网络安全应急处置课件

应急响应·守护数字防线网络安全应急处置应急处置·预案编制·处置机制·实战案例汇报时间：2026COURSEOVERVIEW课程导览·全课结构五大模块·从认知到落地，构建完整的应急处置知识链路01应急处置认知概念与事件分级02预案编制与法规体系与法律依据03六阶段处置流程PDCERF实操04典型案例复盘实战印证方法05最新政策与行动监管动态落地01应急处置认知从概念到分级，打好认知基础NETWORKSECURITY·EMERGENCYRESPONSE事件分类是处置起点定义：人为原因、软硬件缺陷或故障、自然灾害等，对网络和信息系统或其中数据造成危害、对社会造成负面影响的事件。七类事件依据《国家网络安全事件应急预案》01有害程序事件02网络攻击事件03信息破坏事件04信息内容安全事件05设备设施故障06灾害性事件07其他事件分类决定处置路径有害程序查杀与隔离网络攻击阻断与溯源信息破坏恢复与取证接到告警第一步：判断事件类别，再调用对应处置预案。分类准确，检测、抑制与根除才能有的放矢。企业安全团队应急响应课件04/30网络安全应急处置四级分级决定响应强度P1特别重大系统大面积瘫痪、丧失业务处理能力，或国家秘密、重要敏感信息、关键数据丢失或被窃取、篡改、假冒，对国家安全和社会稳定构成特别严重威胁。P2重大系统长时间中断或局部瘫痪，业务处理能力受到极大影响。P3较大系统中断，明显影响系统效率。P4一般业务影响较小、损失有限。级别越高：响应等级越高·资源投入越多·上报层级越高企业可参照国家分级标准，结合自身业务影响面细化内部定级规则。企业安全团队应急响应课件0505/30网络安全应急处置预警与响应逐级对应红、橙、黄、蓝四级预警，由高到低对应特别重大、重大、较大、一般网络安全事件；响应同样分四级，Ⅰ级为最高。红色预警特别重大事件响应

Ⅰ级橙色预警重大事件响应

Ⅱ级黄色预警较大事件响应

Ⅲ级蓝色预警一般事件响应

Ⅳ级特别重大事件启动Ⅰ级响应：成立应急指挥部，统一领导、指挥、协调。24小时应急办值班红色预警按最高级别备战蓝色预警保持常规监测把预警颜色写进值班制度，一线人员看到颜色即知动作。迟报、谎报、瞒报、漏报将被追责——这条红线同样适用于企业内部报告机制。企业安全团队应急响应课件06/30网络安全应急处置02预案编制与法规预案有据，处置有法NETWORKSECURITY·EMERGENCYRESPONSE三级预案体系各司其职01国家层中央网信办印发《国家网络安全事件应急预案》（中网办发文〔2017〕4号），涵盖总则、组织机构与职责、监测与预警、应急处置、调查与评估、预防工作、保障措施、附则八部分。02行业层工业和信息化部印发《公共互联网网络安全突发事件应急预案》，各行业主管部门制定本领域预案。03企业层网络运营者编制网络运营者依据国家与行业预案，结合自身业务特点编制本单位预案。三级衔接逻辑国家预案定原则行业预案定细则企业预案定操作企业编制时应向上对齐行业要求，向下细化到具体系统、具体岗位、具体联系人，确保预案启动时人人知道自己该做什么。企业安全团队应急响应课件08/30网络安全应急处置网络安全法划定底线第二十五条网络运营者·通用义务网络运营者应当制定应急预案，及时处置漏洞、病毒、攻击、侵入等风险；事件发生时立即启动预案、采取补救措施并按规定上报。第三十四条关键信息基础设施运营者关键信息基础设施运营者须设专门安全管理机构与负责人，对重要系统和数据库容灾备份，制定预案并定期演练。两条法条合起来划出底线——预案不是应付检查的文档，而是法律明确要求的动作。未制定预案、未及时启动处置与上报，均可能面临行政处罚安全团队须把法条逐条映射到内部制度，明确谁启动、谁上报、谁补救企业安全团队应急响应课件09/30网络安全应急处置数据安全法补强应急机制第二十三条确立数据安全应急处置机制发生数据安全事件，主管部门应依法启动预案并处置，防止危害扩大、消除隐患，并及时发布公众警示。1启动应急预案2采取处置措施3防止危害扩大4消除隐患5发布公众警示数据事件单列与网络安全事件处置逻辑一脉相承，更强调三项要求01数据泄露范围评估02数据恢复验证03用户告知义务配套依据·关基条例第二十三条国家网信部门统筹建立网络安全信息共享机制，及时汇总、研判、共享、发布威胁、漏洞、事件信息。企业落地预案中单独设置数据安全事件处置章节，明确数据资产清单、备份策略与泄露通报流程。企业安全团队应急响应课件10/30网络安全应急处置标准规范让预案有据可依01GB/T24363-2009《信息安全技术

