攻击拦截台账归档制度

攻击拦截台账归档制度为规范企业网络攻击拦截台账的管理，确保攻击事件记录的完整性、真实性和可追溯性，提升网络安全事件响应效率，满足法律法规合规要求及企业自身安全审计需求，特制定本制度。本制度依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国档案法》《信息安全技术网络安全事件分类分级指南》（GB/Z20986-2021）及企业《网络安全管理办法》《数据安全管理规范》等相关规定，结合企业实际业务场景制定，适用于企业总部及所有分支机构的网络安全管理部门、IT部门、业务部门及相关人员，涵盖企业网络边界、服务器、终端、云平台等所有信息资产在运行过程中产生的攻击拦截台账的生成、审核、归档、保管、利用及销毁等全生命周期管理。台账管理遵循完整性、真实性、规范性、安全性和可追溯性原则，确保全面记录攻击事件关键要素，客观反映事件及拦截过程，符合企业档案管理标准，采取加密、访问控制等措施保障信息安全，并保留完整操作痕迹以实现全流程追溯。###一、台账内容与格式要求攻击拦截台账是记录网络攻击事件、拦截措施、处理结果及后续改进的原始依据，必须包含以下核心要素：####（一）事件基本信息1.事件编号：唯一标识符，格式为“年份（4位）-单位代码（2位）-攻击类型代码（2位）-序号（3位）”，如“2024-01-DD-001”（01代表总部，DD代表DDoS攻击）。编号需由安全管理平台自动生成，确保唯一性，禁止手动修改。2.发生时间：攻击事件发生的精确时间（年/月/日/时/分/秒），必须与日志服务器时间同步，时区统一采用“UTC+8（北京时间）”，需注明时区标识。3.发现时间：安全设备或人员发现攻击事件的时间，记录精确到秒，自动拦截事件以设备告警时间为准，手动拦截事件以操作人员发现时间为准。4.攻击来源：包括源IP地址（IPv4/IPv6，需完整记录，不得省略前导零）、域名（若可通过域名溯源，需记录完整域名及解析时间）、地理位置（基于IP库查询的国家/地区/城市，如“美国-加利福尼亚-旧金山”）、AS号（自治系统号，如“AS15169”）。5.攻击目标：目标IP地址、资产名称（需与企业资产管理系统中的名称一致，如“Web服务器-01”）、资产类型（如服务器、终端、网络设备、物联网设备）、所属业务系统（如“电商平台”“OA系统”）。####（二）攻击特征与类型1.攻击类型：依据《信息安全技术网络安全事件分类分级指南》分类，明确记录具体类型，包括但不限于：拒绝服务攻击（DDoS、DDoSamplification、Slowloris）、非法访问（暴力破解、越权访问、未授权访问）、恶意代码（病毒、木马、勒索软件、僵尸网络、间谍软件）、Web攻击（SQL注入、XSS跨站脚本、命令注入、文件上传漏洞利用、CSRF跨站请求伪造）、社会工程学攻击（钓鱼邮件、电话诈骗、短信诈骗）、内部威胁（越权操作、数据窃取、违规下载）。2.攻击工具/手法：记录使用的攻击工具名称（如“Mirai僵尸网络”“MetasploitFramework”“CobaltStrike”）、漏洞利用编号（如“CVE-2021-44228Log4j漏洞”“CVE-2022-22954SpringCloudFunction漏洞”）、攻击载荷特征（如恶意文件哈希值、恶意URL、恶意邮件主题及正文特征码）。3.攻击等级：按影响程度分为三级，由网络安全管理部门评估确定：高（可能导致系统瘫痪、核心数据泄露、业务中断24小时以上）、中（影响部分业务功能、性能下降30%以上、业务中断4-24小时）、低（轻微异常、日志告警未影响业务、业务中断4小时以内），需在台账中明确标注评估依据。####（三）拦截措施与处理过程1.拦截设备/系统：记录用于拦截的安全设备名称及型号（如“华为USG6600防火墙”“奇安信天清IPS”“阿里云DDoS高防”）、系统模块（如“DDoS清洗中心”“Web应用防火墙规则引擎”“终端检测与响应系统EDR模块”）。