信息安全紧急事件响应流程图
信息网络安全突发事件应急预案
信息网络安全突发事件应急预案第一章总则一、编制目的为提高***处置网络安全突发事件的能力，形成科学、有效、反应迅速的应急工作机制，确保重要计算机信息系统的实体安全、运行安全和数据安全，最大程度地预防和减少网络安全突发事件及其造成的损害，特制定本预案。
二、编制依据依据《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际联网安全保护管理办法》等有关法规文件精神。
三、分类分级本预案所称网络安全突发事件，是指***网络信息系统突然遭受不可预知外力的破坏、毁损、故障，发生对国家、社会、企业安全造成或可能造成重大危害，危及公共安全的紧急事件。
1．事件分类根据网络与信息安全突发事件的性质、机理和发生过程，网络与信息安全突发事件主要分为以下三类：（1）自然灾害。
指地震、台风、雷电、火灾、洪水等引起的网络信息系统的故障。
（2）事故灾难。
指电力中断、网络损坏或是软件、硬件设备故障等引起的网络信息系统的故障。
（3）人为破坏。
指人为破坏网络线路、通信设施，黑客攻击、病毒攻击、恐怖袭击等引起的网络信息系统的故障。
2.事件分级根据网络与信息安全突发事件的可控性、严重程度和影响范围，一般分为四级：Ⅰ级（特别重大）、Ⅱ级（重大）、Ⅲ级（较大）和Ⅳ级（一般）。
（1）I级（特别重大）、Ⅱ级（重大）。
重要网络信息系统发生全局大规模瘫痪，事态发展超出***的控制能力，需要由集团公司信息网络安全应急小组协调解决，对国家安全、社会秩序、经济建设和公共利益造成特别严重损害的信息网络安全突发事件。
（2）Ⅲ级（较大）。
某一部分的重要网络信息系统瘫痪，对保障企业安全生产重要监测监控系统造成一定影响,有可能发生安全事故,但在***控制之内的突发事件。
（3）Ⅳ级（一般）。
某节点的网络或网络终端发生故障,影响部分用户使用的网络事件。
四、适用范围本预案是***信息网络安全的专项预案，适用于***发生或可能导致发生网络与信息安全突发事件的应急处置工作第二章组织机构及职责分工一、组织体系成立***信息网络安全领导小组，组长由***担任，副组长由***担任。
网络与信息安全应急处置流程图
网络与信息安全应急处置流程图网络与信息安全应急处置流程图1.引言网络与信息安全是当前社会中的重要议题，为应对安全事件的发生，建立一套科学、规范的应急处置流程是必不可少的。
本文档旨在提供一个最新最全的网络与信息安全应急处置流程图范本，以供参考使用。
2.应急响应准备阶段2.1 确定应急响应团队：在组织内部确定一支专门负责网络与信息安全应急响应的团队，明确团队成员的职责和工作范围。
2.2 制定应急响应计划：制定详细的应急响应计划，包括应急响应流程、通讯方式、协作机制等，确保在安全事件发生时能够迅速有效地响应和处置。
2.3 部署安全监测与预警系统：部署安全监测与预警系统，及时监测并预警网络与信息安全事件的发生，为应急响应提供准确的数据支持。
3.事件鉴定与分类阶段3.1 接收安全事件报告：从安全监测与预警系统中接收相关安全事件的报告，并进行初步的筛选和鉴定。
3.2 进行事件溯源调查：对报告的安全事件进行溯源调查，确定安全事件发生的原因和影响范围。
3.3 分类与优先级评估：根据安全事件的性质、影响程度等因素，将安全事件进行分类并评估优先级，以确定后续的处置措施。
4.响应与处置阶段4.1 启动应急响应：确定应急响应的启动时间，通知相关人员参与应急处置工作。
4.2 抑制安全事件扩散：采取措施尽快抑制安全事件的扩散，防止进一步的损失。
4.3 核实与调查安全事件：对安全事件进行全面的核实和调查，收集相关证据和数据，分析事件的来源和过程。
