网络安全应急响应是指在发生网络安全事件或信息安全事故时，采取一系列组织和技术措施，以最快的速度检测、分析、遏制、消除和恢复正常运营。应急响应不仅仅是技术问题，还涉及到流程管理、人员协调和决策支持等多个方面。通过有效的应急响应，可以最大限度地减少网络安全事件对组织造成的损失和影响。
做好网络安全应急响应工作对于保护信息系统、数据和组织的安全至关重要。以下是常见的应急响应流程，包含多个关键步骤(PDCERF)：
今日阅读福利：《应急响应实战笔记》
扫码备注“应急响应实战笔记”，即可免费领取
一、准备阶段
1）制定应急响应计划：明确定义应急响应团队的角色、职责和权限。创建详细的流程文档，涵盖各种潜在的安全事件。
2）培训与演练：定期进行应急响应培训和模拟演练，确保团队成员熟悉其职责和操作步骤。
3）工具和技术准备：配备必要的检测、分析和恢复工具，如入侵检测系统、日志分析工具和数据备份系统。
通过这些准备工作，组织能够在安全事件发生时迅速采取行动，最大限度地减少损失和影响。准备阶段的工作做得越充分，应急响应的效果就越好。
二、识别阶段
信息收集与确认事件：信息收集包括收集流量、日志、可疑进程的内存、失陷系统镜像、恶意样本、客户资产收集、资产相关漏洞测试报告、防御设备的日志等等信息。通过分析以上信息，确定是否真的发生了安全事件，并对其性质和范围进行初步评估。
当我们通过态势感知、全流量监测系统、入侵检测系统（IDS）、端点检测和响应（EDR）等自动化工具发现安全事件告警。接下来该如何处置呢？
1）为进一步的研判提供方向，根据事件类型（如网络攻击、系统漏洞、数据泄露等）对事件进行分类。验证警报的有效性，排除误报和已知的非恶意活动。
2）确定告警真实性后，为了深入分析告警，需要收集与事件相关的数据，包括但不限于日志文件、系统状态、网络流量等。对收集的数据进行深入分析，识别攻击模式、入侵路径等。
3）结合外部威胁情报和内部数据分析，确认安全事件，评估事件对业务运营、数据安全和合规性的影响。立即生成详细的安全事件报告，记录事件的时间、影响范围、可能的原因等，详细记录研判过程、决策和行动计划。确保信息的可追溯性，为后续的响应、调查和审计提供依据。
4）组织跨部门的安全研判会议，基于研判结果，制定初步的响应策略，如隔离受影响系统、限制网络访问等。将研判结果和初步响应策略反馈给相关团队和管理层，确保所有相关人员了解事件状态和下一步行动计划。
三、控制阶段
抑制阶段是网络安全应急响应中的一个关键环节，其目的是在不完全了解事件全貌的情况下，迅速采取行动，控制威胁，减少损失。需要考虑多个因素以确保及时有效地控制威胁：
最小化影响：在制定抑制策略时，要尽量减少对业务运营的影响。
快速响应：抑制措施需要迅速执行，以控制事件的影响。
灵活性：根据事件的发展和抑制措施的效果，灵活调整策略。
安全性：在执行抑制措施时，确保不会引入新的安全风险。
1）阻断与遏制：根据事件的严重程度，采取措施隔离受影响的系统或网络部分，防止事态进一步恶化。例如，可以断开网络连接、停用受感染的账户等。断开网络的目的主要在于：观察病毒行为、观察流量特征、阻断对外连接等。
2）隔离与控制：在安全事件发生之后，要保证被保护核心资产和沦陷方的隔离，做到保护、避害、不损害。
四、分析阶段
1）样本分析
针对日志、流量以及样本进行分析，关注时间、动作、结果、状态码、交互过程等信息进行研判分析。
2）还原攻击过程
从日志、流量、样本综合表现情况进行分析，还原攻击路径，推演攻击过程。此过程中需要具备一定的渗透测试能力，再此基础上放入沙箱重新复现攻击过程。攻击者入侵windows系统往往从弱口令、系统漏洞以及服务漏洞进行切入，获得一个普通的系统权限，再经过提权后进行创建启动项、修改注册表、植入病毒和木马等一系列操作，从而维持对目标主机的控制权。在这个过程当中，操作系统也会出现异常，包括账户、端口、进程、网络、启动、服务、任务以及文件等，运维人员根据以上异常情况同日志、流量、样本分析综合分析，攻击者从何处入侵、攻击者以何种方式入侵以及攻击者在入侵后做了什么，从而为之后的系统加固、安全防护提供针对性建议。通过还原攻击可以对后续的系统加固和安全加固提供帮助。