2.拦截策略：采取的具体措施，需详细描述操作内容，如“源IP192.168.1.100加入防火墙黑名单，封禁80、443端口”“启用WAFSQL注入规则，拦截请求POST/login.php?username=admin”“流量清洗中心将攻击流量牵引至清洗机房，清洗后回源流量降至正常水平10%以下”。3.操作人员：执行拦截操作的人员姓名（需与员工系统姓名一致）、工号、所属部门（如“网络安全部-应急响应组”）、操作时间（精确到秒，自动拦截设备以策略生效时间为准，手动拦截以点击确认时间为准）。4.处理结果：明确拦截效果，包括拦截是否成功（成功/部分成功/失败）、攻击是否被阻断（完全阻断/部分阻断/未阻断）、目标系统是否受影响（正常/轻微异常/严重异常）、业务是否恢复正常（立即恢复/30分钟内恢复/1小时内恢复/需人工干预），并记录业务恢复后的监控数据（如CPU使用率、网络流量恢复正常值）。####（四）后续分析与改进1.原因分析：从技术和管理两个维度分析攻击发生原因，技术原因包括系统漏洞未修复（如“ApacheStruts2漏洞未及时补丁”）、安全策略配置错误（如“防火墙规则允许任意IP访问管理端口”）、弱口令使用（如“服务器root口令为123456”）；管理原因包括安全意识不足（如“员工点击钓鱼邮件导致终端感染”）、巡检不到位（如“未定期检查防火墙规则有效性”）、应急流程缺失（如“未制定DDoS攻击应急预案”）。2.整改措施：针对原因制定具体、可落地的改进措施，如“2024年X月X日前完成所有ApacheStruts2系统漏洞修复”“更新防火墙规则，仅允许指定IP段访问管理端口”“组织全员安全意识培训，重点讲解钓鱼邮件识别方法”“修订《网络安全巡检制度》，增加防火墙规则每周检查要求”。3.责任部门/人员：明确整改责任部门（如“IT运维部”“业务部门”）及负责人（姓名+职务），整改完成时间（精确到日），并在台账中记录整改完成后的验证结果（如“漏洞修复报告显示漏洞已闭环”“培训签到表及考核成绩均达标”）。####（五）关联信息1.工单编号：若通过企业工单系统（如Jira、ServiceNow）处理，需关联工单编号，支持点击跳转至工单详情，确保事件与处理流程的完整追溯。2.日志证据：附安全设备日志、服务器日志、流量捕获文件（.pcap格式）的存储路径（如“\\fileserver\security_logs\2024\01\01\attack_001.log”）或文件哈希值（SHA-256），确保日志可验证、可溯源，电子台账需支持日志文件在线预览或下载。3.威胁情报来源：若引用外部威胁情报（如国家互联网应急中心CERT、商业威胁情报平台如奇安信威胁情报中心、FireEye），需注明情报来源（如“国家互联网应急中心《2024年第一季度DDoS攻击态势报告》”）、情报编号（如“CERT-2024-001”）及引用时间（精确到日）。####（六）台账格式规范1.电子台账：必须使用企业统一部署的“安全管理平台”或“档案管理系统”生成，采用结构化数据录入（数据库表单），字段包含本制度规定的所有核心要素，支持Excel、PDF格式导出（导出时需保留原始字段格式、字体为宋体小四号、行间距1.5倍，禁止手动删减或修改内容）。系统需设置必填项校验（如事件编号、发生时间、攻击来源），非空字段未填写时无法保存；关键字段（IP地址、攻击类型）需格式校验（IP地址需符合IPv4/IPv6规范，攻击类型需从下拉菜单选择）。2.纸质台账：仅适用于无电子系统支持的特殊场景（如偏远分支机构网络中断时），采用企业统一印制的《攻击拦截台账纸质模板》（A4纸横向打印），内容包括所有核心要素，字体为宋体小四号，行间距1.5倍，需由操作人员手写签字确认（签字需清晰可辨，不得代签），字迹工整、无涂改，如需修改需在修改处签字并注明修改时间。纸质台账每月汇总后，需扫描成PDF格式（分辨率不低于300DPI）同步至电子档案系统。