应急响应 on ClearSec Wikihttps://www.clearsec.org/wikis/ise/ises/17_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94/Recent content in 应急响应 on ClearSec WikiHugozh-cnFri, 15 Nov 2024 09:44:26 +0800§17.1_应急响应分类与内容https://www.clearsec.org/wikis/ise/ises/17_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94/17.1_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E5%88%86%E7%B1%BB%E4%B8%8E%E5%86%85%E5%AE%B9/Fri, 15 Nov 2024 09:44:26 +0800https://www.clearsec.org/wikis/ise/ises/17_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94/17.1_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E5%88%86%E7%B1%BB%E4%B8%8E%E5%86%85%E5%AE%B9/<p><strong>监测、预警、分析</strong>、响应、恢复</p> <p>积极预防、及时发现、快速响应、力保恢复</p> <h3 id="概述">概述</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.1_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E5%88%86%E7%B1%BB%E4%B8%8E%E5%86%85%E5%AE%B9/1ca9a7fbd8c5a61740ee7630196f69cb_MD5.png" alt=""></p> <p>监测预警和信息通报制度、按规定报送网络安全监测预警信息。如阿里云事件，违规报送。</p> <p>风险评估和应急工作机制，指定应急预案</p> <p>对网络事件调查评估 消除隐患</p> <h3 id="组织建立工作机制">组织建立|工作机制</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.1_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E5%88%86%E7%B1%BB%E4%B8%8E%E5%86%85%E5%AE%B9/a0b19664978f8e442e15621c049f1705_MD5.png" alt=""></p> <p>应急领导组和应急技术支撑组。</p> <h3 id="安全事件分级">安全事件分级</h3> <p>事件类型与分级：1特别严重、2严重、3较严重、4一定影响，共四级。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.1_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E5%88%86%E7%B1%BB%E4%B8%8E%E5%86%85%E5%AE%B9/b05e22f82403a55d8a8e9fd13c5e8f00_MD5.png" alt=""></p> <p>网络安全相关部门：网信办、保密局（涉密系统）、网安（等保、公共场所网络检查、网警）、工信部网络安全管理局……</p> <h3 id="应急响应预案">应急响应预案</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.1_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E5%88%86%E7%B1%BB%E4%B8%8E%E5%86%85%E5%AE%B9/4b857676abeb9175cb2ec8b03033255a_MD5.png" alt=""></p> <p>级别高的一般是指导意见、部门级的一般是操作规程。</p> <h3 id="应急响应参考模板">应急响应参考模板</h3> <p>应急预案参考文档：</p> <p>网络设备硬件故障一般是用vrrp和堆叠实现高可用，不是冷备……</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.1_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E5%88%86%E7%B1%BB%E4%B8%8E%E5%86%85%E5%AE%B9/6838c2791df25487bfaa4a5144e2228a_MD5.png" alt=""></p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.1_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E5%88%86%E7%B1%BB%E4%B8%8E%E5%86%85%E5%AE%B9/dbb89afef656bc504be01fda9ea74490_MD5.png" alt=""></p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.1_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E5%88%86%E7%B1%BB%E4%B8%8E%E5%86%85%E5%AE%B9/642e4c9c972db3d671b21c5e9312ec55_MD5.png" alt=""></p> <p>用防火墙封ip或断网线。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.1_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E5%88%86%E7%B1%BB%E4%B8%8E%E5%86%85%E5%AE%B9/c984d727f88170275ab887dd90b56ee6_MD5.png" alt=""></p> <p>背如何处置，可能会出大题。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.1_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E5%88%86%E7%B1%BB%E4%B8%8E%E5%86%85%E5%AE%B9/5bbffa8f37ad7fa41db85bf5409f4e3d_MD5.png" alt=""></p> <p>UPS支持多长时间需要看具体配置多少，UPS只保障一个小时有点夸张了。</p>§17.2_应急事件场景与处理流程https://www.clearsec.org/wikis/ise/ises/17_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94/17.2_%E5%BA%94%E6%80%A5%E4%BA%8B%E4%BB%B6%E5%9C%BA%E6%99%AF%E4%B8%8E%E5%A4%84%E7%90%86%E6%B5%81%E7%A8%8B/Fri, 15 Nov 2024 09:44:26 +0800https://www.clearsec.org/wikis/ise/ises/17_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94/17.2_%E5%BA%94%E6%80%A5%E4%BA%8B%E4%BB%B6%E5%9C%BA%E6%99%AF%E4%B8%8E%E5%A4%84%E7%90%86%E6%B5%81%E7%A8%8B/<p>网络攻击：安全设备、打补丁、应用策略的限制</p> <p>针对网站：waf不仅抵御端口扫描，还能抵御应用&amp;系统漏洞和暴力破解等扫描。</p> <h3 id="常见应急场景">常见应急场景</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.2_%E5%BA%94%E6%80%A5%E4%BA%8B%E4%BB%B6%E5%9C%BA%E6%99%AF%E4%B8%8E%E5%A4%84%E7%90%86%E6%B5%81%E7%A8%8B/d0a85b8d997df45482972be0e982eb76_MD5.png" alt=""></p> <h3 id="应急响应处理流程">应急响应处理流程</h3> <p>安全事件报警可能来自行业通报和安全设备报警，会存在误报情况，因此需要进行确认是否启用应急预案。