互联网网络信息安全中的灾难恢复技术
ch9信息安全事件应急处理和灾难恢复解析
灾难恢复策略的实现
• 灾难备份系统技术方案的实现
• 技术方案的设计 • 技术方案的验证、确认和系统开发 • 系统安装和测试
• 灾难备份中心的选择和建设
• 选择或建设灾难备份中心时，应根据风险分析的结果，避免灾难备 份中心与主中心同时遭受同类风险。灾难备份中心包括同城和异地 两种类型，以规避不同影响范围的灾难风险。
有害程序事件
• 有害程序事件是指蓄意制造、传播有害程序，或是 因受到有害程序的影响而导致的信息安全事件。 • 有害程序是指插入到信息系统中的一段程序，有害 程序危害系统中数据、应用程序或操作系统的保密 性、完整性或可用性，或影响信息系统的正常运行。 • 有害程序事件包括计算机病毒事件、蠕虫事件、特 洛伊木马事件、僵尸网络事件、混合攻击程序事件、 网页内嵌恶意代码事件和其它有害程序事件等79.3，9.4，9.6 • 答疑
灾害性事件和其他事件
• 灾害性事件是指由于不可抗力对信息系 统造成物理破坏而导致的信息安全事件。 • 灾害性事件包括水灾、台风、地震、雷 击、坍塌、火灾、恐怖袭击、战争等导 致的信息安全事件。 • 其他事件类别是指不能归为以上6个基本 分类的信息安全事件。
二、信息安全事件分级
• 对信息安全事件的分级主要考虑三个要素：信息系 统的重要程度、系统损失和社会影响。 • 信息系统的重要程度主要考虑信息系统所承载的业 务对国家安全、经济建设、社会生活的重要性以及 业务对信息系统的依赖程度，划分为特别重要信息 系统、重要信息系统和一般信息系统。 • 系统损失是指由于信息安全事件对信息系统的软硬 件、功能及数据的破坏，导致系统业务中断，从而 给事发组织所造成的损失，其大小主要考虑恢复系 统正常运行和消除安全事件负面影响所需付出的代 价，划分为特别严重的系统损失、严重的系统损失、 较大的系统损失和较小的系统损失。
信息系统灾难备份技术综述
信息系统灾难备份技术综述灾备是确保数据和信息系统安全、稳定运行的一个极为重要的因素,对支撑管理起到十分重要的作用。
本文介绍了信息系统建设与灾难备份的背景,讨论了灾备系统的主要指标和基本类型,在此基础上论述了灾备系统的关键技术和实现方法,提出了灾备技术未来的发展方向和趋势。
1 背景党中央和国务院十分重视信息安全工作。
2003年，中办发[2003127号文《国家信息化领导小组关于加强信息安全保障工作的意见》，要求各基础信息网络和重要信息系统建设要充分考虑抗毁性与灾难恢复，制定和不断完善信息安全应急处置预案。
2004年，国家网络与信息安全协调小组办公室发12004]11号文《关于做好重要信息系统灾难备份工作的通知》。
明确指出，提高抵御灾难和重大事故的能力，减少灾难打击和重大事故造成的损失、确保重要信息系统的数据安全和作业连续性，避免引起社会重要服务功能的严重中断，保障社会经济的稳定。
2005年，国务院信息化工作办公室出台了《重要信息系统灾难恢复规划指南》，为灾难恢复工作提供了一个操作性较强的参考思路。
2007年，国家标准《信息系统灾难恢复规范》(GB／T20988—2007)正式颁布，这是灾备建设中具有里程碑意义的重要大事。
该标准对灾难备份、灾难恢复相关术语进行了规范和梳理，指明了灾难恢复工作的流程，明确了灾难恢复的等级和相关要素，制订了灾难恢复工作的主要环节及各环节具体工作等。
在2010年召开的第五届中国灾难恢复行业高层论坛上，提出了我国将全面启动灾难恢复体系建设，制定强制性灾备建设规范，完善灾备标准体系并及时出台灾难恢复服务资质管理办法，以促进政府相关部门、行业用户、企业灾难恢复保障体系的发展。
目前，许多政府部门和重要行业已经开始积极有序进行应急管理、灾难备份与恢复体系的建设工作。
近十年来，国土资源信息化建设发展十分迅猛，数据积累不断丰富，政务信息系统日渐增多，其安全性和稳定性显得愈来愈重要。
一旦发生人为或自然等突发性灾难，造成数据丢失或信息系统严重故障或瘫痪，将会直接影响到国土资源管理工作的正常运转以及一些企业和广大民众的利益。
信息安全技术 灾难恢复服务能力评估准则
信息安全技术灾难恢复服务能力评估准则1. 背景介绍信息安全技术在现代社会中扮演着重要的角色，对于组织和企业来说，灾难恢复服务能力评估准则是确保信息安全的重要保障。