以下为部分入侵排查方法：
①排查可疑账号以及新增账号：
使用快捷键win+R打开运行，输入lusrmgr.msc命令，查看是否存在可疑账号，特别是管理员群组（Administrators）中的新增账号，如过存在立即进行删除或禁用处理。
②排查隐藏账号
使用快捷键win+R打开运行，输入regedit命令，打开注册表编辑器，路径选择HKEY_LOCAL_MACHINE/SAM/SAM，默认情况下是无法查看该路径内容，右键菜单选择权限，打开权限管理窗口 ，选择当前用户（一般为 administrator），将权限勾选为完全控制，确定并关闭注册表编辑器。
重新输入regedit命令，打开注册表编辑器，即可选择 HKEY_LOCAL_MACHINE/SAM/SAM/Domains/Account/Users 目录，在 Names 项下可以看到实例所有用户名，如出现本地账户中没有的账户，即为隐藏账户，在确认为非系统用户的前提下，可删除此用户。
③结合日志排查用户异常
使用快捷键win+R打开运行，输入eventvwr.msc命令 2、打开时间查看器，分析用户登录日志，是否存在爆破登录等异常。
④排查可疑进程
使用快捷键win+R打开运行，输入msinfo32命令，点击“软件环境-正在运行任务”可查看进程的详细信息，比如进程路径、创建时间以及启动时间等。
⑤排查异常启动项
使用快捷键ctrl+alt+del，可进入任务管理器界面，点击启动，即可看到启动项，检查是否存在异常启动项。
五、清除阶段
清除阶段考虑的因素：
1）彻底性：
确保所有相关的恶意软件、未授权访问点和其他威胁因素被彻底清除。
2）系统完整性：
在清除之前，确保有系统和数据的备份，以防万一需要恢复。在清除过程中，保持系统的完整性，避免对系统造成进一步损害。清除之后，确保所有系统都安装了最新的安全补丁，以防止未来的攻击。
3）风险评估：
对清除过程中可能产生的风险进行评估，并准备相应的缓解措施。
3）数据恢复：
计划数据恢复策略，以便在清除恶意软件或受损文件后恢复丢失的数据。
4）法律和合规性：
清除活动应符合法律法规和行业标准，确保所有行动可追溯且合法。
5）证据保护：在清除过程中，保护好与安全事件相关的证据，以备法律诉讼或进一步分析。
6）持续监控：清除后，持续监控系统和网络，确保威胁没有重新出现。
1）修复清理：一般情况下我们可以进行针对性的杀进程、删文件。极端特殊情况下，可以在数据迁移备份后，重装系统盘。
2）恢复验证：在清理过程之后，可重新启用被隔离的系统和服务，逐步恢复正常业务运营，并对系统进行全面检查，确保威胁已被消除，系统功能正常。
六、改进阶段
1）总结与更新：总结安全事件的全过程，收集团队成员的反馈，总结经验教训，确定哪些做得好，哪些需要改进。分析事件发生的原因和应对措施的有效性。根据新出现的威胁和技术发展，及时更新应急响应文档和流程，以提高检测和响应能力。
2）定期审计和评估：定期进行网络安全审计和风险评估，确保系统安全合规，及时发现和解决安全问题，提高安全防御能力，并确保安全措施与业务需求和技术发展保持同步。
3）安全意识提升：定期组织网络安全培训，旨在增强员工对潜在安全威胁的认识，通过有效的培训和安全意识提升，可以显著提高员工的安全素养，减少因疏忽或不当操作导致的安全事件，从而提高整体的安全防御能力。
内容转自汇通网安，侵删
END
开始快速掌握黑客技术
今天最后一天，全程干货
大厂讲师在线授课 全程干货享不停
原文始发于微信公众号（马哥网络安全）：干货 | 应急响应常见流程，详解6个关键步骤
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论