检测网络安全事件
网络安全事件是指系统、服务或网络状态的发生，表明可能违反安全策略、保护措施失败或以前可能与安全相关的未知情况。
² 网络安全事件
网络安全事件是不需要的或意外的网络安全事件，或一系列此类事件，具有很大损害业务运营的可能性。
² 网络弹性
网络弹性是指能够适应网络安全事件造成的中断，同时保持持续的业务运营。这包括检测、管理和从网络安全事件中恢复的能力。
² 检测网络安全事件
检测和调查网络安全事件的核心要素之一是适当数据源的可用性。幸运的是，许多数据源可以从现有系统中提取，而无需专门的功能。
下表描述了组织可用于检测和调查网络安全事件的一些数据源。
| 数据源 |
描述 |
|
域名系统日志 |
可以帮助识别试图解析恶意域或 Internet 协议地址的尝试，这些尝试可能指示存在利用漏洞或成功入侵。 |
| 电子邮件服务器日志 | 可以帮助识别鱼叉式网络钓鱼电子邮件的目标用户。还可以帮助确定妥协的初始向量。 |
| 操作系统事件日志 |
可以协助跟踪流程执行，文件/注册表/网络活动，身份验证事件，操作系统创建的安全警报和其他活动。 |
|
安全软件和设备日志 |
可以帮助识别异常或恶意活动，这些活动可能表示存在利用尝试或成功入侵。 |
|
虚拟专用网络和远程访问日志 |
可以帮助识别与恶意活动相关的异常源地址、访问时间和登录/注销时间。 |
| 代理日志 |
可以帮助识别基于超文本传输协议的向量和恶意软件通信流量。 |
² 入侵检测和防御策略
建立入侵检测和防御策略可以增加检测并随后阻止网络和主机上的恶意活动的可能性。在此过程中，入侵检测和防御策略可能涵盖以下内容：
1. 使用的基于网络的入侵检测和防御方法；
2. 使用的基于主机的入侵检测和防御方法；
3. 报告和响应检测到的入侵的指南；
4. 分配给入侵检测和预防活动的资源。
制定并实施了入侵检测和防御策略。
² 值得信赖的内部人员计划
由于受信任的内部人员的系统访问和对业务流程的了解通常使它们更难检测，因此建立受信任的内部人员程序可以帮助组织在受信任的内部人员威胁发生之前检测和响应它们，或者在发生损害时限制损害。在此过程中，组织可能会通过记录和分析用户活动来获得最大的收益：
过度复制或修改文件
1. 未经授权或过度使用可移动介质；
6. 使用未经授权的虚拟专用网络、文件传输应用程序或匿名网络。
² 访问足够的数据源和工具
成功检测网络安全事件需要训练有素的网络安全人员能够访问足够的数据源，并辅以支持手动和自动分析的工具。因此，重要的是，在系统设计和开发活动期间，向系统添加功能，以确保可以捕获足够的数据源并将其提供给网络安全人员。
网络安全人员可以访问足够的数据源和工具，以确保可以监控系统的关键危害指标。
管理网络安全事件
² 网络安全事件登记
在登记册中记录网络安全事件有助于确保开展适当的补救活动。此外，网络安全事件的类型和频率等信息，以及任何补救活动的成本，都可以用作未来风险评估活动的输入。
维护网络安全事件登记册，涵盖以下内容：
1. 网络安全事件发生的日期
2. 发现网络安全事件的日期
3. 网络安全事件的描述
4. 为应对网络安全事件而采取的任何行动
5. 向谁报告了网络安全事件。
² 处理和控制数据溢出
² 处理和遏制恶意代码感染
当检测到恶意代码时，将采取以下步骤来处理感染：
1. 隔离受感染的系统；
2. 在感染前使用的所有先前连接的介质都扫描感染迹象，并在必要时进行隔离；
3. 防病毒软件用于从受感染的系统和媒体中删除感染；
4. 如果无法可靠地消除感染，系统将从已知良好的备份中恢复或重建。
² 处理和遏制入侵
在入侵修复活动之后，组织应确定对手是否已成功从系统中移除，包括他们是否已重新获得访问权限。这可以通过在修复活动后至少七天内捕获和分析网络流量来实现。
² 证据的完整性
在网络安全事件发生后收集证据时，保持其完整性非常重要。尽管调查可能不会直接导致起诉，但重要的是要保护证据的完整性，例如手动日志，自动审计跟踪和入侵检测工具输出。
如果要求监管方介入，不应采取任何可能影响证据完整性的行动。调查人员保持调查期间收集的证据的完整性：
1.记录他们所有的行为
2.为所有证据创建校验和
3.将证据拷贝到介质上进行存档
4.维护适当的监管链。
报告网络安全事件
² 报告网络安全事件
网络安全事件在发生或被发现后尽快报告给组织的CISO或其代表之一。
服务提供商在发生或发现网络安全事件后尽快向客户的CISO或其代表之一报告网络安全事件。
服务提供商及其客户相互维护 24x7 全天候的联系方式，包括正常通信渠道出现故障时的其他联系方式，以便报告网络安全事件。
² 报告网络安全事件
7. 涉嫌篡改ICT设备或移动设备。
注：本文档翻译参考来源为ACSC，部分词汇在本文中做了技术性调整
关注公众号
回复“220325”获取机翻版“2022年X-Force威胁情报指数”PDF版
回复“220213”获取“小型企业网络安全指南”PDF版
原文始发于微信公众号（祺印说信安）：信息安全手册之网络安全事件指南
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论