4.4 恢复受影响的系统：针对受影响的系统进行恢复工作，修复漏洞和安全弱点，确保系统恢复正常运行。
4.5 情报收集与分析：收集并分析安全事件的情报，了解攻击者的行为特征和攻击手法，提供给后续的防御和预防措施参考。
4.6 编制应急处置报告：在应急处置完成后，编制详细的应急处置报告，记录事件的整个过程，提供参考和总结经验。
5.事后总结与改进阶段5.1 召开事后总结会议：召集应急响应团队成员，总结并分析安全事件的处理过程、不足之处和改进措施。
网络安全应急处置工作流程图
信息安全应急预案V 1.0第一章总则第一条为提高公司网络与信息系统处理突发事件的能力，形成科学、有效、反应迅速的应急工作机制，减轻或消除突发事件的危害和影响，确保公司信息系统安全运行，最大限度地减少网络与信息安全突发公共事件的危害，特制定本预案。
第二章适用范围第二条本预案适用于公司信息系统安全突发事件的应急响应。
当发生重大信息安全事件时，启动本预案。
第三章编制依据第三条《国家通信保障应急预案》、《中华人民共和国计算机信息系统安全保护条例》、《计算机病毒防治管理办法》、《信息安全应急响应计划规范》、《信息安全技术信息安全事件分类分级指南》第四章组织机构与职责第四条公司信息系统网络与信息安全事件应急响应由公司信息安全领导小组统一领导。
负责全中心系统信息安全应急工作的领导、决策和重大工作部署。
第五条由公司董事长担任领导小组组长，技术部负责人担任领导小组副组长，各部门主要负责人担任小组成员。
第六条应急领导小组下设应急响应工作小组，承担领导小组的日常工作，应急响应工作小组办公室设在技术部。
主要负责综合协调网络与信息安全保障工作，并根据网络与信息安全事件的发展态势和实际控制需要，具体负责现场应急处置工作。
工作小组应当经常召开会议，对近期发生的事故案例进行研究、分析，并积极开展应急响应具体实施方案的研究、制定和修订完善。
第五章预防与预警机制第七条公司应从制度建立、技术实现、业务管理等方面建立健全网络与信息安全的预防和预警机制。
第八条信息监测及报告1.应加强网络与信息安全监测、分析和预警工作。
公司应每天定时利用自身监测技术平台实时监测和汇总重要系统运行状态相关信息，如：路由器、交换机、小型机、存储设备、安全设备、应用系统、数据库系统、机房系统的访问、运行、报错及流量等日志信息，分析系统安全状况，及时获得相关信息。
2. 建立网络与信息安全事件通报机制。
发生网络与信息安全事件后应及时处理，并视严重程度向各自网络与信息安全事件的应急响应执行负责人、及上级主管部门报告。
信息安全应急响应服务流程图
信息安全应急响应流程广东盈通网络投资20011年07月目录第一部分导言 (3)1.1.文档类别 (3)1.2.使用对象 (3)1.3.计划目的 (3)1.4.适用范围 (3)1.5.服务原则 (3)第二部分应急响应组织保障 (4)2.1.角色的划分 (4)2.2.角色的职责 (4)2.3.组织的外部协作 (5)2.4.保障措施 (5)第三部分应急响应实施流程 (5)3.1.准备阶段（Preparation stage） (7)3.1.1 领导小组准备内容 (7)3.1.2 实施小组准备内容 (7)3.1.3 日常运行小组准备内容 (9)3.2.检测阶段（Examination stage） (9)3.2.1 检测范围及对象的确定 (10)3.2.2 检测方案的确定 (10)3.2.3 检测方案的实施 (10)3.2.4 检测结果的处理 (12)3.3.抑制阶段（Suppresses stage） (12)3.3.1 抑制方案的确定 (13)3.3.2 抑制方案的认可 (13)3.3.3 抑制方案的实施 (13)3.3.4 抑制效果的判定 (14)3.4.