搜索

[15918] 2020-10-02_企业安全建设之应急响应

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2020-10-02_企业安全建设之应急响应 企 业 安 全 建 设 之 应 急 响 应 j a r y   F r e e B u f   2 0 2 0 - 1 0 - 0 2 前 言 前 言 随 着 网 络 环 境 变 得 更 加 复 杂 ， 界 限 变 得 模 糊 ， 安 全 事 件 频 发 ， 有 的 企 业 在 安 全 建 设 初 期 或 者 没 有 合 适 的 应 急 响 应 体 系 及 流 程 ， 很 多 企 业 安 全 人 员 都 变 成 了 “ 救 火 队 长 ” ， 陷 入 了 出 现 问 题 ， 急 忙 解 决 事 件 的 点 对 点 恶 性 循 环 中 ， 有 时 候 甚 至 还 要 被 领 导 误 解 ， 着 实 让 人 精 疲 力 尽 ， 心 力 交 瘁 ， 有 苦 说 不 出 ， 头 痛 不 已 ， 那 么 ， 面 对 这 样 的 情 况 ， 如 何 建 立 应 急 响 应 体 系 与 流 程 呢 ？ 一 、 目 标 一 、 目 标 规 范 应 急 响 应 的 流 程 ， 提 升 应 急 响 应 能 力 ， 减 少 “ 救 火 队 长 ” 的 情 况 出 现 二 、 威 胁 情 报 二 、 威 胁 情 报 说 到 应 急 响 应 ， 势 必 都 会 想 到 威 胁 情 报 ， 也 可 以 说 是 情 报 驱 动 应 急 响 应 。 那 什 么 是 威 胁 情 报 呢 ？ 旨 在 为 面 临 威 胁 的 资 产 主 体 提 供 全 面 的 、 准 确 的 、 与 其 相 关 的 、 并 且 能 够 执 行 和 决 策 的 知 识 和 信 息 。 那 怎 么 样 开 展 威 胁 情 报 工 作 呢 ？ 可 以 从 O O D A 模 型 、 情 报 获 取 、 情 报 分 析 、 情 报 决 策 、 情 报 处 置 这 五 个 方 面 说 起 。 2 . 1   O O D A 模 型 模 型 在 实 际 的 我 们 采 用 的 是 O O D A 循 环 （ 又 叫 博 伊 德 环 ） 模 型 ， 它 是 由 O b s e r v a t i o n 观 察 、 O r i e n t a t i o n 判 断 、 D e c i s i o n 决 策 、 A c t i o n 执 行 四 个 步 骤 ， 将 行 动 前 的 动 作 ， 进 行 了 一 步 步 分 解 。 这 些 步 骤 ， 可 以 让 我 们 的 行 动 ， 有 据 可 依 ， 通 过 这 个 循 环 ， 则 可 以 让 我 们 的 行 动 更 加 系 统 化 、 理 性 化 。 2 . 2   情 报 获 取 情 报 获 取 我 们 在 做 威 胁 情 报 收 集 之 时 ， 获 取 的 途 径 一 般 都 是 互 联 网 上 预 警 的 漏 洞 ， 主 要 包 括 T w i t t e r ， B M   X - F o r c e E x c h a n g e ， C N V D , 以 及 3 6 0 c e r t 等 各 种 厂 商 公 众 号 ， 情 报 共 享 群 等 ， 当 然 肯 定 还 需 要 注 意 监 管 机 构 预 警 的 漏 洞 情 报 。