信息安全应急响应计划规范》现行有效国家标准，由全国网络安全标准化技术委员会（TC260）归口，提供通用框架02《信息安全技术

网络安全事件分类分级指南》为事件分类与分级提供技术标准03GB/Z30285-2013《企业网络安全事件应急预案编制指南》为企业级预案编制提供具体操作规范04《网络安全事件应急演练指南》国家网信办发布，提供演练方法与评估标准编制路径1先对照

GB/T24363-2009

搭建框架2再按

GB/Z30285-2013

细化企业场景3最后用应急演练指南检验可操作性标准不是束缚，而是让预案经得起检验的标尺。企业安全团队应急响应课件11/30网络安全应急处置预案管理重在动态运转工作机制统一领导分级负责预案主导协同联动常见误区预案写完即束之高阁，沦为静态文件。让预案转起来1定期演练

每年至少一次组织应急演练，检验流程是否顺畅2演练后即修订把演练中发现的问题写回预案文档3嵌入培训宣贯预案要点进入新员工培训与日常安全宣贯，人人熟悉自身角色定期更新·纳入计划预案应定期更新，随技术发展、法规变化与演练情况动态调整；编制、演练、评估与修订纳入年度安全工作计划，并明确各部门职责与权限，确保事件发生时快速响应、协同处置。预案的生命力在于持续运转，而非一纸文件。企业安全团队应急响应课件12/30网络安全应急处置03六阶段处置流程流程清晰，处置有序NETWORKSECURITY·EMERGENCYRESPONSEPDCERF

六阶段流程贯穿全程01准备02检测03抑制04根除05恢复06跟进循环闭环：每次响应经验反馈至下一次准备阶段，形成组织安全闭环攻防视角六步01监测发现02分析研判03应急处置04通报预警05追踪溯源06排查整改落地要求固化为标准作业程序（SOP）明确各阶段输入、输出与责任岗位企业安全团队应急响应课件14/30网络安全应急处置准备阶段决定响应上限准备阶段的目标：在事件发生前完成全面准备，响应质量的上限由此决定。预案与制度制定应急预案，明确组织结构、职责分工、响应流程与沟通机制，落实

24小时值班制度。资源与团队配置安全设备、漏洞库、应急工具包；组建多部门应急团队，每年至少开展一次演练。脆弱性识别通过日常检查、隐患排查、容灾备份，提前识别网络脆弱性。系统快照留存初始化完成、重要配置变更、软件升级、事件恢复后均须生成快照，并与当前状态核对以快速发现异常；应急工具包存放于不可更改介质，防止篡改。准备越充分，响应越从容。企业安全团队应急响应课件15/30网络安全应急处置检测阶段重在快速确认目标·快速确认三个问题事件是否发生确认判定原因是什么根因初判影响范围多大范围界定检测手段实时监控日志审查流量分析IDS告警分析外部威胁情报评估与建档关联三要素，评估事件级别关联以下维度综合评估事件级别影响范围信息敏感度业务中断程度建立事件档案，沉淀处置依据完整记录关键信息，支撑后续抑制与根除时间系统架构日志样本攻击IP检测不准，抑制打偏；检测太慢，事件扩散。企业安全团队应急响应课件16/30PDCERF·检测阶段抑制阶段：防止事态扩散核心目标限制攻击范围，阻止事态扩散与失控短期动作即时处置断开受感染服务器网络连接禁用被侵入账号登录权限关闭可疑端口或服务（SSH、RDP）长期策略持续防御建立临时防火墙策略攻击IP列入黑名单启动灾备环境保障核心业务执行前提以检测阶段确认的攻击路径为依据，避免误断业务关键保障提前预设断网、封禁、隔离的决策权限，一线人员无需层层请示即可执行抑制越快，损失越小。企业安全团队应急响应课件17/30网络安全应急处置根除阶段：彻底清除源头目标找出事件根源，彻底消除。查明攻击入口未打补丁的漏洞、钓鱼邮件、弱口令清除恶意载体删除恶意文件、关闭后门进程修复与加固更新防病毒库与系统补丁审计系统配置防止二次入侵难点大规模蠕虫类恶意程序，逐台根除需投入更多人力和物力。闭环要求根除不彻底，事件就会反复。企业应建立漏洞管理闭环，把根除阶段发现的问题纳入整改台账，跟踪验证修复效果。证据保留为后续溯源与追责提供支撑。企业安全团队应急响应课件18/30网络安全应急处置恢复阶段：有序还原业务目标：将事件涉及系统还原到正常状态，全程谨慎操作，避免误操作导致数据丢失。三项核心动作建立临时业务处理能力先兜住业务，争取恢复窗口修复原系统损害清除损害痕迹，恢复系统完好恢复运行业务能力在原系统或新设施中重新运行安全还原路径01从安全备份中还原数据02更新系统补丁与安全配置后再接入网络03持续监控系统是否存在异常行为关键原则：安全优先于速度宁可延长恢复时间，也要确保系统在干净状态下重新上线，防止带病运行导致二次感染。配套机制涉及个人信息或敏感数据泄露时，及时通知受影响用户提前制定恢复优先级清单：明确先恢复哪些系统、哪些业务可降级运行定期验证备份数据的可恢复性恢复完成不等于事件结束，后续总结与改进同样重要。企业安全团队应急响应课件19/30PDCERF应急响应·恢复阶段总结阶段：沉淀处置经验总结是PDCERF的闭环节点，也是下一次准备的起点。回答三个问题01事件为什么会发生？02哪些环节顺畅、哪些环节延误？03预案中哪些假设被验证、哪些需要修正？产出三类文档事件报告客观记录时间线、处置动作与结果整改清单明确责任人与完成时限预案修订建议落实到具体条款每次复盘都是一次组织学习。企业安全团队应急响应课件20/30网络安全应急处置04典型案例复盘案例是最好的教材NETWORKSECURITY·EMERGENCYRESPONSE勒索病毒处置重在隔离取证攻击还原背景2019年3月，某交通运输单位服务器感染