根除阶段（Eradicates stage） (14)3.4.1 根除方案的确定 (14)3.4.2 根除方案的认可 (14)3.4.3 根除方案的实施 (14)3.4.4 根除效果的判定 (15)3.5.恢复阶段（Restoration stage） (15)3.5.1 恢复方案的确定 (15)3.5.2 恢复信息系统 (15)3.6.总结阶段（Summary stage） (16)3.6.1 事故总结 (16)3.6.2 事故报告 (16)第一部分导言1.1.文档类别本文档是盈通公司信息技术安全IT技术部用以规范“信息安全应急响应服务流程”项目实施的指导性文件之一。
1.2.使用对象本文档作为公司内部文档，具体使用人员包括：信息安全应急响应服务具体实施操作人员、及负责人。
信息系统应急预案
信息系统应急预案信息系统应急预案1为加强审计网络和信息系统安全管理工作，预防和遏制审计网络和信息系统突发事件的发生，减轻和消除突发事件造成的危害和影响，形成科学、有效、反应迅速的应急工作机制，提高处置网络与信息安全突发事件能力，确保审计网络和信息系统的实体安全、运行安全和数据安全。
结合审计工作实际情况，特制定本应急预案。
一、应急处理机构及职责为保证突发情况下应急机制的迅速启动和指挥顺畅，成立审计网络和信息系统应急处理工作领导小组，下设工作小组。
(一)领导小组组长由局长担任，副组长为分管政府信息公开和信息化工作的局领导，成员为相关处室负责人。
应急预案启动后，负责应急行动的总体组织指挥工作。
主要职责：1.研究布置应急行动有关具体事宜。
2.应急行动期间的总体组织指挥。
3.向上级汇报应急行动的进展和向有关部门通报相关情况。
4.负责与有关部门进行重大事项的工作协调。
5.负责应急行动其它的有关组织领导工作。
(二)工作小组组长由局办公室主任担任，成员为局办公室、信息化管理机构具体人员，根据领导小组的指挥开展相应的应急行动。
主要职责：1.执行领导小组下达的应急指令。
2.负责应急行动物资器材的准备。
3.负责处理现场一切故障现象。
4.随时向领导小组汇报应急工作的进展情况。
5.负责联系相关厂商和技术人员，获取技术支持。
二、应急处理基本程序和主要内容(一)突发事件发生后，应急处理工作小组迅速组织技术力量查明原因、开展修复工作。
如果该事件造成重大影响的，及时向应急处理领导小组汇报，在领导小组统一组织下启动应急预案，开展应急处理。
(二)事件响应后，应急处理工作小组组织相关技术人员立即赶到现场，确认故障，研究解决方案：1.硬件故障(1)应急处理工作小组经现场确认后进行更换维修。
(2)不能进行维修的，联系代理商报修，代理商技术人员到场解决，力保数据完整。
属于服务端设备故障的，除联系代理商报修以外，及时联系电子政务中心。
终端设备如需送修，需先行拆下硬盘，避免敏感信息外泄。
信息安全管理流程图
信息安全管理流程说明书（S-I）信息安全管理流程说明书1信息安全管理1.1目的本流程目的在于规范服务管理和提供人员在提供服务流程中应遵循和执行的相关活动，保证信息安全管理目标的实现，满足SLA中的信息安全性需求以及合同、法律和外部政策等的要求。
1)在所有的服务活动中有效地管理信息安全；2)使用标准的方法和步骤有效而迅速的处理各种与信息安全相关的问题，识别并跟踪组织内任何信息安全授权访问；3)满足服务级别协议、合同、相关法规所记录的各项外部信息安全需求；4)执行操作级别协议和基础合同范围内的信息安全需求。
1.2范围本安全管理流程的规定主要是针对由公司承担完全维护和管理职责的IT系统、技术、资源所面临的风险的安全管理。
向客户提供服务的相关人员在服务提供流程中所应遵循的规则依据公司信息安全管理体系所设定的安全管理规定，以及客户自身的相关安全管理规定。
