搜索

[12736] 2018-05-23_事件应急响应管理的5条建议

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-05-23_事件应急响应管理的5条建议 事 件 应 急 响 应 管 理 的 5 条 建 议 米 雪 儿   F r e e B u f   2 0 1 8 - 0 5 - 2 3 什 么 是 应 急 响 应 ？ 什 么 是 应 急 响 应 ？ 通 常 来 说 ， 应 急 响 应 泛 指 安 全 技 术 人 员 在 遇 到 突 发 事 件 后 所 采 取 的 措 施 和 行 为 。 而 突 发 事 件 则 是 指 影 响 一 个 系 通 常 来 说 ， 应 急 响 应 泛 指 安 全 技 术 人 员 在 遇 到 突 发 事 件 后 所 采 取 的 措 施 和 行 为 。 而 突 发 事 件 则 是 指 影 响 一 个 系 统 正 常 工 作 的 情 况 。 这 里 的 系 统 包 括 主 机 范 畴 内 的 问 题 ， 也 包 括 网 络 范 畴 内 的 问 题 ， 例 如 黑 客 入 侵 、 信 息 窃 统 正 常 工 作 的 情 况 。 这 里 的 系 统 包 括 主 机 范 畴 内 的 问 题 ， 也 包 括 网 络 范 畴 内 的 问 题 ， 例 如 黑 客 入 侵 、 信 息 窃 取 、 拒 绝 服 务 攻 击 、 网 络 流 量 异 常 等 。 取 、 拒 绝 服 务 攻 击 、 网 络 流 量 异 常 等 。 应 急 处 理 的 两 个 根 本 性 目 标 ： 确 保 恢 复 、 追 究 责 任 。 确 保 恢 复 、 追 究 责 任 。 除 非 是 “ 事 后 ” 处 理 的 事 件 ， 否 则 应 急 处 理 人 员 首 先 要 解 决 的 问 题 是 如 何 确 保 受 影 响 的 系 统 恢 复 正 常 的 功 能 。 在 确 保 恢 复 的 工 作 中 ， 应 急 处 理 人 员 需 要 保 存 各 种 必 要 的 证 据 ， 以 供 将 来 其 他 工 作 使 用 。 追 究 责 任 涉 及 到 法 律 问 题 ， 一 般 用 户 单 位 或 第 三 方 支 援 的 应 急 处 理 人 员 主 要 起 到 配 合 分 析 的 作 用 ， 因 为 展 开 这 样 的 调 查 通 常 需 要 得 到 司 法 许 可 。 多 数 企 业 都 建 立 了 应 急 响 应 的 独 立 团 队 ， 通 常 称 为 计 算 机 安 全 应 急 响 应 小 组 （ C o m p u t e r   S e c u r i t y   I n c i d e n t   R e s p o n s e T e a m ， C S I R T ） ， 以 响 应 计 算 机 安 全 事 件 。 应 急 响 应 涉 及 多 门 学 科 ， 要 求 多 种 能 力 ： 通 常 要 求 从 公 司 的 不 同 部 分 获 取 资 源 。 人 力 资 源 部 人 员 、 法 律 顾 问 、 技 术 专 家 、 安 全 专 家 、 公 共 安 全 官 员 、 商 业 管 理 人 员 、 最 终 用 户 、 技 术 支 持 人 员 和 其 他 涉 及 计 算 机 安 全 应 急 响 应 的 人 员 。 当 然 这 些 人 员 大 部 分 是 兼 职 的 ， 需 要 在 应 急 响 应 工 作 中 进 行 配 合 。 事 件 响 应 管 理 事 件 响 应 管 理 5 大 建 议 大 建 议 下 面 就 为 大 家 分 享 一 些 可 能 行 之 有 效 的 事 件 响 应 实 践 建 议 ： 1 .   事 件 响 应 事 件 响 应 R e t a i n e r s （ （ I n c i d e n t   R e s p o n s e   R e t a i n e r s ， 简 称 ， 简 称 I R R ） ） 我 们 首 先 推 荐 I n c i d e n t   R e s p o n s e   R e t a i n e r s 并 不 奇 怪 ， 因 为 它 是 我 们 投 资 组 合 的 基 石 。 