注 意 ， 一 般 甲 方 企 业 都 会 与 很 多 厂 商 有 项 目 合 作 ， 在 情 报 收 集 这 一 块 ， 可 以 跟 各 家 安 全 厂 商 沟 通 ， 希 望 能 免 费 帮 忙 提 供 威 胁 情 报 支 持 ， 当 然 在 资 金 充 足 的 情 况 下 ， 也 可 以 采 用 付 费 订 阅 的 方 式 每 周 或 每 天 发 送 至 工 作 邮 箱 。 2 . 3   情 报 分 析 情 报 分 析 收 集 完 成 情 报 之 后 ， 因 为 非 常 多 的 情 报 ， 我 们 需 要 进 行 初 步 的 筛 选 ， 可 以 根 据 漏 洞 利 用 的 难 易 程 度 ， 受 影 响 范 围 ， 还 有 网 上 是 否 已 经 有 P O C 来 进 行 区 分 ， 也 就 是 优 先 级 ， 一 般 我 们 都 会 选 择 远 程 代 码 执 行 ， 任 意 代 码 执 行 ， e x p ， p o c 的 漏 洞 优 先 进 行 分 析 ， 这 样 可 以 尽 量 快 速 的 处 理 ， 毕 竟 每 个 企 业 的 安 全 人 员 都 是 非 常 少 的 。 2 . 4   情 报 决 策 情 报 决 策 对 筛 选 的 漏 洞 进 行 分 析 后 ， 一 般 我 们 都 会 将 写 个 情 报 分 析 报 告 ， 其 中 会 包 括 情 报 来 源 ， 情 报 类 型 ， 可 利 用 情 况 ， 修 复 方 式 ， 受 影 响 的 资 产 （ 需 特 别 注 意 对 互 联 网 可 访 问 资 产 需 特 别 注 意 对 互 联 网 可 访 问 资 产 ） ， 是 否 已 有 p o c ， 等 ， 从 而 得 出 一 个 风 险 级 别 ， 发 送 给 领 导 决 策 ， 审 阅 ， 一 般 高 危 以 上 的 情 报 ， 且 单 位 也 有 受 影 响 的 资 产 ， 这 时 都 会 直 接 找 领 导 现 场 沟 通 ， 待 同 意 后 再 进 行 下 一 步 操 作 ， 切 记 ， 邮 件 一 定 要 领 导 审 阅 。 2 . 5   情 报 处 置 情 报 处 置 针 对 已 筛 选 出 的 情 报 ， 领 导 也 审 阅 完 成 ， 这 时 就 根 据 内 部 的 规 范 流 程 ， 准 备 好 应 急 处 置 的 方 案 ， 受 影 响 的 资 产 ， 反 馈 表 等 ， 提 交 流 程 给 开 发 团 队 ， 对 漏 洞 进 行 修 复 处 置 ， 这 时 我 们 也 需 要 跟 进 验 证 漏 洞 的 修 复 情 况 ， 直 至 修 复 完 成 。 这 一 步 的 反 馈 表 是 为 了 防 止 有 资 产 更 新 的 情 况 未 发 现 ， 需 开 发 反 馈 的 ， 如 已 有 实 时 同 步 的 资 产 管 理 平 台 ， 反 馈 表 也 可 忽 略 。 三 、 应 急 响 应 三 、 应 急 响 应 3 . 1   准 备 工 作 准 备 工 作 对 于 威 胁 情 报 驱 动 的 应 急 响 应 工 作 ， 可 以 使 用 前 面 的 应 急 处 置 方 案 ， 但 对 于 不 定 时 发 生 的 应 急 处 置 工 作 ， 可 以 从 几 个
方 面 做 准 备 工 作 ： 1 、 找 到 问 题 点 找 到 问 题 点 ， 并 在 短 时 间 内 判 断 此 次 事 件 是 否 与 安 全 有 关 。 在 发 现 故 障 后 快 速 定 位 问 题 点 考 验 的 是 运 维 团 队 和 安 全 团 队 的 综 合 协 调 能 力 。 2 、 快 速 恢 复 业 务 快 速 恢 复 业 务 。 这 个 阶 段 重 点 是 准 确 ， 应 急 预 案 的 选 择 和 执 行 是 否 有 效 是 关 键 。 3 、 进 行 全 面 排 查 进 行 全 面 排 查 ， 消 除 隐 患 。 入 侵 者 一 般 都 会 给 自 己 留 条 后 路 ， 一 个 入 侵 点 被 封 堵 后 不 至 于 毫 无 办 法 。 需 要 应 急 团 队 能 够 找 出 共 性 的 特 征 （ 如 ： 后 门 文 件 、 反 连 域 名 等 ） ， 然 后 进 行 细 致 筛 查 ， 没 有 应 急 团 队 的 可 以 要 求 厂 商 协 助 处 置 。 