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.2_%E5%BA%94%E6%80%A5%E4%BA%8B%E4%BB%B6%E5%9C%BA%E6%99%AF%E4%B8%8E%E5%A4%84%E7%90%86%E6%B5%81%E7%A8%8B/5a232a344c92967d2796f133946cf58d_MD5.png" alt=""></p> <p><strong>安全事件处理</strong>至少两个人参加。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.2_%E5%BA%94%E6%80%A5%E4%BA%8B%E4%BB%B6%E5%9C%BA%E6%99%AF%E4%B8%8E%E5%A4%84%E7%90%86%E6%B5%81%E7%A8%8B/40e0ea0438a2af55123ab17eb0594023_MD5.png" alt=""></p> <h3 id="应急演练-模拟响应">应急演练-模拟响应</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.2_%E5%BA%94%E6%80%A5%E4%BA%8B%E4%BB%B6%E5%9C%BA%E6%99%AF%E4%B8%8E%E5%A4%84%E7%90%86%E6%B5%81%E7%A8%8B/a9720209b1653f631ce5de2f44f0944d_MD5.png" alt=""></p> <p>桌面应急演练 就是纸上谈兵 推演应急决策和现场处置过程。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.2_%E5%BA%94%E6%80%A5%E4%BA%8B%E4%BB%B6%E5%9C%BA%E6%99%AF%E4%B8%8E%E5%A4%84%E7%90%86%E6%B5%81%E7%A8%8B/b43838126dbb4b2f6e6c01e5cb7cf0ad_MD5.png" alt=""></p> <p>检验性的，检验应急预案的可行性、应急准备的充分性、应急机制的协调性，相关人员的应急处置能力。</p>§17.3_应急响应技术_容灾标准https://www.clearsec.org/wikis/ise/ises/17_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94/17.3_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E6%8A%80%E6%9C%AF_%E5%AE%B9%E7%81%BE%E6%A0%87%E5%87%86/Fri, 15 Nov 2024 09:44:26 +0800https://www.clearsec.org/wikis/ise/ises/17_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94/17.3_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E6%8A%80%E6%9C%AF_%E5%AE%B9%E7%81%BE%E6%A0%87%E5%87%86/<p>防火墙就是实现访问控制的一个重要设备</p> <p>应急响应技术：访问控制、网络安全评估、系统恢复、网络安全监测、入侵取证。</p> <h3 id="应急响应技术分类">应急响应技术分类</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.3_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E6%8A%80%E6%9C%AF_%E5%AE%B9%E7%81%BE%E6%A0%87%E5%87%86/7464c9b14b25c8654302305f0abb0328_MD5.png" alt=""></p> <h3 id="容灾恢复">容灾恢复</h3> <p>GB/T 20988-2007</p> <p>第一级基本支持要求<strong>每周做一次完全数据备份，并且备份介质场外存放</strong>。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.3_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E6%8A%80%E6%9C%AF_%E5%AE%B9%E7%81%BE%E6%A0%87%E5%87%86/3bf64693c3f45cb548e88b7331ee81b7_MD5.png" alt=""></p> <p>第五级-远程镜像 关键数据实时复制到备份场地，远程数据复制。备用网络具备自动或集中切换能力。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.3_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E6%8A%80%E6%9C%AF_%E5%AE%B9%E7%81%BE%E6%A0%87%E5%87%86/9e7162708cd96728df22d5d8dc01aef6_MD5.png" alt=""></p> <h3 id="入侵取证过程">入侵取证过程</h3> <p>取证设备具备法律效力需要经过认证，保证证据不被篡改。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.3_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E6%8A%80%E6%9C%AF_%E5%AE%B9%E7%81%BE%E6%A0%87%E5%87%86/77ffc521712308cb3588cb937968277e_MD5.png" alt=""></p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.3_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E6%8A%80%E6%9C%AF_%E5%AE%B9%E7%81%BE%E6%A0%87%E5%87%86/a1738e73173f58b2c6b1998ec7b03df7_MD5.png" alt=""></p> <h3 id="应用案例">应用案例</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.3_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E6%8A%80%E6%9C%AF_%E5%AE%B9%E7%81%BE%E6%A0%87%E5%87%86/406c5e8a43626c3a8770dfe11b5858e5_MD5.png" alt=""></p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.3_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E6%8A%80%E6%9C%AF_%E5%AE%B9%E7%81%BE%E6%A0%87%E5%87%86/8d7a38b71156fa45225a7fbd619bb59c_MD5.png" alt=""></p> <p>【其实是阿里云分包给合作商处理。</p> <p>类似的 华为的服务商叫集成服务伙伴ASP（Application Service Provider）】</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.3_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E6%8A%80%E6%9C%AF_%E5%AE%B9%E7%81%BE%E6%A0%87%E5%87%86/d5449ccfab7769a199f30c3177e73ed5_MD5.png" alt=""></p> <p>如何在网络设备上封堵445端口</p> <p>该案例中，华为使用策略路由方式，思科和锐捷使用了普通的ACL</p> <p>eq 445 就是对445执行</p> <p>permit ip就是允许所有ip</p> <p>acl、流分类、流行为、流分类、接口层应用</p> <p>书中案例，华为的流行为漏掉了deny行为</p> <p>思科缺少了在端口处应用。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A717.3_%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E6%8A%80%E6%9C%AF_%E5%AE%B9%E7%81%BE%E6%A0%87%E5%87%86/069de9f7ed74cb00431c23606e9c9a3b_MD5.png" alt=""></p>