机关单位网络安全应急演练方案及脚本

机关单位网络安全应急演练方案及脚本一、演练目的与依据网络安全事件处置的实战能力不是写出来的，是练出来的——本次演练的核心目标是检验《机关单位网络安全事件应急预案》在真实场景下的可操作性，暴露预案与实际能力之间的差距，并将差距转化为整改清单。依据文件：•《中华人民共和国网络安全法》•《中华人民共和国数据安全法》•《国家网络安全事件应急预案》（中央网信办发布）•本单位《网络安全事件应急预案》（内部最新有效版本，演练前由信息科核对版本号并留存）演练要回答的四个问题：1.值班人员能否在事件发生后15分钟内完成初步研判并上报？2.应急指挥部能否在30分钟内集结并做出断网、隔离等关键决策？3.备份恢复流程能否支撑关键业务系统在4小时内恢复？4.各科室之间的信息通报链条是否存在断点？二、组织机构与职责分工应急演练最大的失败原因不是技术不行，而是职责不清——真实事件中“都想管”和“都没管”同样致命，因此演练前必须将每个动作落到具体岗位。角色承担人员演练职责验收动作总指挥分管副主任批准启动/终止应急响应，做出断网决策在演练记录表上签字确认决策时间副总指挥办公室主任协调各科室、对外信息通报演练中至少完成1次对上级的模拟上报技术处置组信息科全体事件研判、隔离、取证、恢复提交事件处置记录（含时间戳、操作截图）业务保障组各业务科室指定联络人评估业务影响、启用手工替代流程填写《业务影响评估表》观察评估组由纪检/督查人员+外聘安全顾问（可不含）组成不参与处置，全程记录偏差演练结束后3个工作日内提交评估报告纪律要求：处置组所有操作必须通过演练专用的堡垒机账号执行，全程录屏；严禁在演练中操作生产环境以外的真实互联网目标（可能触犯《中华人民共和国网络安全法》第二十七条，构成非法侵入）——所有模拟攻击行为只在演练隔离网段内由脚本工具生成。三、演练场景设计单场景演练只能验证单点能力，本次设置三个递进场景，覆盖“发现—研判—处置—恢复—通报”全链条，由易到难分三幕连续进行。3.1场景一：勒索病毒感染终端（桌面演练+实操，预计60分钟）•背景注入：演练开始时，技术处置组向办公网隔离演练区内3台终端投放模拟加密文件（.encrypted后缀测试文件，非真实加密），并模拟弹出勒索提示。•考察点：终端使用人员是否知道“拔网线之前先拍照留证”还是直接重启（重启会清除内存取证线索）；信息科能否在20分钟内定位感染源终端并列出其24小时内访问过的共享目录。•演化路径：钓鱼邮件附件→终端中招→通过SMB共享横向扩散→文件服务器被加密→全科室业务中断。阻断点设在“终端发现异常立即断网+共享账号权限最小化”两个环节。3.2场景二：门户网站被篡改（桌面推演，预计45分钟）•背景注入：观察组口头通报“门户网站首页出现异常内容”，不提供截图，考察值班员是否按预案要求30分钟内完成截图取证、下线网站、上报网信部门三项动作。•考察点：网站是否具备一键下线手段（无此手段的单位应在整改清单中补齐）；对外口径是否由副总指挥统一发布而非业务科室自行回应。3.3场景三：核心业务系统数据库故障（实操，预计120分钟）•背景注入：在演练环境中删除演练数据库的表空间，模拟存储故障。•考察点：能否按既定RPO/RTO恢复——目标RTO4小时、RPO24小时（按本单位数据备份策略推算，具体数值以演练前技术组确认的备份计划为准）；恢复后是否进行数据完整性抽验（抽查不少于10条关键业务记录与纸质台账比对）。四、演练时间安排与流程演练必须压缩在一个完整工作日内完成，避免跨天导致状态丢失和人员疲劳；总时长控制在4.5小时以内。时间阶段内容责任人09:00-09:20演练准备宣布规则、核对人员到位、确认演练网段隔离总指挥09:20-10:20场景一勒索病毒处置技术处置组10:20-10:30休整——10:30-11:15场景二网页篡改桌面推演全体11:15-13:15场景三数据库故障恢复实操（含午间轮班，每人连续处置不超过90分钟）技术处置组13:30-14:30复盘讲评各场景偏差逐条过，形成整改清单观察评估组五、应急响应脚本（分幕详细台词与动作）脚本是演练的“发令枪”，每一条指令必须写明由谁、在什么触发条件下、说出或做出什么，观察评估组据此逐条打勾——没有脚本的演练会退化为自由讨论。5.1第一幕：勒索病毒场景脚本•T+0分钟（观察员确认注入完成）：观察员向1号终端使用人员（张某某，岗位脱敏）口头通报：“你的电脑弹出加密提示，文件打不开了。”