3 . 2   应 急 类 型 应 急 类 型 应 急 响 应 的 类 型 一 般 包 括 病 毒 感 染 、 系 统 漏 洞 、 应 用 漏 洞 、 入 侵 攻 击 、 组 件 漏 洞 、 中 间 件 漏 洞 、 信 息 泄 露 、 仿 冒 欺 诈 等 ， 可 以 根 据 不 同 类 型 先 准 备 对 应 的 应 急 响 应 方 案 模 板 ， 也 可 以 在 工 单 系 统 中 将 这 些 选 项 添 加 ， 以 便 及 时 处 置 。 3 . 3   应 急 级 别 应 急 级 别 我 们 应 急 的 级 别 分 为 严 重 、 高 危 、 中 危 、 低 危 ， 针 对 严 重 与 高 危 ， 都 会 事 先 与 领 导 现 场 沟 通 的 ， 会 申 请 走 签 报 或 者 E O A 阅 件 处 理 单 ， 需 要 各 部 门 领 导 支 持 处 置 ， 对 于 中 危 及 以 下 ， 可 以 根 据 情 况 自 行 处 置 ， 以 下 图 仅 供 参 考 。
3 . 4   应 急 处 置 流 程 应 急 处 置 流 程 在 进 行 应 急 处 置 流 程 时 ， 其 实 非 常 重 要 的 是 下 图 中 的 流 程 ， 不 过 ， 建 议 先 指 定 是 急 响 应 的 制 度 ， 这 样 在 进 行 详 细 的 应 急 处 置 之 时 ， 才 有 制 度 可 依 ， 会 有 很 大 的 助 力 ， 不 然 只 依 靠 口 头 的 ， 会 有 很 多 不 知 名 的 因 素 ， 阻 碍 我 们 去 处 置 。 应 急 响 应 的 操 作 步 骤 ， 主 要 为 识 别 、 遏 制 、 消 除 、 恢 复 、 反 思 五 个 。
四 、 跟 进 与 处 理 四 、 跟 进 与 处 理 将 情 报 告 知 给 开 发 部 门 后 ， 很 多 小 伙 伴 可 能 会 觉 得 ， 此 项 事 情 已 经 完 成 了 ， 以 为 是 开 发 部 门 的 事 情 ， 然 后 就 撒 手 不 管 了 ， 其 实 这 样 是 为 自 己 挖 了 坑 ， 因 为 开 发 的 同 事 不 一 定 有 安 全 的 知 识 ， 所 以 需 要 协 助 ， 处 理 好 漏 洞 ， 直 至 验 证 修 复 ， 在 这 里 我 们 是 内 部 建 设 的 工 单 系 统 ， 是 将 应 急 响 应 这 种 情 况 包 含 在 内 的 ， 在 上 面 创 建 一 个 应 急 响 应 的 任 务 之 时 ， 会 要 求 上 传 应 急 处 置 的 方 案 ， 关 联 受 影 响 的 人 员 ， 这 一 部 分 跟 漏 洞 管 理 类 似 ， 有 兴 趣 的 可 以 参 考 《 企 业 安 全 建 设 之 漏 洞 管 理 与 运 营 》 中 的 内 容 。 五 、 总 结 与 改 进 五 、 总 结 与 改 进 一 般 来 说 ， 我 们 每 周 都 会 对 这 些 应 急 事 项 做 个 统 计 ， 分 析 ， 复 盘 ， 发 现 其 中 的 不 足 之 处 ， 例 如 是 情 报 来 源 不 准 确 ？ 情 报 分 析 不 彻 底 ？ 未 按 制 度 跟 提 交 流 程 ？ 哪 些 问 题 目 前 为 止 还 未 修 复 ， 有 无 缓 解 措 施 等 ？ 其 实 ， 不 断 的 复 盘 与 改 进 ， 才 能 在 这 方 面 做 得 更 好 ， 这 也 是 我 们 团 队 一 直 重 复 做 的 事 情 ， 目 前 来 说 效 果 还 是 很 不 错 的 。 有 关 于 应 急 响 应 详 细 操 作 内 容 ， 感 兴 趣 的 小 伙 伴 可 以 私 聊 我 获 取 。 精 彩 推 荐 精 彩 推 荐

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理