但 是 并 不 要 认 为 我 们 如 此 推 荐 是 存 在 私 心 的 ， 毕 竟 ， 我 想 要 能 在 第 一 时 间 进 行 响 应 是 需 要 R e t a i n e r s 工 具 加 持 的 。 在 如 今 这 个 时 代 ， 任 何 公 司 都 应 该 部 署 自 己 的 I R R 产 品 ， 当 然 ， 这 并 不 包 含 一 些 免 费 的 I R R 服 务 。 你 要 记 住 ， 付 出 才 有 回 报 ， 免 费 的 东 西 自 然 有 它 的 作 用 ， 但 是 千 万 不 要 奢 求 太 多 。 此 外 ， 在 紧 急 情 况 下 拥 有 可 以 与 之 合 作 的 独 立 公 司 也 是 非 常 重 要 的 。 以 思 科 公 司 为 例 ， 我 们 不 仅 能 够 在 紧 急 情 况 中 引 入 我 们 的 事 件 响 应 （ I R ） 团 队 ， 还 能 够 引 入 我 们 的 T a l o s 威 胁 情 报 组 织 、 危 机 沟 通 专 家 、 产 品 团 队 以 及 项 目 经 理 等 等 。 这 些 团 队 对 于 危 机 处 理 具 有 非 常 重 要 的 意 义 。 此 外 ， 提 供 r e t a i n e r 服 务 的 公 司 不 应 该 是 被 动 的 ， 他 们 应 该 全 年 与 你 一 起 工 作 ， 通 过 桌 面 练 习 来 增 强 防 御 能 力 ， 强 化 安 全 计 划 ， 甚 至 是 主 动 和 独 立 捕 获 对 手 的 能 力 。 当 你 拥 有 这 样 的 合 作 伙
伴 ， 你 才 有 机 会 更 为 平 稳 地 度 过 危 机 。 2 .   先 进 的 端 点 保 护 先 进 的 端 点 保 护 在 这 所 有 5 项 建 议 中 ， 有 2 项 涉 及 技 术 层 面 的 建 议 ， 这 就 是 其 中 一 项 。 在 管 理 活 跃 事 件 （ a c t i v e   i n c i d e n t ） 时 ， 作 为 响 应 者 所 需 的 一 项 关 键 能 力 就 是 ， 能 够 在 更 大 规 模 的 环 境 中 洞 察 并 有 效 地 响 应 事 件 。 想 要 实 现 这 一 点 ， 就 需 要 一 款 高 级 端 点 保 护 工 具 的 支 持 了 。 以 思 科 高 级 恶 意 软 件 防 护 （ A M P ） 工 具 为 例 ， 借 助 A M P 内 置 的 可 见 性 和 触 手 可 及 的 响 应 能 力 ， 我 们 可 以 比 使 用 其 他 方 式 做 出 更 快 速 、 高 效 的 响 应 。 当 与 思 科 安 全 体 系 结 构 中 的 其 他 解 决 方 案 配 合 使 用 时 ， 思 科 A M P 还 能 够 提 供 一 种 非 常 强 大 且 有 凝 聚 力 的 方 式 ， 来 持 续 监 控 和 响 应 网 络 上 的 安 全 问 题 。 3 .   网 络 分 段 网 络 分 段 由 于 缺 乏 经 由 网 络 分 段 的 控 制 设 备 ， 许 多 网 络 和 组 织 都 已 经 被 攻 击 “ 下 线 ” 。 作 为 思 科 I R 团 队 ， 我 们 其 中 一 项 职 责 就 是 在 客 户 端 遭 受 攻 击 后 ， 与 客 户 合 作 完 成 事 件 响 应 和 灾 难 恢 复 工 工 作 。 通 常 情 况 下 ， 这 些 攻 击 已 经 损 害 了 目 标 用 户 的 网 络 环 境 ， 并 通 过 勒 索 软 件 感 染 或 锁 定 了 数 百 万 计 算 机 设 备 。 是 的 没 错 ， 就 是 数 百 万 设 备 ！ 此 外 ， 在 我 们 处 理 的 7 5 % 以 上 的 勒 索 软 件 案 件 中 ， 受 害 者 客 户 的 备 份 服 务 器 也 被 加 密 锁 定 了 。 过 去 ， 分 段 要 么 被 视 为 合 规 问 题 ， 要 么 被 控 制 数 据 访 问 的 方 式 ， 但 是 对 我 而 言 ， 分 段 是 一 种 必 需 的 控 制 机 制 和 基 本 的 网 络 卫 生 措 施 。 4 .   安 全 监 控 安 全 监 控 这 一 点 的 重 要 性 可 谓 不 言 而 喻 ， 但 是 却 仍 未 获 得 应 有 的 重 视 。 