计算机及网络攻击应急响应与取证

1、Neusoft Institute of Information2007年8月16日IT Education & Training第第20章章 计算机及网络攻击应急响应与取计算机及网络攻击应急响应与取证证20.1 计算机及网络攻击应急响应计算机及网络攻击应急响应20.2 计算机及网络攻击取证计算机及网络攻击取证Neusoft Institute of Information2007年8月16日IT Education & Training20.1 计算机及网络攻击应急响应计算机及网络攻击应急响应 1. 为什么要建立应急响应为什么要建立应急响应尽管现在有许多安全防御措施，但是随着

2、攻尽管现在有许多安全防御措施，但是随着攻击方法的不断变化和进步，加上安全漏洞的击方法的不断变化和进步，加上安全漏洞的不断出现、安全管理疏漏等多方面因素，对不断出现、安全管理疏漏等多方面因素，对外那根梁系统构成的威胁逐步增加。外那根梁系统构成的威胁逐步增加。为了保障网络的运行及信息安全，必须建立为了保障网络的运行及信息安全，必须建立相应的应急组织，制定应急计划和应急措施，相应的应急组织，制定应急计划和应急措施，以便及时响应和处理网络中随时可能出现的以便及时响应和处理网络中随时可能出现的安全事件。安全事件。Neusoft Institute of Information2007年8月16日IT E

3、ducation & Training2. 建立应急组织建立应急组织 组织构成组织构成领导小组：领导和协调突发事件与自然灾害应急保领导小组：领导和协调突发事件与自然灾害应急保证工作。证工作。技术保证小组：解决安全事件的技术问题。技术保证小组：解决安全事件的技术问题。 主要工作为主要工作为安全事件响应安全事件响应安全事件与软件安全缺陷分析研究安全事件与软件安全缺陷分析研究安全知识库开发与管理，包括漏洞知识、入侵检测安全知识库开发与管理，包括漏洞知识、入侵检测发布安全信息发布安全信息教育与培训教育与培训Neusoft Institute of Information2007年8月16日IT

4、 Education & Training3. 应急预案应急预案 应急预案是指在突发紧急情况下，按事先设想的安全应急预案是指在突发紧急情况下，按事先设想的安全事件类型及意外情形，制定处理安全事件的步骤。事件类型及意外情形，制定处理安全事件的步骤。 内容包括内容包括 执行人员的信息执行人员的信息 详细列出紧急情况的类型和处理措施详细列出紧急情况的类型和处理措施 应急处理所要采取的步骤及顺序应急处理所要采取的步骤及顺序 安全事件类型安全事件类型 物理实体及环境类型安全事件物理实体及环境类型安全事件 网络通信网络通信 主机系统主机系统 应用系统应用系统Neusoft Institute of

5、 Information2007年8月16日IT Education & Training4. 应急事件处理流程应急事件处理流程 安全事件报警安全事件报警 安全事件确认安全事件确认 启动应急预案启动应急预案 安全事件处理安全事件处理 撰写安全事件报告撰写安全事件报告 应急工作总结应急工作总结Neusoft Institute of Information2007年8月16日IT Education & Training5. 应急响应技术及工具应急响应技术及工具访问控制访问控制攻击阻断攻击阻断防火墙防火墙安全评估安全评估掌握攻击途径及系统状态掌握攻击途径及系统状态漏洞扫描漏洞扫描

6、系统恢复系统恢复修复受害系统修复受害系统系统启动盘系统启动盘安全监测安全监测实时分析网络活动实时分析网络活动网络协议分析工具网络协议分析工具安全取证安全取证追求入侵者的法律责任追求入侵者的法律责任网络追踪及硬盘克隆网络追踪及硬盘克隆Neusoft Institute of Information2007年8月16日IT Education & Training20.2 计算机及网络攻击取证计算机及网络攻击取证 计算机及网络攻击取证是指通过特定的软件和计算机及网络攻击取证是指通过特定的软件和工具，从计算机及网络系统中提取攻击证据工具，从计算机及网络系统中提取攻击证据 发展方向发展方向大容

7、量的存储设备证据提取大容量的存储设备证据提取动态数据取证动态数据取证加密数据取证加密数据取证实施取证实施取证网络流量取证网络流量取证网络攻击取证网络攻击取证证据关联分析证据关联分析Neusoft Institute of Information2007年8月16日IT Education & Training计算机及网络攻击取证的分类及过程计算机及网络攻击取证的分类及过程 取证的目的取证的目的发生了什么发生了什么发生的地点发生的地点发生的时间发生的时间谁做的谁做的如何做的如何做的 实施取证实施取证 事后取证事后取证Neusoft Institute of Information2007

8、年8月16日IT Education & Training取证过程取证过程 取证现场保护取证现场保护 识别证据识别证据 传输证据传输证据 保存证据保存证据 分析证据分析证据 提交证据提交证据Neusoft Institute of Information2007年8月16日IT Education & Training证据信息类别及取证技术提取工具证据信息类别及取证技术提取工具 日志日志 文件文件 系统进程系统进程 用户用户 系统状态系统状态 网络通信连接记录网络通信连接记录 磁盘介质磁盘介质Neusoft Institute of Information2007年8月16日I

9、T Education & Training实时取证类工具实时取证类工具工具名称工具名称用途用途netstat查看网络监听程序及网络连接查看网络监听程序及网络连接arp察看地址解析缓存表察看地址解析缓存表who显示在线用户信息显示在线用户信息last显示登录用户信息显示登录用户信息ps察看察看*nix进程进程Neusoft Institute of Information2007年8月16日IT Education & Training 证据复制类，从受害计算机拷贝数据证据复制类，从受害计算机拷贝数据 证据安全保护类，用于保护受害机器的证据安全保护类，用于保护受害机器的证据的完

10、整性及保密性，防止证据收到证据的完整性及保密性，防止证据收到破坏或非法访问破坏或非法访问 证据分析类，用于分析受害机器的证据证据分析类，用于分析受害机器的证据Neusoft Institute of Information2007年8月16日IT Education & TrainingNeusoft Institute of Information2007年8月16日IT Education & TrainingNeusoft Institute of Information2007年8月16日IT Education & TrainingNeusoft Instit

11、ute of Information2007年8月16日IT Education & TrainingNeusoft Institute of Information2007年8月16日IT Education & TrainingNeusoft Institute of Information2007年8月16日IT Education & TrainingNeusoft Institute of Information2007年8月16日IT Education & TrainingNeusoft Institute of Information2007年8

12、月16日IT Education & TrainingNeusoft Institute of Information2007年8月16日IT Education & TrainingNeusoft Institute of Information2007年8月16日IT Education & TrainingNeusoft Institute of Information2007年8月16日IT Education & TrainingNeusoft Institute of Information2007年8月16日IT Education & TrainingNeusoft Institute of Information2007年8月16日IT Education & TrainingNeusoft Institute of Information2007年8月16日IT Education & TrainingNeusoft In