《网络安全事件管理 第4部分：协同》

1下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本（包GB/T20985.2网络安全技术网络安全事件管理第2部分：事件响应规划和准备指南（GB/TGB/T29246信息安全技术信息安全管理体系概述和词汇（GB/T29246—2023，ISO/IECISO/IEC27035-1信息技术信息安全事件管理第1部分：原理和过程（Information注2：计算机应急响应小组（CERT）和计算机安全事件响应小组（CSIRT）是组织和部门、区域和国家实体中希望2网服务提供商（ISP）的事件响应团队合作。网络安全协同事件管理示例见附录A。GB/T20985.1、当多个组织都使用事件管理过程时，更有可能在多个组织之间实现良好的协调（见GB/T34协同小组聚焦信息交换，信息共享和响应协同等活动。协同小组可能不会直接执行事件响应活协同小组是事件管理协同的中心，多个协同小组可以以对等模式或分层模式进行组织。可以认5.3.1及时性原则在进行事件管理协同前，宜就各活动的时间要求达成一致，并在事件管理协同过程中遵守约定的时5.3.2角色和职责原则强凝聚力并减少困惑。此外，若牵头协调者的角色发生变化（例如，取决于特定事件的内容和背5.3.3共识性原则组织宜使用共同的语言和相同的术语。此外，采用通用分类法对信息进行分类和标准化数据交换格5.3.4保密性原则 5 6 分析捕获的内部事件威胁和社群共享的外部威胁情报，以识别可疑事件。应当在威胁信息的收7 确认由哪个组织牵头负责协同响应活动如果有协同小组存在，推荐由协同小组牵头）。同8 9），），时提供信息以确保透明度。协同小组（如果有的话）可以成为维持社群运营以及确保政策实施的中7.3.1概述7.3.2信息类型7.3.3建立信息共享关系 一方面，混合模式可以通过定义清晰的界面并选择感兴趣的信息来利用现有共享社群的知 ），）， 7.3.4参与信息共享关系JSON事件对象描述和交换格式（IODEF、RFC5070以及可能的RFC6545VERIS框架，参与信息共享的组织需配备专职通信人员，因为通过各种通信渠道接收的内容可能需要人工处发布并响应安全警报：信息共享社群可能会发布安全警报，向成员通报新出现的漏洞（参见——优先级排序：根据相对重要性、数据源可信度、数据总体置信度、特定处理顺序的操作要确定其安全状况以及处理要求。敏感信息可能需要加密存储、实施更严格的访问控制或限制传播范——在调查事件或潜在事件时匹配相关记录，深入掌握威胁信息，帮助加速应急响应与恢复行梳理与存储网络威胁信息：根据指标的使用方式，组织式工具灵活性较高，适合用于开发工作笔记和指标元数据。结构化数据库则有利于指标的存储、梳——确定宜共享的信息范围。生成和发布的指标宜包含元数据，元数据需提供各指标的背景信换更高效。非结构化格式（例如文本文档，电子邮件）适用于高级威胁报告、临时性的指标信息交），遭受到相同的僵尸网络攻击，