Crysis勒索病毒变种，业务系统瘫痪。样本桌面及启动项发现病毒样本

payload1.exe，大部分文件被加密。入侵2个境外IP

利用

administrator

账号经远程桌面登录，人工投毒并横向扩散。溯源结论：服务器直接对外映射远程桌面端口，攻击者爆破RDP后人工投毒。处置启示1第一时间隔离受感染服务器保护取证现场2分析日志与样本还原攻击路径3修复配置短板关闭不必要对外端口防护建议：杜绝弱口令；部署高级威胁监测设备；定期开展渗透测试与安全评估。企业安全团队应急响应课件22/30网络安全应急处置挖矿蠕虫处置重在批量查杀STEP01事件起点2019年3月，某政府单位内网大量服务器内存、CPU被恶意占用。部分业务中断STEP02溯源判定一周前出现大量445连接，资源随时间被耗尽。分析进程与日志后，确认感染永恒之蓝下载器挖矿蠕虫——利用永恒之蓝漏洞横向传播，窃取密码并创建大量服务耗尽资源。STEP03处置与启示处置批量查杀脚本对网内机器统一处置恶意流量与资源占用大幅降低，业务恢复启示蠕虫类大规模感染必须靠自动化批量查杀，单机处置效率太低封堵已知漏洞、加强口令管理、部署全流量监控，防止复发企业安全团队应急响应课件23/30网络安全应急处置流量攻击处置重在快速封堵CC攻击：验证码缺失放大请求压力某部委网站动态页面访问异常缓慢，静态页面正常。WAF与DDoS设备同时告警，日志分析显示外部对单个动态页面全天访问量达

12万次

。根因该页面查询未要求输入验证码，大量频繁HTTP请求与数据库查询压垮服务器。处置动态页面添加复杂验证码排查检查SQL注入漏洞抑制对同一IP频繁请求拦截封锁DDoS攻击：NTP反射放大与勒索某证券公司遭受

1G

流量DDoS攻击，持续1小时。攻击者勒索称不交钱将流量增至1T。分析确认攻击类型为NTP反射放大攻击，通过后端大数据综合分析定位攻击者真实IP。溯源NTP反射放大攻击识别与类型确认定位后端大数据综合分析，锁定攻击者真实IP处置核心：快速封堵与弹性扩容把攻击影响控制在业务可承受范围内。01启用云防护02配置源站保护03建立监测预警机制企业安全团队应急响应课件24/30网络安全应急处置执法案例警示履责缺失现状三起案例暴露同一类履责缺失——要么没有预案，要么有预案不启动，要么启动了不上报。国家网信办通报EXPOSURECASE01某企业长期忽视门户网站后台弱口令，后台遭攻击后源文件被植入恶意代码；因未及时启动应急预案、未采取补救措施、未向主管部门报告。被责令改正并罚款甘肃公安·护网2026EXPOSURECASE02某专科医院门户网站被篡改为赌博网站；因长期无人管理、未制定网络安全事件应急预案。被行政处罚公安部·净网2026EXPOSURECASE03累计侦办网络违法犯罪案件

3.6万余起，其中黑客案件

3900余起。执法高压态势持续对策企业安全团队应定期对照检查预案是否完备演练是否按期上报路径是否畅通企业安全团队应急响应课件2525/30网络安全应急处置05最新政策与行动政策引领，行动落地NETWORKSECURITY·EMERGENCYRESPONSE公安检查新规压实主体责任新规落地公安部令第

176

号2026年10月1日施行2018年旧版同步废止监管对象网络运营者数据处理者个人信息处理者等三大检查方式01线上常态巡查信息巡查、漏洞扫描02远程安全检测漏洞探测、渗透性测试，须提前

三个工作日

告知时间与范围，不得干扰系统正常运行03线下现场核查现场核验安全防护与合规落实情况重点监督对象曾发生网络安全事件，或