文档介绍：应急响应处理流程
应急响应研究领域目前最被广为接受的流程是PDCERF方法学,该方法学将应急响应整个流程划分为准备(Preparing)、检测(Detection)、抑制(Control)、根除(Eradicate)、恢复(Restore应急响应处理流程
应急响应研究领域目前最被广为接受的流程是PDCERF方法学,该方法学将应急响应整个流程划分为准备(Preparing)、检测(Detection)、抑制(Control)、根除(Eradicate)、恢复(Restore)和跟进(Follow)六个阶段。在实际应急响应过程中,也不一定严格存在这六个阶段,也不一定严格按照这六个阶段的顺序进行,但是PDCERF是目前适应性较强的应急响应的通用方法学。下面结合一个实际案例,对这六个阶段分别予以介绍。
案例背景
某公司自有数据中心拥有近百台服务器,服务器上部署有各类业务系统提供给用户使用,其中部分服务器与Internet隔离,仅仅为内部用户提供服务,而另外一部分服务器则利用NAT端口映射技术开放给外部用户使用。为保障Internet接入的稳定性,公司引入了联通和电信两条Internet线路,其中联通线路带宽为100Mbps,属于主用线路;电信线路带宽为20Mbps,属于备用线路。公司对于信息安全十分重视,不仅在Internet出口网关处部署了防火墙(JuniperISG2000)、IPS(启明星辰NIPS-3060)等安全设备,以防范来自Internet的网络安全威胁,而且对于内网的管控也相当严格,员工电脑都安装了企业级杀毒软件,而且在全网范围内部署了准入控制相关产品,不符合安全策略的主机将无法接入网络。同时,员工办公电脑的USB接口、光驱等都被禁止使用,以防U盘、光盘等外来介质给内网带来病毒感染的威胁。整个公司内部网络架构是典型的“核心—汇聚—接入”三层架构,如下图1所示。
为了保障业务连续性,提升信息安全应急响应能力,公司内部参照PDCERF流程建立了较为完善的信息安全应急响应机制,范围包含服务器、网络、业务系统等多个方面。本文以“服务器遭受DDoS拒绝服务攻击”事件为例,来介绍该公司的应急响应流程。
准备阶段
准备阶段是信息安全事件响应的第一个阶段,即在事件真正发生前为事件响应做好准备。这一阶段极为重要,因为事件发生时很可能需要在短时间内处理较多的事务,如果没有做好足够的准备工作,那么将很难及时地完成响应工作。该公司在攻击事件发生前,做了相应的准备工作,主要有如下几点。
为防止病毒的侵害,该服务器安装了卡巴斯基企业版杀毒软件,并定时自动升级病毒库
为防止业务数据的丢失,每天晚上都会通过自动备份软件,将服务器上的数据备份到异
地的备份服务器上。
由于该服务器发布在Internet上,为防止来自Internet的网络攻击,在Internet出口网关处部署了防火墙和IPS,配置了相对严格的Untrust-〉Trust区域的访问控制策略,同时保证IPS设备的特征库定时更新,以抵御更多种类的网络攻击。
建立了针对服务器遭受攻击时的应急响应预案,每半年组织相关人员开展一次应急演练活动。
建立支持安全事件响应活动的管理体系,为应急响应提供足够的资源和人员。公司成立了信息安全应急响应处理小组,由IT部门负责人出任组长,负责协调人员和资源。其他