•预期动作A（T+3分钟内）：使用人员不重启、不拔电源，应当先拍照记录弹窗内容，随后断开网线（物理断网优先于软件断网，防止恶意程序在断网指令执行期间继续扩散），并电话报告信息科值班电话。•预期动作B（T+15分钟内）：信息科值班员完成初步研判，按预案事件分级标准（本场景初判为较大事件，III级）上报副总指挥。•预期动作C（T+30分钟内）：总指挥批准启动III级响应，技术处置组执行：1.在交换机上隔离3台感染终端所在VLAN端口（保留终端电源以维持内存证据，严禁直接断电——断电将导致内存中加密密钥、通信进程等易失性证据丢失）；2.查询共享目录访问日志，输出横向扩散嫌疑终端清单；3.启用备份验证：确认前一日增量备份可读。•台词示例（总指挥）：“批准启动三级响应，技术处置组按预案5.2条执行隔离，业务保障组10分钟内报告受影响业务范围。”5.2第二幕：网页篡改场景脚本•T+0：观察员向值班员通报异常，不给任何技术线索。•预期动作A（T+10分钟内）：值班员截图取证（含时间戳、URL、页面源码），保存至取证目录并计算哈希值。•预期动作B（T+30分钟内）：网站下线或切换维护页；口头模拟上报主管网信部门。•预期动作C（T+45分钟内）：技术组在演练环境模拟排查Webshell、核对Web目录文件修改时间、检查发布账号异常登录，输出初步分析结论。5.3第三幕：数据库故障恢复脚本•T+0：技术组执行预置的故障注入脚本。•预期动作A（T+20分钟内）：业务保障组确认业务中断范围，启用手工受理流程（纸质单据+事后补录）。•预期动作B（T+4小时内）：按“先恢复最近全量备份、再重放增量”的顺序完成恢复；恢复过程中每30分钟向指挥部报告一次进度。•预期动作C（恢复完成后）：数据完整性抽验不少于10条记录；抽验通过后由总指挥宣布演练终止；若RTO超时，不终止演练，转入异常处置流程（见第六章）。六、异常情况处置与中断机制演练本身也可能出事故，事先约定“演练熔断”规则比事后解释更重要——以下任一情形触发时，演练立即中断转入真实处置。分级熔断标准：级别判定标准启动权限处置原则暂停参演人员误操作触及演练区外系统（如误连生产网）任何参演人员可喊停全体停止操作10分钟，技术组核查影响范围后决定继续或终止中断演练行为对真实业务造成可见影响（业务系统变慢、告警）副总指挥立即回滚全部演练操作，当日不再恢复演练终止发生真实网络安全事件与演练混淆无法区分总指挥全员转入真实应急预案，演练记录封存作为事件处置参考混淆防范措施：演练操作一律使用账号名含DRILL后缀的专用账号；所有演练指令以书面工单下达并编号（如DRILL-2025-001格式，按实际年份编列），口头指令必须由接收人复述确认；真实事件的上报走值班电话，演练上报走对讲机专用频道。七、评估、整改与闭环演练的价值不在演练当天，而在其后30天的整改闭环——没有整改清单的演练只是集体表演。评估维度与评分（观察评估组执行，满分100分）：1.响应时效（30分）：各关键动作是否在脚本规定时限内完成，每超时1项扣5分；2.操作规范性（30分）：是否按预案步骤执行、取证是否完整，按偏差条数扣分；3.协同通报（20分）：信息是否在10分钟内到达应达岗位；4.决策质量（20分）：关键决策（断网、下线）是否有依据记录。PDCA闭环要求：•P（计划）：演练前10个工作日下发方案，各科室回执参演人员名单；•D（执行）：按脚本执行，全程录屏、录音、记录；•C（检查）：演练结束后3个工作日内提交评估报告，列出全部偏差项；•A（改进）：整改责任人在10个工作日内提交整改措施，信息科于30个工作日内组织复查，复查未通过的项目升级报总指挥督办；应急预案据此修订，修订版经领导班子审议后发布。年度要求：每年至少组织1次综合演练；整改未闭环的场景，次年演练必须重复考核。八、附件附件1：演练行动记录表（样表）序号时间（T+分钟）脚本编号预期动作实际完成情况完成时间偏差描述15.1-A拍照留证后物理断网并电话报告25.1-B15分钟内完成初步研判上报3附件2：应急联络通讯录（样表，实际使用时填写真实号码并每季度核验一次）岗位姓名办公电话移动电话备注总指挥副总指挥信息科值班员7×24小时值守属地网信部门联络人网络安全服务支撑单位合同编号待填附件3：演练检查表（演练前一天由信息科完成并逐项签字）•[]演练网段与生产网已完成隔离，经连通性测试确认•[]演练专用账号（DRILL后缀）已创建并授权•[]故障注入脚本已在演练环境预演通过•[]备份文件可用性已抽验（恢复1个测试表验证）•[]录屏、录音