###二、归档流程与管理职责####（一）归档流程1.台账生成与记录：安全设备自动拦截攻击时，安全管理平台需实时抓取设备日志并自动填充台账字段（如事件编号、发生时间、攻击来源、拦截设备），生成初步台账；手动拦截时，操作人员需在攻击事件发生后15分钟内登录安全管理平台，完整录入台账信息，确保信息及时性。台账生成后，系统自动发送待办任务至网络安全管理员（或值班人员）邮箱。2.初步审核：网络安全管理员需在收到待办任务后1个工作日内完成初步审核，重点核查事件时间与日志时间是否一致、攻击来源IP是否有效、拦截措施是否合理、关键字段是否完整。对存在疑问的台账（如攻击来源为内网IP但未说明原因），需联系操作人员补充说明，修正后重新提交审核；审核不通过的台账需退回操作人员，并注明退回原因（如“攻击类型未明确标注，请补充具体子类”）。3.分类与编号：审核通过的台账，由系统自动按“攻击类型+严重等级+年度”三级分类，分类代码如下：DDoS攻击（DD）、Web攻击（WEB）、恶意代码（MAL）、非法访问（UNAUTH）、社会工程学攻击（SOC）、内部威胁（INTERNAL）；严重等级代码：高（H）、中（M）、低（L）。分类后的台账由系统自动生成编号，格式为“分类代码-严重等级代码-年度-序号”，如“DD-H-2024-001”，编号不可重复。4.移交与归档：电子台账由安全管理平台在审核通过后自动同步至企业档案管理系统，同步时需记录同步时间、同步人员（系统自动记录）；纸质台账需在每月最后一个工作日由网络安全管理员整理成册，加装封面（标注“攻击拦截台账-分类-年度-数量”），填写《攻击拦截台账移交清单》（含台账编号、事件名称、分类、数量、移交日期、移交人、接收人），双方签字确认，档案管理部门留存移交清单备查。移交过程中如发生台账遗失，移交人需在24小时内书面报告网络安全管理部门和档案管理部门，启动应急预案。5.存储与备份：电子台账存储于企业档案管理系统的专用服务器，存储介质为SSD硬盘，采用RAID5阵列确保数据冗余；存储路径按“\\fileserver\archive\attack_logs\分类\年度\”格式组织。备份策略为每日22:00进行增量备份（保留30天），每周日22:00进行全量备份（保留12个月），备份数据采用AES-256算法加密，存储于异地灾备中心（距离主中心≥50公里）。访问控制采用“角色-权限”模型：网络安全管理员拥有读写权限（可修改、新增台账），审计人员拥有只读权限（可查询、导出），其他人员需提交《台账访问申请表》（经部门负责人、网络安全管理部门负责人审批）后方可获得临时访问权限（权限有效期最长7天）。纸质台账存入档案室专用铁皮柜，柜体需符合DA/T38-2008《纸质档案保护技术规范》要求，具备防火（耐火极限≥2h）、防潮（配置除湿机，湿度控制在45%-60%）、防虫（放置防虫药片）功能，每卷台账加装封面、封底，标注“攻击拦截台账-分类-年度-起止时间（如2024年1月1日-2024年1月31日）”，并在档案管理系统中登记纸质台账的存放位置（如“档案室-A柜-01层-02格”）。####（二）管理职责1.网络安全管理部门：负责台账的日常管理，包括台账生成、初步审核、分类编号、电子台账维护；制定台账管理实施细则（如《台账字段填写指南》），每年至少组织2次培训（覆盖所有相关岗位人员）；配合档案管理部门进行台账移交、保管与销毁；每季度向企业网络安全领导小组汇报台账管理情况（包括台账数量、分类统计、问题整改情况）。2.档案管理部门：负责台账的接收、登记、保管、提供利用及销毁；确保档案存储环境符合要求，每日检查电子台账备份状态（查看备份日志），每月检查纸质台账保管状况（查看有无受潮、虫蛀）；建立台账检索工具（支持按事件编号、攻击类型、发生时间、攻击来源等关键词检索，支持时间轴查询），为相关部门提供台账查询服务（查询需填写《台账查询申请表》，注明查询目的、范围、用途，经部门负责人审批）。3.