公司内部信息、信息系统等信息资产相关的安全管理也应遵循公司信息安全管理体系所设定的安全管理规定。
2术语和定义2.1相关ISO20000的术语和定义1)资产（Asset）：任何对组织有价值的事物。
2)可用性（Availability）：需要时，授权实体可以访问和使用的特性。
3)XX性（Confidentiality）：信息不可用或不被泄漏给未授权的个人、实体和流程的特性。
4)完整性（Integrity）：保护资产的正确和完整的特性。
5)信息安全（Information security）：保护信息的XX性、完整性、可用性及其他属性，如：真实性、可核查性、可靠性、防抵赖性。
6)信息安全管理体系（Information security management system ISMS）：整体管理体系的一部分，基于业务风险方法以建立、实施、运行、监视、评审、保持和改进信息安全。
7)注：管理体系包括组织机构、策略、策划、活动、职责、惯例、程序、流程和资源。
8)风险分析（Risk analysis）：系统地使用信息以识别来源和估计风险。
网络与信息安全应急处置流程图
网络与信息安全应急处置流程图网络与信息安全应急处置流程图1、事件报告与收集1.1 监测系统及时发现并报告安全事件1.2 收集与安全事件相关的信息，包括：时间、地点、人员等2、事件评估与分类2.1 对安全事件进行评估，确定其严重程度和影响范围2.2 根据评估结果，对安全事件进行分类，如：内部威胁、外部攻击等3、事件响应与处置3.1 确定事件负责人和响应团队成员3.2 针对不同类型的安全事件，采取相应的响应措施3.3 隔离受攻击设备或系统，阻止攻击扩散3.4 分析安全事件的原因和攻击方式，修复系统漏洞或弱点3.5 恢复受影响的系统和服务3.6 收集和保留相关的取证信息4、事件跟踪与监控4.1 对安全事件的处理过程进行跟踪和监控4.2 定期更新事件进展情况，向相关部门提供报告5、事件分析与总结5.1 对已发生的安全事件进行分析，找出规律和趋势5.2 提取有价值的安全经验教训，用于改进安全措施5.3 撰写事件处置报告，包括：事件详情、处理过程、成果等5.4 向相关部门汇报事件分析结果和总结结论附件：1、网络与信息安全事件报告表格2、安全事件处置记录表附录：法律名词及注释1、《网络安全法》：中华人民共和国网络安全法，于2017年6月1日正式实施，是我国网络安全领域的基本法律法规。
2、数据隐私：指个人或组织的个人信息和私人数据，包括但不限于姓名、地质、方式号码、银行账号等。
3、信息安全：指保护信息系统和其中的信息免遭非法获取、非法使用、非法披露、非法篡改和非法破坏的能力。
4、DDos攻击：分布式拒绝服务攻击，通过伪造大量请求向目标服务器发送大流量数据，导致目标服务不可用。
信息安全事件管理程序
文件制修订记录1.0目的和范围为加强和改进信息安全事件管理；在发生信息安全事件时能及时报告，快速响应，将损失控制在最小范围；在发生信息安全事件后，能够分析事故原因及产生影响、反馈处理结果、吸取事故教训；在发现信息安全异常现象时，能及时沟通，采取有效措施，防止安全事故的发生；特制订本管理程序。
适用于影响信息安全的所有事故以及安全异常现象以及全体人员（包括外协人员、实习生、长期客户员工、来访客户等）。
2.0引用文件下列文件中的条款通过本规定的引用而成为本规定的条款。
凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励各部门研究是否可使用这些文件的最新版本。
凡是不注日期的引用文件，其最新版本适用于本标准。
