一、事件分类

0x01 网络攻击事件

• 通过网络或其他技术手段，利用信息系统的配置缺陷、协议缺陷、程序缺陷或使用暴力攻击对信息系统实施攻击，
• 并造成信息系统异常或对信息系统当前运行造成潜在危害的事件。

网络攻击应急措施

（1）当发现网络被非法入侵、网页内容被篡改，应用服务器的数据被非法拷贝、修改、删除，或有黑客正在进行攻击等现象时，使用者或管理者应断开网络，并立即报告应急小组。
（2）应急小组立即关闭相关服务器，封锁或删除被攻破的登陆帐号，阻断可疑用户进入网络的通道，并及时清理系统、恢复数据和程序，尽快将系统和网络恢复正常。

0x02 信息破坏事件

• 通过网络或其他技术手段，造成信息系统中的数据被篡改、假冒、泄漏等而导致的事件。

信息破坏应急措施

（1）当发现信息被篡改、假冒、泄漏等事件时，信息系统使用单位或个人应立即`通知应急小组`。
（2）如被篡改或被假冒的数据正在征缴或发放过程中，应急小组应立即通知`相关单位`。
（3）应急小组通过跟踪应用程序、查看数据库安全审计记录和业务系统安全审计记录`查找信息被破坏的原因和相关责任人`。
（4）应急小组提出`修正错误方案和措施`，通知各员工进行处理。

0x03 信息内容安全事件

• 利用信息网络发布、传播危害国家安全、社会稳定和公共利益的不良信息内容的事件

信息内容安全应急措施

（1）当发现有垃圾或诈骗信息发布，系统管理员及时删除垃圾信息，并及时更新设置过滤消息，情节严重需查找发布者，并`报告应急小组`;
（2）当发现有`病毒攻击`，查找系统漏洞，及时更新漏洞补丁或关闭漏洞相应端口，分析端口与业务端口的相关性，并作相应处理，`排查病毒`后报告应急小组。
（3）当发现`数据被窃取`时,服务器管理人员立即禁用服务器,查找并修复服务器存在的端口漏洞,并对窃取的数据内容作重要程度的分析,并报告应急小组

0x04 网络故障事件

• 因电信、网络设备等原因造成大部分网络线路中断，用户无法登录信息系统的事件。

网络故障应急事件

（1）发生网络故障事件后，系统使用人员应及时报告应急小组。
应急小组及时`查清网络故障位置和原因`，并予以解决。
（2）不能确定故障的解决时间或解决故障的期限并属较大（III级）及其以上的，`报告应级部门领导`。

0x05 服务器故障

• 因系统服务器故障而导致的信息系统无法运行的事件。

服务器故障应急措施

（1）服务器故障后，应急小组确定`故障设备及故障原因`，并通知`相关厂商`。
（2）根据服务器修复和恢复系统所需时间，由`部门经理决定是否启用备份设备`。
（3）如启用备份设备，在服务器故障排除后，应急小组在确保`不影响正常业务`工作的前提下，利用网络空闲时期`替换备用设备`。
如不启用备份设备，应急小组应积极配合相关厂商解决服务器故障事件。

0x06 软件故障事件

• 因系统软件或应用软件故障而导致的信息系统无法运行的事件。

软件故障应急措施

（1）发生计算机软件系统故障后，系统使用人员应立即`保存数据`，停止该计算机的业务操作，并将情况报告应急小组，不得擅自进行处理。
（2）应急小组应立刻派出`技术人员`进行处理。
（3）应急小组组织有关人员在保持原始数据安全的情况下，对计算机系统进行修复；修复系统成功后，利用备份数据恢复丢失的数据。

0x07 灾害性事件

• 因不可抗力对信息系统造成物理破坏而导致的事件。

灾害性事件应急措施

（1）一旦发生灾害性事件，应急小组每一位成员都应有责任在第一时间`进入机房`抢救服务器及存储设备。
（2）应急小组对服务器及存储设备的`损坏程序`进行评估。如服务器损坏或存储
（3）设备损坏无法使用，立即联系相关厂商，进入`维保服务程序`。
（4）根据服务器或存储设备修复和恢复系统所需时间，由部门经理决定是否启用备份设备。

0x08 其他突发事件应急预案

• 不能归为以上七个基本分类，并可能造成信息系统异常或对信息系统当前运行造成潜在危害的事件。

其它突发事件应急措施

（1）应急小组立刻派出技术人员进入现场，制定相应措施，根据实际情况灵活处理，并按要求报告值班经理。

二、应急处置程序

• 信息系统使用单位或人员发现信息系统安全事件后，应及时报告应急小组。
• 应急小组及时分析事件，在短时间内（一般要在半小时以内）依据事件情形和修复时间进行初步判别，确定故障分类级别，较大（III级）及其以上的安全事件应报告应急领导。
• 信息系统安全事件发生后，根据事件严重程度，由应急领导决定并指定特定及时对外发布信息协调配合修复安全事件。
• 根据不同的事件以及事件的级别，采取相应措施进行应急处理。
• 突发事件处理过程中，可以根据需要调整故障级别。