事 实 证 明 ， 直 至 2 0 1 8 年 ， 太 多 的 组 织 似 乎 仍 在 依 赖 外 部 组 织 （ 如 F B I ） 或 安 全 新 闻 机 构 来 通 知 他 们 存 在 安 全 问 题 。 这 类 组 织 应 该 进 行 充 分 的 内 部 安 全 监 控 ， 以 便 有 能 力 自 行 发 现 并 处 理 自 身 系 统 中 存 在 的 安 全 问 题 。 我 始 终 认 为 ， 在 购 买 任 何 安 全 产 品 之 前 ， 供 应 商 必 须 提 供 所 需 的 资 源 估 算 ： 即 鉴 于 环 境 规 模 ， 成 功 地 运 行 、 配 置 、 维 护 以 及 监 控 产 品 所 需 的 具 体 资 源 （ 例 如 人 员 等 ） 。 此 外 ， 你 还 必 须 聘 请 并 培 训 相 关 员 工 ， 以 支 持 工 具 更 有 效 地 发 挥 作 用 。 通 常 情 况 下 ， 工 具 都 是 被 买 来 作 为 “ 辅 助 性 ” 事 物 使 用 的 ， 可 以 代 替 部 分 人 力 。 我 记 得 在 最 近 参 与 的 一 项 事 件 响 应 实 践 中 ， 事 件 响 应 团 队 登 录 了 安 全 控 制 台 查 看 可 用 数 据 ， 结 果 发 现 它 像 圣 诞 树 一 样 闪 闪 发 光 ， 原 来 该 工 具 正 在 显 示 威 胁 情 报 ， 如 果 有 人 一 直 在 监 视 它 的 话 ， 就 能 够 有 效 地 阻 止 大 规 模 的 威 胁 行 为 。 5 .   基 于 网 络 的 安 全 基 于 网 络 的 安 全 这 是 最 后 一 项 建 议 ， 同 时 也 是 第 二 项 技 术 推 荐 。 应 该 将 基 于 网 络 的 安 全 控 制 分 层 ， 以 防 止 来 自 w e b 和 基 于 电 子 邮 件 的 威 胁 攻 击 。 这 些 控 制 措 施 应 该 包 括 诸 如 垃 圾 邮 件 过 滤 服 务 或 设 备 、 在 可 能 的 情 况 下 阻 止 代 理 处 的 未 分 类 流 量 、 启 用 D N S 保 护 服 务 来 过 滤 内 容 、 阻 止 进 一 步 的 恶 意 软 件 、 防 止 僵 尸 网 络 ， 以 及 防 止 U R L 错 别 字 （ 如 C i s c o   U m b r e l l a ） 问 题 等 项 目 。 此 外 ， 实 施 这 些 控 制 措 施 还 需 要 考 虑 监 控 问 题 ， 以 检 测 和 限 制 请 求 域 名 与 攻 击 者 行 为 或 恶 意 软 件 相 关 的 设 备 。 除 了 上 述 5 项 建 议 之 外 ， 思 科 还 会 定 期 提 供 其 他 建 议 ， 例 如 双 因 素 （ t w o   f a c t o r ） 、 渗 透 测 试 以 及 关 注 治 理 、 风 险 和 合 规 （ G R C ） 等 。 就 风 险 和 合 规 问 题 而 言 ， 一 个 惊 人 的 事 实 是 ， 仍 然 有 很 多 组 织 尚 未 进 行 过 基 本 的 安 全 评 估 工 作 ， 而 且 也 不 具 备 合 理 完 善 的 安 全 计 划 。 更 糟 糕 的 是 ， 截 至 目 前 ， 安 全 性 仍 然 不 是 某 些 组 织 的 优 先 考 虑 事 项 。 在 如 今 这 个 新 时 代 ， 安 全 需 要 融 入 所 有 事 情 ， I T 人 员 也 应 该 向 着 保 护 公 司 、 客 户 和 用 户 共 同 利 益 的 目 标 努 力 。 希 望 本 文 对 你 是 有 用 的 ， 也 许 它 证 实 了 你 所 看 到 的 、 知 道 的 或 者 你 自 己 正 在 做 的 事 情 。 编 者 按 ： 本 文 作 者 S e a n   M a s o n 为 思 科 公 司 事 件 应 急 响 应 服 务 部 门 主 管 ， 负 责 组 织 该 公 司 内 部 事 件 响 应 实 践 3 年 多 时 间 ， 本 文 由 其 作 为 博 文 发 布 在 思 科 官 网 中 。 * 参 考 来 源 ： c i s c o ， 米 雪 儿 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理