時(shí)發(fā)現(xiàn)，快速響應(yīng)，力爭(zhēng)恢