业务部门：负责提供攻击目标所属业务系统的详细信息（如系统名称、负责人、业务重要性等级），配合网络安全管理部门进行事件原因分析（如“该系统为支付核心系统，攻击可能导致交易中断”）；负责落实整改措施（如“修复业务系统漏洞”“加强员工安全培训”），并在整改完成后3个工作日内将整改结果反馈至网络安全管理部门。4.审计部门：每季度对台账管理进行一次全面审计，审计内容包括台账完整性（是否所有攻击事件均记录）、真实性（台账内容与原始日志是否一致）、归档规范性（是否按时移交、分类编号是否正确）、存储安全性（电子台账备份有效性、访问控制是否合规）；出具《台账管理审计报告》，指出问题并提出整改建议，对整改情况进行跟踪验证。###三、保管期限与销毁机制####（一）保管期限台账保管期限根据攻击等级、法律法规要求及企业业务重要性确定，具体如下：1.高等级攻击台账（导致系统瘫痪、核心数据泄露、业务中断24小时以上）：保管期限为永久。依据《网络安全法》第二十五条“网络运营者应当采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月”及企业《数据安全管理办法》“重要安全事件记录需永久保存”的要求，此类台账作为重大事件证据，需长期保存以备法律追溯、事故复盘及责任认定。2.中等级攻击台账（影响部分业务功能、性能下降30%以上、业务中断4-24小时）：保管期限为5年。满足内部审计、事件追溯及管理分析需求，参考《档案法》中“重要业务档案保管期限”规定，到期后经评估无继续保存价值的可销毁。3.低等级攻击台账（轻微异常、日志告警未影响业务、业务中断4小时以内）：保管期限为3年。主要用于日常安全管理分析（如攻击趋势统计、漏洞排查），到期后由系统自动删除电子台账，纸质台账按规定流程销毁。####（二）销毁管理1.销毁申请：保管期限届满的台账，由档案管理部门于每年6月和12月各组织一次集中销毁。档案管理部门需编制《攻击拦截台账销毁清单》，内容包括台账编号、分类、数量、保管期限、销毁原因、销毁方式，经网络安全管理部门负责人（审核台账销毁必要性）、档案管理部门负责人（审核销毁流程合规性）、法务部门负责人（审核法律风险）联合签字审批后，方可实施销毁。如台账涉及未结法律诉讼或监管调查，需暂停销毁直至案件结束。2.销毁方式：电子台账采用专业数据擦除软件（如BlanccoDriveEraser、DBAN）进行三次覆写擦除（第一次覆写“00”，第二次覆写“FF”，第三次覆写“随机数据”），擦除后需生成《数据销毁证明》，记录擦除时间、存储介质序列号、擦除方式、操作人员（需2人以上签字）。纸质台账采用工业级碎纸机粉碎（颗粒尺寸≤2mm×2mm），由档案管理部门安排2名以上人员监销，监销人需全程在场，确保档案无法复原，监销完成后填写《纸质档案销毁记录》，记录销毁时间、数量、监销人签字。3.销毁记录：销毁完成后，档案管理部门将《销毁清单》《数据销毁证明》《纸质档案销毁记录》整理成册，保存期限不少于10年。同时，在档案管理系统中标注台账“已销毁”状态，确保系统记录与实际销毁情况一致。###四、监督与责任追究####（一）日常监督1.定期检查：档案管理部门每月5日前完成上月电子台账存储状态检查（包括服务器磁盘空间、备份日志完整性、访问日志异常记录），形成《电子台账月度检查报告》；网络安全管理部门每月10日前完成上月纸质台账保管环境检查（温湿度记录、柜体密封性、防虫药片有效期），形成《纸质台账月度检查报告》。检查结果需抄送审计部门及网络安全领导小组。审计部门每半年组织一次台账管理专项检查，抽查比例不低于台账总数的10%，重点检查高等级攻击台账的完整性和低等级攻击台账的销毁合规性，检查结果纳入部门年度绩效考核。2.随机抽查：审计部门可通过“安全管理平台”随机抽取台账，核查台账内容与原始日志（如防火墙日志、服务器日志）、工单记录的一致性，核查内容包括：事件发生时间与日志时间差是否在1分钟内、攻击来源IP与日志是否一致、