0x01 DDos攻击事件

事件描述：

• 信息系统遭到DDoS攻击，系统收到大量无意义数据包，无法对外提供正常业务服务；
• 被攻击系统对外部访问请求响应处理缓慢，系统资源被占满，使用Ping命令无法Ping通（或存在大量丢包情况）

事件处置流程图：

事件抑制根除方法

（1）值班员对系统安全运行情况进行监控，并从各现场值班人员/用户端反映的情况中分析，判定为DDos攻击事件；
（2）值班员按照《信息系统应急管理及通报程序》执行通报；
（3）值班员通过查看系统日志、防火墙日志、网络日志、网络流量分析等方式分析定位DDos攻击源IP地址；
（4）值班员根据检测平台定位到的DDos攻击源IP地址，判定是否可以在现有防火墙上将来自该地址的DDos数据访问过滤掉，如果可以，则在防火墙上进行过滤；
（5）如果无法使用防火墙对来自攻击源IP地址的DDos数据访问进行过滤，值班员应对攻击源IP地址作进一步定位，确认是否为网络内部的IP地址；如果是网络内部的IP地址，在基础设施值班员得到该IP地址用户确认后的情况下（如果该IP地址不是信息系统服务器地址，则可以不需要向用户进行确认）进行断开该IP地址设备网络连接操作；
（6）根据确定的攻击路径，值班员在分析攻击路径上所携带应用的情况下，按照“完全隔离攻击来源”和“最低限度影响网络运行”的原则，关闭DDos攻击网络路径；
（7）如果无法定位DDos攻击源IP地址（或DDos攻击路径），或者经过分析后无法关闭DDos攻击网络路径，则受攻击系统的系统管理员应立即启用系统自身功能部件完全不可用情况下的应急预案，并由值班员再次进行信息通报。

0x02 防病毒安全事件

事件描述：

• 信息系统服务器或终端有感染病毒的风险或者已经感染病毒（防病毒软件可能产生报警）或短时间内处于同一生产网络区域内的多台计算机均被病毒传播感染，且使用360天擎统一的防病毒软件自动清除或隔离

事件处置流程图：

事件抑制根除方法

（1）隔离受感染主机：当出现计算机病毒传染迹象时，立即隔离被感染
的系统和网络，并进行处理，不应带“毒”继续运行，
（2）对于服务器，要先确定被感染情况，并通知系统管理员，确定处理方案后、方可处理。
（3）确定病毒种类特征：采用多种手段确定病毒的类型和传播途径，如查看防
病毒软件的报警信息、搜索互联网相关信息、和防病毒软件厂商沟通等途径。
（4）对于未知病毒，可以尽快提交给系统管理员和防病毒软件厂商。
（5）一旦出现传播速度快，威胁大的新病毒，应该立即进行手工升级病毒库；
（6）如果出现大面积传播的趋势，要根据病毒的传播形式采取网络访问控制、防病毒软件升级病毒库等手段控制病毒的扩散。
（7）尽量使用专杀工具对病毒进行查杀，完成后，重启
（8）计算机，再次使用最新升级的防病毒软件进行全盘查杀，检查系统中是否
还存在该病毒，并确定被感染的数据是否完好。
（9）查找中毒原因，改进和完善防护措施，及时更新系统补丁。
（10）公司各部门相应负责人和各模块业务经理组织自己的负责人评估病毒解决方案对系统、数据库、终端等的影响并实施控制措施；根据病毒处置情况，收集整改结果，进行总结。

0x03 扫描攻击事件

事件描述：

• 主要针对扫描事件及中低危漏洞，发现攻击源ip使用自动化软件进行恶意攻击，对网站进行大量扫描，触发报警。

事件处置流程图

事件抑制根除方法

（1）值班员根据高级威胁分析平台对系统安全运行情况进行监控，发现有对系统的使用自动化软件漏洞扫描。
（2）值班员根据系统日志内容，分析定位试扫描源IP地址并查看攻击次数较多的IP源地址。
（3）对网站发起大量扫描的攻击IP进行封禁处理。
（4）攻击源IP上报网络值班人员，由网络值班人员在IPS上封禁操作。
（5）如若不能在IPS上彻底阻断，则由网络值班员在防火墙上封禁操作。
（6）对频繁攻击和封禁后绕过防火墙继续进行攻击的ip进行详细记录。
（7）对于有组织性的扫描及漏洞探测，详细记录其攻击源及攻击方式等证据，上交应急领导，采取报警。

