文档介绍：网络安全应急响应服务方案
目录
1应急响应服务范围及流程4

准备阶段(Preparation)6
负责人准备内容6
技术人员准备内容6
市场人员准备内容9
检测阶段(Examina用户快照；
/系统资源利用率等快照。
（3）信息系统的业务数据及办公数据均十分重要，因此需要进行数据存储及备份。目前，存储备份结构主要有DAS、SAN和NAS,以及通过磁带或光盘对数据进行备份。各服务对象可以根据自身的特点选择不同的存储产品构建自己的数据存储备份系统。
工具包的准备
•应急服务提供者应根据应急服务对象的需求准备处置网络安全事件的工具包，包括常用的系统基本命令、其他软件工具等；
•应急服务提供者的工具包中的工具最好是采用绿色免安装的，应保存在安全的移动介质上，如一次性可写光盘、加密的U盘等；
•应急服务提供者的工具包应定期更新、补充；
必要技术的准备
上述是针对应急响应的处理涉及到的安全技术工具涵盖应急响应的事件取样、事件分析、事件隔离、系统恢复和攻击追踪等各个方面，构成了网络安全应急响应的技术基础。所以我们的应急响应服务实施成员还应该掌握以下必要的技术手段和规范，具体包括以下内容：
（1）系统检测技术，包括以下检测技术规范：
/Windows系统检测技术规范；
/Unix系统检测技术规范；
/网络安全事故检测技术规范；
/数据库系统检测技术规范；
/常见的应用系统检测技术规范;
（2）攻击检测技术，包括以下技术：
/异常行为分析技术；
/入侵检测技术；
/安全风险评估技术；
（3）攻击追踪技术；
（4）现场取样技术；
（5）系统安全加固技术；
（6）攻击隔离技术；
（7）资产备份恢复技术。

•和服务对象建立长期友好的业务关系；
•和服务对象签订应急服务合同或协议；
•建立预防和预警机制，及时上报。
（1）预防和预警机制
/市场人员要严格按照应急响应负责人的安排和建议，及时提醒服务对象提
高防范网络攻击、病毒入侵、网络窃密等的能力，防止有害信息传播，保障服务对象网络的安全畅通。
/将协会网络信息中心会发布的病毒预防警报以及更新的防护策略及时有
效地告知服务对象，做好防护策略的更新。
（2）信息系统检测和报告
/按照“早发现、早报告、早处置”的原则，市场人员要加强对服务对象信
息系统的安全检测结果的通告，收集可能引发信息安全事件的有关信息、进行分
析判断。
/如服务对象发现有异常情况或有信息安全事件发生时，要立即向协会网络信息中心应急响应负责人报告，并填写事件初步报告表。
/要求服务对象持续监测信息系统状况，密切关注应急响应负责人提出初步行动对策和行动方案，听从指令和安排，及时减小损失。
3检测阶段（Examination）
■目标：接到事故报警后在服务对象的配合下对异常的系统进行初步分析，
确认其是否真正发生了信息安全事件，制定进一步的响应策略，并保留证据。
■角色：应急服务实施小组成员、应急响应日常运行小组；
■内容：
（1）检测范围及对象的确定；
（2）检测方案的确定；
（3）检测方案的实施；
（4）检测结果的处理。
■输出：《检测结果记录》

应急响应负责人根据《事件初步报告表》的内容，初步分析事故的类型、严重程度等，以此来确定临时应急响应小组的实施人员的名单。
检测范围及对象的确定
■应急服务提供者应对发生异常的系统进行初步分析，判断是否正真发生了安全事件；
■应急服务提供者和服务对象共同确定检测对象及范围；
■检测对象及范围应得到服务对象的书面授权。

/应急服务提供者和服务对象共同确定检测方案；
/应急服务提供者制定的检测方案应明确应急服务提供者所使用的检测规
范；
/应急服务提供者制定的检测方案应明确应急服务提供者的检测范围，其检测范围应仅限于服务对象已授权的与安全事件相关的数据，对服务对象的机密性数据信息未经授权的不得访问；
/应急服务提供者制定的检测方案应包含实施方案失败的应变和回退措施；
/应急服务提供者和服务对象充分沟通，并预测应急处理方案可能造成的影响。

（1）检测搜集系统信息
记录时使用目录及文件名约定：
在受入侵的计算机的D盘根目录下（D:\）（如果无D盘则在其他盘根目录下）建立一个qihoo目录，目录中包含以下子目录：
artifact：用于存放可疑文件样本
cmdoutput：用于记录命令行输出结果
screenshot：用于存放屏幕拷贝文件
log：用于存放各类日志文件
文件格式：
命令行输出文件缺省仅使用TXT格式