应急响应与处置课件.ppt

本节内容,应对信息安全突发事件,第八章应急响应处置管理,1、应急响应概述,应急响应（EmergencyResponse）通常是指人们为了应对各种紧急事件的发生所做的准备以及在事件发生后所采取的措施。,第八章应急响应处置管理,1、应急响应概述,应急响应的对象,紧急事件,破坏机密性的安全事件破坏完整性的安全事件破坏可用性的安全事件,第八章应急响应处置管理,1、应急响应概述,第八章应急响应处置管理,1、应急响应概述,安全事件是破坏或企图破坏信息或信息系统CIA属性的行为事件。,安全紧急事件侧重指发生很突然且会造成巨大损失的安全事件。需采取及时的适当的补救措施，否则损失会进一步加重。,第八章应急响应处置管理,1、应急响应概述,事先做什么准备？,事后采取什么措施？,第八章应急响应处置管理,1、应急响应概述,提供指导框架,进一步完善,相辅相成，相互补充形成正反馈机制,第八章应急响应处置管理,1、应急响应概述,RiskAnalysis,Prevention,Detection,Response,安全生命周期P-RPDR安全模型,以安全策略（SecurityPolicy）为中心,第八章应急响应处置管理,1、应急响应概述,应急响应的必要性,理论上我们无法保证系统绝对安全；,尽管人们对信息安全的关注与投资与日俱增，但是安全事件的数量和影响并没有因此而减少。,计算机取证是应急响应的重要环节之一，帮助遭受信息系统攻击的组织追查肇事者。,2、应急响应组织,第八章应急响应处置管理,1988年11月，国际上第一个应急响应组织：,计算机应急响应协调中心CERT/CC（ComputerEmergencyResponseTeam/CoordinationCenter）；,美国联邦FedCIRC、澳大利亚的AusCERT、德国的DFN-CERT、日本的JPCERT/CC，以及亚太地区的APCERTF（AsiaPacificComputerEmergencyResPonseTaskForce）和欧洲的EuroCERT。,2、应急响应组织,第八章应急响应处置管理,1990年应急响应与安全组织论坛FIRST（ForumofIncidentResponseandSecurityTeams）成立；,FIRST发起时有11个成员，至今已经发展成一个由170多个成员组成的国际性组织。,2、应急响应组织,第八章应急响应处置管理,1999年在清华大学成立了中国教育和科研计算机网应急响应小组CCERT（ChinaComputerEmergencyResponseTeam）；,2000年10月国家计算机网络应急处理协调中心CNCERT/CC成立；,2002年8月CNCERT/CC成为国际权威组织FIRST的正式成员，并参与组织成立了亚太地区的专业组织APCERT。,2、应急响应组织,第八章应急响应处置管理,应急响应组织模式,2、应急响应组织,第八章应急响应处置管理,国内或国际间的应急响应协调组织,企业或政府组织的应急响应组织,计算机软件厂商提供的应急响应组织,商业化的应急响应组织,应急响应组织分类,2、应急响应组织,第八章应急响应处置管理,美国计算机应急响应协调中心（CERT/CC）,典型应急响应组织,2、应急响应组织,第八章应急响应处置管理,中国教育和科研计算机网应急响应组（CCERT）,CCERT首要的服务对象是中国教育和科研计算机网络本身，确保CERNET网络的安全可靠运行。,CCERT其次的服务对象是CERNET内部的会员单位。,CCERT对其他用户提供力所能及的安全服务。,2、应急响应组织,第八章应急响应处置管理,中国教育和科研计算机网应急响应组（CCERT）,CCERT首要的服务对象是中国教育和科研计算机网络本身，确保CERNET网络的安全可靠运行。,CCERT其次的服务对象是CERNET内部的会员单位。,CCERT对其他用户提供力所能及的安全服务。,2、应急响应组织,第八章应急响应处置管理,国家计算机网络应急处理协调中心（CNCERT/CC）,2、应急响应组织,第八章应急响应处置管理,国家计算机网络应急处理协调中心（CNCERT/CC）,提供的业务功能为：,信息获取事件监测事件处理数据分析资源建设,安全研究安全培训技术咨询国际交流,3、应急响应体系,第八章应急响应处置管理,3.1应急响应应保证的各项指标,3、应急响应体系,第八章应急响应处置管理,3.2应急响应体系的建立,确定应急响应角色的责任,（1）用户,（2）安全管理员,（3）安全员/安全管理层,（4）安全审计员,（5）公共关系/信息发布部门,（6）代理/公司管理层,3、应急响应体系,第八章应急响应处置管理,3.2应急响应体系的建立,制定紧急事件提交策略,提交渠道的规定,提交的策略对象,提交方式,3、应急响应体系,第八章应急响应处置管理,3.2应急响应体系的建立,规定应急响应优先级,哪类损失和组织相关在每个类别中，按什么顺序修补损失,与组织内的环境紧密相连,损失类别？