0x04 高危受控事件

事件描述：

• 主要针对访问控制登陆事件及高危漏洞事件，通过高级威胁分析平台日志记录进行具体事件分析验证是否存在漏洞事件。
• 具体事件分别划分为：访问控制登陆，Web后门,命令执行,WebDAV写文件漏洞,应用出错,信息泄露，下载文件等。

事件处置流程图：

事件抑制根除方法

（1）值班员根据高级威胁分析平台对系统安全运行情况进行监控，发现相关漏洞攻击预警时，及时进行事件研判，判断高危受控事件对网络及系统的威胁系数造成的影响。
（1）查询日志定位源地址和目标地址，确定攻击地址是否来自外部地址。
（2）详细分析数据包，确定攻击手法次数范围及影响。
（3）分析日志及数据包，研判是否存在高危漏洞，确认系统是否在未授权的情况下被访问控制登陆。
（4）根据事件严重情况，采取不同的处理方法。如若严重，通知网络值班员紧急封禁源IP,对已经被入侵系统通知系统管理人员紧急采取断外网映射或下线该系统进行修复及整改，并上报应急领导。
（5）分析漏洞并验证漏洞，根据不同的漏洞，提供不同的安全修复方案。
（6）根据漏洞影响情况，后续重点监测并实行自行检查漏洞。

0x05 邮件攻击事件

事件描述：

• 客户邮箱接受恶意邮件，点击或者下载，木马或恶意脚本会攻击客户终端，造成信息泄露，或者更大的风险。

事件处置流程图：

事件抑制根除方法

（1）值班员根据高级威胁分析平台对系统安全运行情况进行监控，查看高风险邮件。
（2）使用沙箱查看攻击者使用脚本行为。
（3）详细查看攻击源，确定被攻击者及攻击受影响范围。
（4）上报应急小组，封禁源地址并提醒被攻击者谨慎操作。
（5）员工工作期间不要点击一些不安全网站，防止查看了钓鱼网站及邮件木马
（6）警惕钓鱼邮件，慎重打开邮件中的链接，附件打开之前要查毒,exe等格式、尤其是RAR格式的文件，碰到不熟悉的邮件发来RAR，不要随意下载。
（7）提升企业邮箱密码符合复杂性要求。

0x06 网站被挂马、信息泄露及网页篡改事件

事件描述：

• 主要针对访问控制登陆事件及高危漏洞事件，通过监控平台日志记录进行具体事件分析验证是否存在漏洞事件。
• 具体事件分别划分为：访问控制登陆，Web后门,命令执行,高危敏感信息泄露，非法外联等。

事件处置流程图：

事件抑制根除方法

（1）查询日志定位源地址和目标地址，确定攻击及被攻击范围。
（2）通知网络值班员紧急封禁源IP,对已经被入侵系统通知系统管理人员紧急采取断外网映射或下线该系统进行修复及整改，并上报应急领导。
（3）查找木马,并清除，对攻击者进行溯源。
（4）分析漏洞并验证漏洞，根据不同的漏洞，提供不同的安全修复方案。
（5）修复完毕后重新上线。

0x07 后期处置

（1）故障排除后，应急小组向各员工发出故障解除、系统恢复正常运行通知。系统恢复运行后，相关操作人员尽快通知部门和个人，
并对故障发生前所进行过的业务操作进行检查，核对业务数据是否正确或有无丢失，不正确或有丢失的应马上更正或补录，确保数据的正确和完整。
（2）组织有关人员及有关技术专家组成事件调查组，对事件发生原因、性质、影响、后果、责任及应急处置能力、恢复重建等问题进行全面调查评估，
总结经验教训，完善信息系统应急处理预案，整改信息系统存在的隐患。

0x08 预防与预警机制

• 针对各种可能发生的信息系统突发事件，建立和完善预测预警机制。
• 应急工作要加强对信息系统的日常监测工作。
• 监测的内容主要包括：

（1）局域网通讯性能与流量；
（2）网络设备和安全设备的操作记录、网络访问记录；
（3）服务器性能、数据库性能、应用系统性能等运行状态，以及备份存贮系统状态等；
（4）服务器操作系统、数据库安全审计记录、业务系统安全审计记录；
（5）计算机漏洞公告、网站漏洞扫描报告；
（6）病毒公告、防病毒系统报告；
（7）其他可能影响信息系统的预警内容。

摘抄

站在山巅与日月星辰对话
潜游海底和江河湖海晤谈
和每一棵树握手，和每一株草私语
方知，宇宙浩瀚，自然可畏，生命可敬。

常见应急事件及应急处置程序相关推荐

1. 应急响应 ＞＞ 网络安全应急事件类型和处置办法

   总目录 如何提升网络安全应急响应与事件处置能力_千里:)的博客-CSDN博客 一.事件类型划分 1.有害程序事件 有害程序事件是指蓄意制造.传播有害程序,或者是因受到有害程序的影响而导致的信息安全事件 ...