1)GB/T 22080-2016/ISO/IEC 27001:2013 信息技术-安全技术-信息安全管理体系要求2)GB/T 22081-2016/ISO/IEC 27002:2013 信息技术-安全技术-信息安全管理实施细则3)《业务连续性管理制度》3.0职责和权限1)信息安全管理领导小组：负责对内部信息安全事件的处理和奖惩意见进行审批；负责对纠正预防措施进行审批。
2)信息安全工作小组：负责组织制定内部信息安全事件处理制度；听取信息安全事件的汇报，负责对信息安全事件进行调查取证，提出处理措施，提出奖惩意见以及纠正预防措施，负责信息安全有关的所有文件的管理与控制；负责组织制定项目信息安全事件处理制度；听取信息安全事件的汇报，负责对信息安全事件进行调查取证，提出处理措施，提出奖惩意见以及纠正预防措施，负责信息安全有关的所有文件的管理与控制。
3)各部门：积极预防信息安全事件的发生；及时准确的汇报信息安全事件，配合信息安全事件的调查取证工作；配合执行处理措施，奖惩决定以及纠正预防措施。
4)异常现象和事件发现人：异常现象和事件发现人有义务及时准确地报告异常现象和事件的真实情况，并采取适当的临时措施制止事故的进一步扩大。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
组织的安全工具包便携式计算机（包含许多法庭工具）用于复查恢复备份，以发现其他危害。除了启动时运行软件的区域外，还应复查注册表项和文件夹，如profile/startup目录以及Run和RunOnce注册表项。还应复查User和Group帐户，以及用户权限和安全策略是否发生过任何改变。复查安全日志以找出其他任何可疑的活动。
报告事件
Samantha通过电话告知CSIRT的其他成员她刚刚发现的问题，并答应一旦发现更多的迹象会随时报告。
减少损失并将风险控制在最小
Contoso的事件响应策略指出一旦证实系统中有蠕虫存在，应断开系统与网络的连接。Samantha去掉了网线。幸运的是，WEB2是负载均衡的一组服务器中的一部分，因此不会由于该系统的断开而使网络服务中断。
识别危害的严重性
Robert进一步扫描其他所有IIS服务器的日志文件，以确定此时不存在红色代码II的其他任何实例。
保护证据
一切迹象表明只有WEB2遭到破坏。由于已合理地抑制损失，并且法律部门指出应收集证据，因此Taylor决定在对系统进一步的入侵分析（可能扰乱或破坏证据）之前先执行这一项工作。其他小组成员继续监视其他Web服务器并记录可疑的活动。
报告事件
Samantha通过电子邮件将所发现的问题报告给CSIRT的其他成员，并直接与CSIRT领导联系。CSIRT领导指定由信息安全经理Taylor Maxwell担任事件领导。Taylor将协调所有活动，并与核心CSIRT交换信息。
Taylor通知技术部主任以及随时待命的信息技术组，Web服务器已断开与网络的连接，至少应在清除蠕虫之后再将其重新连接。
由适当的小组成员复查全部的事件文档、所吸取的教训，以及遵循了哪些策略和未遵循哪些策略。
法律代表、CSIRT小组组长和事件领导以及执行管理层应复查与采取法律行动有关的文档和程序。
Contoso CSIRT（计算机安全事件响应组小组如何响应红色代码II病毒
场景说明：您公司是主营业务是通过网站进行业务销售的公司，您公司已经组建了针对IT运维系统的应急支持小组，您就是其中一员，今天在例行巡检中发现服务器有红色代码的相关迹象，请问如何进行处理？
说明：安全小组的虚拟角色和应急预案请在模拟行动前进行。
Taylor还通知执行管理层、通信官员以及法律代表。法律代表告诉Taylor虽然不太可能追究法律责任，但仍然建议他按照程序收集证据。
识别危害的严重性
Samantha扫描失并将风险控制在最小