,3、应急响应体系,第八章应急响应处置管理,3.2应急响应体系的建立,损失类别：,与法律、规章或合同冲突对信息自决权的损害对人员身体的损害对组织职能的损害对外部关系的负面影响财务后果,3、应急响应体系,第八章应急响应处置管理,3.2应急响应体系的建立,安全应急的调查与评估,弄清楚信息系统结构和网络情况弄清楚信息系统的联系人和用户弄清楚信息系统上的应用定义信息系统的保护要求,3、应急响应体系,第八章应急响应处置管理,3.2应急响应体系的建立,选择应急响应相关补救措施,提供必要的专业知识,安全恢复的运作,事件归档,对攻击行为的反应,3、应急响应体系,第八章应急响应处置管理,3.2应急响应体系的建立,确定应急紧急通知机制,当发生安全事件时，必须通知所有受影响的外部和内部各方，为那些受到安全事件直接影响的部门和机构采取对策提供方便。通知机制对处理安全事件相关信息各方的协助预防或解决问题尤为重要。,必要时告知公众，但必须保证信息的正确性，否则会引发混乱、错误评估和形象损害。,3、应急响应体系,第八章应急响应处置管理,3.3应急响应处置流程,准备检测抑制根除,3、应急响应体系,第八章应急响应处置管理,3.3应急响应处置流程,恢复报告与总结,4、应急响应关键技术,第八章应急响应处置管理,4.1入侵检测技术,入侵检测系统（IntrusionDetectSystem，IDS）,它通过对信息系统中各种状态和行为的归纳分析，一方面检测来自外部的入侵行为，另一方面还能够监督内部用户的未授权活动。,4、应急响应关键技术,第八章应急响应处置管理,4.1入侵检测技术,误用检测（MisuseDetection）,误用检测也称为基于知识的入侵检测或基于签名的入侵检测。该技术首先建立各种已知攻击的特征模式库，然后将用户的当前行为依次与库中的各种攻击特征模式进行比较。,4、应急响应关键技术,第八章应急响应处置管理,4.1入侵检测技术,异常检测（AnomalyDetection）,异常检测也称基于行为的入侵检测。该技术通过为用户、进程或网络流量等处于正常状态时的行为特征建立参考模式，然后将系统当前行为特征与已建立的正常行为模式进行比较。,4、应急响应关键技术,第八章应急响应处置管理,4.1入侵检测技术,异常检测的优点是其能够检测出未知攻击，然而存在误检测率较高的不足；误用检测虽然检测准确率较高，但其只能对已知攻击行为进行检测。,4、应急响应关键技术,第八章应急响应处置管理,4.2系统备份与灾难恢复技术,系统备份是灾难恢复的基础，其目的是确保既定的关键业务数据、关键数据处理系统和关键业务在灾难发生后可以恢复。,系统备份,4、应急响应关键技术,第八章应急响应处置管理,4.2系统备份与灾难恢复技术,全备份,增量备份,差分备份,系统备份,4、应急响应关键技术,第八章应急响应处置管理,4.2系统备份与灾难恢复技术,灾难恢复,灾难恢复的基本技术要求:,备份软件,恢复的选择和实施,自启动恢复,安全防护,4、应急响应关键技术,第八章应急响应处置管理,4.2系统备份与灾难恢复技术,灾难恢复,灾难恢复等级,层次0本地数据的备份与恢复层次1批量存取访问方式层次2批量存取访问方式+热备份地点层次3电子链接层次4工作状态的备份地点层次5双重在线存储层次6零数据丢失,4、应急响应关键技术,第八章应急响应处置管理,4.2系统备份与灾难恢复技术,灾难恢复,灾难恢复计划,备份/恢复的范围灾难恢复计划的状态应用地点与备份地点之间的距离应用地点与备份地点之间如何相互连接数据如何在两个地点之间传送,4、应急响应关键技术,第八章应急响应处置管理,4.2系统备份与灾难恢复技术,灾难恢复,灾难恢复计划,允许有多少数据被丢失怎样保证备份地点的数据的更新备份地点可以开始备份工作的能力,4、应急响应关键技术,第八章应急响应处置管理,4.3其它相关技术,事件诊断技术,攻击源定位与隔离技术,计算机取证技术,偏重于事件发生后，弄清受害对象发生何事？如有问题，出在哪？影响范围多大？,网络攻击路径重构，方法和技术上目前尚处研究阶段；确定攻击源后，基于安全事件类型，采取隔离措施,涉及对计算机数据的保存、识别、记录以及解释网络环境下海量数据的采集、存储和分析极为复杂,应急响应（EmergencyResponse）通常是指人们为了应对各种紧急