2. Windows 的应急事件分类-

   Windows 的应急事件分类 --转载自先知社区白河愁大佬 (感谢) URL:https://xz.aliyun.com/t/2524 Windows 系统的应急事件,按照处理的方式,可分为下面几种 ...

3. 应急响应---应急响应、应急响应事件、网络应急响应

   应急响应-应急响应.应急响应事件.网络应急响应 一.应急响应 1.什么是应急响应   应急响应( Incident Response/ Emergency Response )通常是指一个组织为了应对 ...

4. 记一次服务器入侵事件的应急响应

   0x01 事件背景 8月某日,客户官网被黑,需在特定时间内完成整改.为避免客户业务受到影响,实验室相关人员第一时间展开本次攻击事件的应急处理. 0x02 事件分析 网站源码被篡改,攻击者一定获取到了权 ...

5. 《网络安全法》对应急预案和应急响应有哪些要求

   <网络安全法>第25条规定:网络运营者应当制定网络安全事件应急预案,及时处置系统漏洞.计算机病毒.网络攻击.网络侵入等安全风险:在发生危害网络安全的事件时,立即启动应急预案,采取相应的补救 ...

6. 【网络安全】什么是应急响应，应急响应中你到底该关注哪些指标？

   一.前言 今天这一篇文章主要就是介绍应急响应中的KPI.不过在讨论之前,还是得简单的介绍一下什么是应急响应. 二.什么是应急响应? "应急响应"对应的英文是"Incide ...

7. 小程序 | 小程序中常用的事件 + 事件对象的属性列表 +小程序事件传参 + 小程序全局配置 + 小程序页面配置 + 小程序发起网络数据请求

   文章目录 一.WXML 模板语法 数据绑定 事件绑定 ⭐小程序中常用的事件 ⭐事件对象的属性列表 target 和 currentTarget 的区别 bindtap 的语法格式 在事件处理函数中为 ...

8. 网络安全应急预案 信息安全应急预案 应急演练

   等级保护-应急演练 应急演练预案 DDOS应急预案(不用修改).docx XSS应急预案(已完成).docx 主数据库服务器宕机应急预案(不用修改).docx 开发服务器应急恢复预案(不用修改).do ...

9. 浅析oracle常见等待事件之 db file scattered read

   浅析oracle常见等待事件之 db file scattered read(转) 原文地址: http://www.hellodml.com/2011/12/%E6%B5%85%E6%9E%90or ...

最新文章

1. java自己实现读写锁_关于读写锁算法的Java实现及思考
2. 成功解决你没有权限访问，请与网络管理员联系图文教程
3. ubuntu 创建桌面快捷方式
4. Unity3D学习笔记之二资源导入以及工程管理
5. Eclipse，新建web项目后 出现jax-ws webservice
6. oss文件普通下载-断点下载
7. 大型电商数据库设计与分析
8. 汇编 DOS系统功能调用
9. 龙芯芯片CPU的产品路线说明
10. 中国大侠vs生化战士(转)
11. 华为HCNA路由与交换eNSP实战（1）静态路由基础
12. 2022年镇海夏令营组合数学和数论班 —— 数学作业 1
13. php 每天的凌晨三点,为什么有些人总是会在凌晨3、4点醒来，到底是在暗示什么？...
14. Qt利用QZXing和QRenCode识别二维码和制作二维码
15. 用java做打字训练测试软件,《打字训练测试软件-Java课程设计》.doc
16. Openstack采用ISO格式文件创建云主机
17. 湮没在先秦的【文士道】精神
18. 可口可乐市场调查失败的原因_可口可乐失败案例
19. 三层代码讲解--第二课 DATE :2004-05-25
20. 华为鸿蒙os用时间长了会卡吗,外媒再放狠话!华为鸿蒙OS系统和安卓没区别:同样也会越用越卡顿...

热门文章

1. 德行光明磊落 才华玉韫珠藏
2. Unity3d关于Particle System is trying to spawn on a mesh with zero surface area的警告
3. 在阿里云上做开发是一种什么体验？
4. 最受中国人喜欢的电影，你看过几个？（豆瓣top250分析，附资源）
5. 深入理解Eureka 自我保护机制（五）
6. IE兼容模式下排版错乱问题解决
7. Repo 的使用小结
8. 扬州旅游app(三)
9. 大数据时代，我们能逃离出那双窥视的眼睛吗
10. SpringBoot集成mybatis拦截器的实现