网络安全事件应急预案脚本

网络安全事件应急预案脚本一、总则1.1编制目的与适用范围网络安全事件的处置效率取决于事件发现后15分钟内能否完成初步判定、1小时内能否完成隔离与上报。本预案将处置流程拆解为可直接照做的操作脚本，明确每一步的执行人、时限、命令与验收标准，确保值班人员即使首次遇到攻击也能按脚本执行而不遗漏关键动作。适用范围：本公司全部信息系统，包括办公网络（/16）、生产网络（/16）、DMZ区对外服务系统（含官网、对外API、邮件系统）、云上资产（IaaS虚拟机约xx台，以资产管理台账为准）。依据文件：《中华人民共和国网络安全法》《中华人民共和国数据安全法》《国家网络安全事件应急预案》、GB/T20986-2023《信息安全技术网络安全事件分类分级指南》、GB/T24363-2009《信息安全技术信息安全应急响应计划规范》。1.2事件分级按GB/T20986-2023划分为四级，判定标准与响应权限如下：级别名称判定标准（满足任一条即定级）启动权限指挥人I级特别重大核心生产系统中断超过4小时；泄露个人信息超过100万人；影响范围波及全公司董事长/总经理总经理II级重大核心生产系统中断1~4小时；泄露个人信息10万~100万人；被国家级通报总经理/分管副总分管副总III级较大单一重要业务系统中断30分钟~1小时；发现内网横向扩散迹象；泄露内部敏感数据但未外流应急领导小组组长（信息安全部经理）信息安全部经理IV级一般单台主机感染、孤立的外部扫描告警、无数据外泄迹象的钓鱼邮件未遂事件安全值班工程师值班工程师自行处置并记录定级争议时就高不就低：例如一台服务器感染勒索软件但尚未加密文件——虽当前损失为零，但存在横向扩散可能，按III级响应。二、应急组织与职责2.1应急领导小组•组长（分管副总）：II级及以上事件的总指挥，决策断网、对外披露、报警等重大事项，1小时内必须到场或授权线上指挥。•副组长（信息安全部经理）：III/IV级事件直接指挥，负责技术处置方案审批。•技术处置组（3~5人）：执行隔离、取证、恢复、加固。组长由安全工程师担任，成员含网络工程师、系统管理员、值班运维。•业务协调组（IT服务台+受影响业务部门接口人）：负责业务影响确认、用户通知、业务数据核对。•对外联络组（法务+行政）：负责向监管机构（属地网信办、公安网安部门）报告、必要时报案、对接外部安全服务厂商。2.2值班机制•7×24值班：安全运营平台（SOC）告警由值班工程师轮值，每班1人+后备1人，交接班时未闭环事件必须书面移交（移交单见附件三）。•联络可达性：值班电话必须15分钟内接听，超时后备值班人接管；每季度演练一次联络树，验证全员电话可达。三、监测与预警3.1监测手段与告警阈值威胁发现依赖四类来源，缺一不可——只盯单一告警源是漏检的最常见原因：1.SOC告警：EDR终端告警、WAF拦截日志、IDS入侵检测、邮件网关。关键阈值：单IP5分钟内WAF拦截超过100次判定为扫描攻击；EDR报出「进程注入」「勒索行为特征」立即按III级以上处置。2.资产可用性监控：核心业务系统HTTP探测间隔1分钟，连续3次失败（即3分钟不可达）触发短信告警。3.威胁情报：每日核对厂商情报源，发现C2IP与内网通信记录立即倒查。4.人工报告：全员报告渠道（IT服务台热线），任何员工发现页面篡改、勒索提示、异常弹窗均可直接上报，报告属实纳入考核加分。3.2预警发布发现威胁但尚未造成损害时（如收到高危漏洞通告、观察到外部扫描激增），由信息安全部在4小时内发布预警通报，内容包括：威胁描述、影响资产清单、加固要求、完成时限。加固任务48小时内闭环，超时未完成须书面说明原因并升级至副组长。四、处置脚本（分场景）4.1场景A：勒索软件事件风险演化路径：钓鱼邮件附件/弱口令RDP爆破获得初始立足点→攻击者提权并窃取域控凭据→关闭终端防护→批量加密文件共享与备份数据→勒索。阻断点在每一环，脚本按发现时所处的环节处置。第一阶段：隔离（发现后15分钟内）1.值班工程师对感染主机立即拔网线或禁用其交换机端口。机理：勒索软件通过SMB（445端口）和RDP（3388/3389）横向扩散，断网是唯一能在秒级切断扩散链的手段。2.严禁在隔离前重启或关机——内存中的加密进程、攻击者遗留的持久化痕迹会随断电丢失，影响取证与解密可能。正确顺序：断网→保留运行状态→拍照记录勒索信与屏幕→截取内存（如具备工具）。3.同步排查：用EDR全网检索相同进程哈希/文件名，确认感染面。10分钟内给出初步感染主机数量。第二阶段：判定与上报（发现后1小时内）1.判定感染面：仅1台终端且未波及文件服务器→IV级；波及服务器或3台以上终端→III级起；备份数据也被加密→II级。2.