另一个CSIRT成员Robert Brown运行Microsoft Baseline Security Analyzer (MBSA)，这是Microsoft提供的一个工具，管理员可以在一个中心位置使用该工具检查网络中运行Windows NT® 4.0、Windows 2000以及Windows XP的所有计算机的修补状态，以便实时地确定是否已针对红色代码II对其他服务器进行修补。他发现有另外两台服务器不处于最新状态，便立即应用修补程序。
小组决定执行新的程序以防止此事件再次发生。创建一个检查表，在其中列出变更管理部门、Web服务器支持部门以及信息安全部门必须完成的工作。只有在完成这些工作之后，信息安全部门才能批准在内部网络中恢复任何系统。必须完成检查表中列出的步骤，然后信息安全部门才能重新配置防火墙，以便允许外部系统与该系统之间的通信。审核部门还将定期检查是否准确遵循了检查表中的内容，并完成了检查表中的全部工作。
将WEB2重新连接到网络，并对其进行严密监视，查找是否存在新的威胁或现有威胁的其他迹象。
编制并组织事件文档
Taylor和CSIRT研究漏洞的根源，并确定系统是否是最近重新安装的，尚未应用过修补程序。这里假定已制定明确的策略。
此事件有三种可能的根源：支持小组的成员未重新应用修补程序、信息安全部门未及时审核应用的修补程序，以及配置管理组未意识到需要应用修补程序，并且在恢复运行状态之前，未请信息安全部门检查系统。完成了上述部分操作后，应可避免某些事件。
事件响应步骤
采取的行动
进行初期评估
Samantha Smith是随时待命的CSIRT成员，她查看Contoso入侵检测系统所记录的事件的简短描述。系统指出在Web服务器WEB2上可能发生红色代码II事件。她检查WEB2服务器的Internet信息服务(IIS)日志文件中的签名字符串，并检查c:\inetpub\scripts中是否存在root.exe。调查的结果表明这不太可能是假阳性检测。
Taylor和CSIRT编制所有文档，确定在响应事件的过程中完成了哪些任务，每一项任务所花费的时间，以及执行者。此信息将发送给金融代表，后面将按照针对计算机损失的“通用公认的记帐原则”计算成本。
CSIRT小组组长确保管理层了解事件的总成本、发生的原因，以及计划如何防止将来再发生该事件。对于管理层而言，很重要的一点是了解不规定或不遵循这些程序以及不配备CSIRT等资源意味着什么。
CSIRT中的一名接受过法庭证据收集训练的成员为安全性已遭到破坏的系统制作两个快照（即完整的物理备份）。一个快照妥善保存，以供将来接受法院的检查。另一个快照将与在该事件之前制作的干净而安全的备份一起用在恢复过程中。根据安全策略，法庭备份应存储在以前从未使用过、且只能写一次的媒体中，应制作有关的详细文档，并且应与从服务器上卸下的硬盘一起密封并保护起来。
通知外部机构
Taylor将事件报告给联邦调查局(FBI)国家基础设施保护中心，因为Contoso参与了许多大型的美国政府项目。
由于可以断定客户信息以及系统访问未遭到破坏，因此不通知客户。
恢复系统
虽然存在可以用来将红色代码II从WEB2中清除的工具，但是CSIRT和WEB2支持小组选择将操作系统重新安装到新的媒体中。通过将操作系统从原来的分发媒体安装到新的磁盘媒体中，以及使用Microsoft安全工具包，他们确信了拥有一个干净的系统，即没有黑客后门或被破坏的文件的系统。
重新安装Windows 2000后，，对系统应用更严格的安全防范措施。
找到未感染的备份，然后按照文档中规定的程序还原数据。如果只能从安全性已遭到破坏的备份中还原数据，那么应将数据还原到单独的脱机系统中，然后在确信它没有重新感染其他操作系统的危险后，将它重新合并到WEB2中。
CSIRT小组对系统执行全面的漏洞评估，并记录此过程中发现的所有信息。