企业怎样做好计算机应急响应工作

随着电子商务和在线交易已经成为当今商业社会的一部分，越来越多的公司被发现网络中存在安全隐患而遭受计算机罪犯勒索。当企业的网络中出现安全漏洞时，公司的核心商业信息和业务的机密信息会被盗窃。另外与在线银行有关的诈骗也逐渐增加，零售商的后台数据库被***，信用卡信息被盗窃。越来越多的公司因受到拒绝服务***的不断增加而丢失利润和生产力。

计算机犯罪、蠕虫病毒事件不断发生，企业应该怎样做好计算机应急响应工作，以保证企业在受到***时遭受最少的经济损失。叶子在下面的文章中谈谈自己的看法。

在1988年的莫里斯蠕虫事件后，美国就建立了全球最早的计算机应急响应组织（CERT）。我国自1999年成立第一个应急响应组织以来，在处理几次大规模网络安全事件中发挥出明显的作用。那么企业应该怎样建立应急响应组织呢？我们还是先来了解一下什么是应急响应。

什么是应急响应呢？
　　通常来说，应急响应泛指安全技术人员在遇到突发事件后所采取的措施和行为。而突发事件则是指影响一个系统正常工作的情况。这里的系统包括主机范畴内的问题，也包括网络范畴内的问题，例如******、信息窃取、拒绝服务***、网络流量异常等。

应急处理的两个根本性目标：确保恢复、追究责任。
　　除非是“事后”处理的事件，否则应急处理人员首先要解决的问题是如何确保受影响的系统恢复正常的功能。在确保恢复的工作中，应急处理人员需要保存各种必要的证据，以供将来其他工作使用。追究责任涉及到法律问题，一般用户单位或第三方支援的应急处理人员主要起到配合分析的作用，因为展开这样的调查通常需要得到司法许可。

多数企业都建立了应急响应的独立团队，通常称为计算机安全应急响应小组（Computer Security Incident Response Team，CSIRT），以响应计算机安全事件。应急响应涉及多门学科，要求多种能力：通常要求从公司的不同部分获取资源。人力资源部人员、法律顾问、技术专家、安全专家、公共安全官员、商业管理人员、最终用户、技术支持人员和其他涉及计算机安全应急响应的人员。当然这些人员大部分是兼职的，需要在应急响应工作中进行配合。

企业有了独立的应急响应小组后，应该开始做哪些工作呢？
　　根据应急响应的PDCERF方法，我们分为六个阶段来处理，分别是准备（Preparation）、检测(Detection)、遏制(Containment)、根除(Eradication)、恢复(Recovery)、跟踪(Follow-up)。如下所示：

第一阶段：准备（Preparation）
　　此阶段以预防为主。主要工作涉及识别公司的风险，建立安全政策，建立协作体系和应急制度；按照安全政策配置安全设备和软件，为应急响应与恢复准备主机。通过网络安全措施，为网络进行一些准备工作，比如扫描、风险分析、打补丁，如有条件且得到许可，建立监控设施，建立数据汇总分析的体系和能力；制订能够实现应急响应目标的策略和规程，建立信息沟通渠道和通报机制，有关法律法规的制定；创建能够使用的响应工作包；建立能够集合起来处理突发事件的CSIRT。

第二阶段：检测(Detection)
　　检测事件是已经发生还是在进行中，以及事件产生的原因和性质。确定事件性质和影响的严重程度，预计采用什么样的专用资源来修复。选择检测工具，分析异常现象，提高系统或网络行为的监控级别，估计安全事件的范围。通过汇总，确定是否发生了全网的大规模事件；确定应急等级，决定启动哪一级应急方案。

第三阶段：遏制(Containment)
　　及时采取行动遏制事件发展。初步分析，重点确定适当的遏制方法，如隔离网络，修改所有防火墙和路由器的过滤规则，删除***者的登录账号，关闭被利用的服务或者关闭主机等；咨询安全政策；确定进一步操作的风险，控制损失保持最小；列出若干选项，讲明各自的风险，应该由服务对象来做决定。确保封锁方法对各网业务影响最小；通过协调争取各网一致行动，实施隔离；汇总数据，估算损失和隔离效果。