按级别上报，III级以上由副组长宣布启动应急领导小组，2小时内向属地公安网安部门报案（依据《网络安全法》第二十五条，重大事件须及时报告）。第三阶段：遏制与根除1.立即冻结域控管理员账号修改权限，重置域管理员密码（机理：勒索团伙惯用域凭据批量投毒，密码不换等于给攻击者留后门）。2.关闭全网SMB对外映射、临时禁用共享盘写入（业务降级运行，由业务协调组通知各部门改用本地暂存+每日手动归集）。3.检查备份完整性：核对最近3个备份副本的校验值与可恢复性（每月恢复演练的结果此时直接决定恢复能力）。严禁在未确认备份干净前将备份挂载至生产网络——备份中可能潜伏加密触发器。4.取证：镜像感染主机磁盘至少1块，保留6个月以上备查。第四阶段：恢复1.优先恢复顺序：域控与DNS→核心生产数据库→核心业务应用→文件服务→其他系统。每恢复一个系统先在隔离VLAN中验证（无异常进程、无对外可疑连接）再接入生产网。2.支付赎金决策：由总经理决策，法务须先行说明支付赎金不保证解密且可能违反制裁法规的风险。优先选择备份恢复路径；仅在备份彻底失效且业务损失评估支持时，才可评估与攻击者接触，且接触行为由法务全程主导。3.恢复验收：业务部门核对数据完整性（对比事发前24小时业务量与数据条目），签字确认后系统才转入正常运行。4.2场景B：数据泄露事件风险演化路径：内部人员越权导出/数据库配置错误暴露公网/第三方接口被拖库→数据经网盘、邮箱、API外传→在暗网或黑产渠道流通→监管处罚与用户维权。处置要点：1.4小时内切断泄露通道：封禁相关出网通道、吊销涉事账号与APIKey、下线暴露服务。查清泄露数据的范围（表、字段、条数、时间跨度），形成《泄露影响初判表》。2.涉及个人信息的，依据《个人信息保护法》第五十七条，72小时内向属地网信部门报告，报告内容含泄露原因、涉及个人信息主体数量、已采取补救措施、个人可采取的减损方式。3.对涉事账号的登录日志、导出日志完整取证；不得在取证前删除或重装涉事系统。4.3场景C：DDoS攻击1.判定：业务带宽占用超过日常峰值3倍且伴随可用性下降，判为DDoS。2.三段式处置：优先启用云清洗服务/运营商流量清洗；若清洗服务未覆盖或攻击绕过清洗，启动CDN切换与业务降级（静态页应急页）；严禁简单重启被攻击服务器（重启后连接重置反而放大服务中断感知，且无法缓解流量攻击）。3.同步排查攻击是否为烟雾弹——DDoS常伴随入侵尝试，期间对WAF与登录日志加强巡检（每30分钟一次）。4.4场景D：钓鱼邮件事件1.单人受骗未点击链接或未输入凭据：IV级，回收邮件、发布全员提醒（附发件人特征与主题关键词），当日完成。2.有人已输入凭据：10分钟内重置该账号密码并吊销其所有活动会话与令牌；排查该账号近7日登录地与操作日志，确认是否被用于内网落脚。3.5人以上受骗或邮件伪装成高管（BEC类）：III级，在邮件网关全局拦截发件域名，并通报财务部门暂停对「高管」指令的转账类操作复核。五、事后改进（PDCA闭环）事件闭环的标志不是「恢复运行」，而是根因消除与同类风险清零。•Check（5个工作日内）：完成《事件复盘报告》，含时间线（发现、定级、隔离、恢复各节点精确到分钟）、根因分析（用5Why法，追溯到管理制度层而非止步于「员工误点」）、损失评估。•Act（15个工作日内）：整改项逐条落实，每条整改须有责任人与验收标准（如「RDP全网禁用公网映射，由网络工程师于X日前完成，验收方式为全网端口扫描复查」）。整改完成率纳入部门季度考核。•迭代：每次I/II级事件后修订本预案对应脚本；每年至少1次全要素演练（模拟勒索事件桌面推演+1次真实切换演练）。六、附则•本预案由信息安全部负责解释与修订，每年评审1次，组织架构或重大系统变更后30日内完成修订。•全员应急培训每年不少于1次（含钓鱼演练），新入职员工30日内完成基础培训，培训记录存档3年。•应急过程全部记录（告警截图、处置操作、会议纪要、报告回执）归档保存不少于3年，作为监管检查与司法取证依据。附件一：应急联络通讯录（样表）角色姓名手机备用电话邮箱应急领导小组组长张某某138******0xx-xxxx-xxxxzhangxx@信息安全部经理李某某139******—lixx@值班工程师（当班）按排班表值班热线400-xxx-xxxx—soc@属地公安网安部门—110/预留报案专线——属地网信办—预留报告电话——外部安全服务厂商24h热线—预留服务合同电话——附件二：事件处置记录单（打印用）项目填写内容事件编号YJ-YYYYMMDD-序号发现时间/发现人事件类型与初步级别感染/影响资产清单（IP、主机名、系统）已采取的隔离措施及时间上报对象与时间恢复时间与验收人取证材料清单附件三：值班交接移交单项目内容未闭环事件编号与当前状态下一步动作与责任时限需升级事项交接