第四阶段：根除(Eradication)
　　彻底解决问题隐患。分析原因和漏洞；进行安全加固；改进安全策略。加强宣传，公布危害性和解决办法，呼吁用户解决终端问题；加强检测工作，发现和清理行业与重点部门的问题。

第五阶段：恢复(Recovery)
　　被***的系统由备份来恢复；做一个新的备份；对所有安全上的变更作备份；服务重新上线并持续监控。持续汇总分析，解各网的运行情况；根据各网的运行情况判断隔离措施的有效性；通过汇总分析的结果判断仍然受影响的终端的规模；发现重要用户及时通报解决；适当的时候解除封锁措施。

第六阶段：跟踪(Follow-up)
　　关注系统恢复以后的安全状况，特别是曾经出问题的地方；建立跟踪文档，规范记录跟踪结果；对响应效果给出评估；对进入司法程序的事件，进行进一步的调查，打击违法犯罪活动。

以上就是企业在发生应急响应时应该参照的响应方法，具体业务相关的，可以进一步细化响应过程。另外企业发生重大安全事件，如果内部应急响应小组无法处理，可上报国家计算机应急响应协调中心（CNCERT）来处理。

转载于:https://blog.51cto.com/shichuang/92158

企业怎样做好计算机应急响应工作相关推荐

【认证证书】计算机应急响应 - 中国信息安全测评中心CISP-IRE | 公安部第三研究所CCSS-R
计算机应急响应中国信息安全测评中心CISP-IRE 知识体系简略图片版详细[官方(中国信息安全测评中心)](http://www.itsec.gov.cn/ryzc/rsqsxz/)版考核方式 ...
如何做好应急响应工作？常见应急响应流程
一.前言这是博主对于应急响应归纳出来的方法论,一个笼统的.抽象的概念,包含思路和方法. 二.常见应急响应流程这是博主自己的经验总结出来的应急响应流程,也是亲自去应急时的流程. 三.响应这里不讨论 ...
企业安全建设丨标准化建设之网络安全应急响应浅析
随着网络安全法的实施以及安全事件频发,企业对于内部的安全建设也越来越重视.大公司的企业安全建设咱们先不说,我们今天就来分享下中小型企业应该如何建设标准化的网络安全体系.一般企业不发生数据泄露都不会当回 ...
企业信息系统应急响应预案
目录第1章概述 1.1. 简介 1.2. 目的 1.3. 适用范围 1.4. 前提假设 1.5. 应急处置工作总体原则第2章信息系统应急响应及灾难恢复组织 2.1. 信息系统应急响应及灾难恢复 ...
网络安全应急响应流程图
一.网络安全应急响应建设的背景和现状当前,许多地区和单位已经初步建立了网络安全预警机制,实现了对一般网络安全事件的预警和处置.但是,由于网络与信息安全技术起步相对较晚,发展时间较短,与其他行业领域相 ...
NISP-信息安全事件与应急响应
文章目录 NISP-信息安全事件与应急响应 1.信息安全事件 2.信息安全事件分类 3.信息安全事件分级三要素信息系统重要程度系统损失社会影响 4.信息安全事件分级 5.信息安全应急响应 6.应 ...
《网络安全法》对应急预案和应急响应有哪些要求
<网络安全法>第25条规定:网络运营者应当制定网络安全事件应急预案,及时处置系统漏洞.计算机病毒.网络攻击.网络侵入等安全风险:在发生危害网络安全的事件时,立即启动应急预案,采取相应的补救 ...
网络安全应急响应操作流程-打好应急响应保卫战
文章目录应急响应应急响应目标应急响应标准流程事前事中检测响应处置溯源(人的识别) 核心注意事项参考文献应急响应应急响应是安全工作的重点和难点,由于响应过程中压力比较大,难免出现 ...
网络安全应急响应流程
网络安全应急响应流程国家网信办6月27日印发<国家网络安全事件应急预案>(下称<预案>),包括勒索病毒在内的有害程序事件被明确为网络安全事件的种类之一,针对事件的监测预警.应 ...

企业怎样做好计算机应急响应工作

企业怎样做好计算机应急响应工作相关推荐

最新文章

热门文章