在面对各种潜在的威胁和风险时，能够及时有效地恢复服务是至关重要的。
2. 灾难恢复服务的重要性灾难恢复服务是指在遭受自然灾害、人为破坏或其他意外事件影响后，组织或企业能够迅速有效地恢复业务和信息系统的能力。
在当前信息化快速发展的时代，企业和组织的大部分业务活动都依赖于信息系统，所以灾难恢复服务的重要性不言而喻。
一旦关键信息系统遭受损坏或数据丢失，可能会给企业或组织带来巨大的损失，甚至影响到其生存发展。
3. 灾难恢复服务能力评估的意义灾难恢复服务能力评估，是通过对组织或企业的灾难恢复服务体系进行评估，以确定其对不同类型灾难的应对能力，并提出改进建议。
这对于组织和企业来说具有重要的指导意义，可以帮助他们找出不足之处，并制定相应的改进措施。
对于政府部门和监管机构来说，也可以通过对企业和组织的灾难恢复服务能力进行评估，提前发现问题，并对其进行监管和引导，以提升整体社会的安全稳定水平。
4. 灾难恢复服务能力评估的主要内容灾难恢复服务能力评估应包括以下主要内容：- 灾难预防和准备工作- 灾难发生后的应对和恢复- 组织内部灾难恢复服务系统- 与外部合作伙伴的应急预案- 灾难恢复服务能力的训练和演练- 灾难恢复服务能力的持续改进机制通过对这些内容全面系统的评估，可以全面了解组织或企业的灾难恢复服务能力的优劣势和风险状况。
5. 灾难恢复服务能力评估的方法和工具灾难恢复服务能力评估的方法和工具包括定性评估和定量评估两种。
定性评估主要是通过专家访谈、问卷调查、文件审查等方法，对灾难恢复服务能力进行综合评估；定量评估则是利用一些评估模型和工具，如灾难恢复服务能力成熟度模型、灾难恢复服务能力评估工具包等，对组织或企业的灾难恢复服务能力进行量化分析和评估。
这两种方法结合使用，能够全面客观地了解组织或企业的灾难恢复服务能力，并找出薄弱环节，为其提供改进建议。
信息安全灾难恢复服务的重点与难点
CNITSEC
信 息
吴 兴
安
龙
全
领
域
专
家
信息安全灾难恢复服务的重点与难点
灾难恢复服务的重点，首先是灾难恢复数据 自身的安全，这是服务的核心问题。在评审过程 当中，我们发现很少有服务公司对存在的数据进行 有效的保护。数据存放起来就安全了吗？数据一定 要加密，而且要有系统的安全防护措施。如果这些 数据发生问题，就造成了灾难当中的灾难，这个问 题如何解决是一个重点。要给数据一个安全的家， 要存得放心，用得可靠。其次是灾难恢复数据的传 输安全。网络作为信息的载体，是他人窃取信息， 实施破坏的一个主要目标。网络数据的窃取，黑客 的入侵，病毒的破坏，甚至内部有意无意的泄密， 都对网络传输数据的安全带来了严重的威胁。如果 网上数据传输得不够安全，那么灾难恢复的目的就 不能实现。很多灾备中心是异地的，所以数据传输 安全也是个重点。再次就是灾难恢复数据的管控安
我们要将信息安全系统科学合理地融入灾难恢 复系统的建设，不断完善网络安全防护手段，确保 数据和信息的传输安全。要强化我们的安全管控力 度，提高人员的安全意识，加强对资质的认证，进 一步规范灾难恢复服务的行为，从而提高信息安全 灾难恢复服务的整体能力。
78 /中国信息安全/2012.11
第11期前沿cs4.indd 78
网域前沿
Infosec Spotlights
中
国
信
息
安
全
测
评
中
心
研
究 员
徐 长
醒
电子政务系统安全测评与灾难备份
站在安全测评的角度，在国家政策层面我们非 常重视电子政务系统的安全，但我国电子政务的信 息安全环境仍普遍存在现实威胁，主要问题有：门 户网站的防护能力不强，邮件系统安全措施不够， 信息安全漏洞是主要的安全隐患，政务系统的安全 管理尚欠规范，安全问题频发。
信息系统灾难恢复方案
信息系统灾难恢复方案第一章总则第一条为规范并指导我公司生产系统灾难恢复工作，提高防范灾难风险的能力,保障持续运营，保护客户的合法权益,根据国家信息安全法律法规及有关规定，制定本预案。
第二条生产系统灾难恢复工作应坚持“统筹规划、平战结合、等级灾备”的原则，平衡成本与风险，确保工作的有效性。
第三条本指引所称灾难恢复为生产系统灾难恢复.灾难恢复工作是指,为保障生产系统持续运营，防范灾难风险并减轻灾难造成的损失和不良影响而开展的一系列工作，包括：组织机构设立和职责、灾难恢复需求分析、灾难恢复策略制定、灾难备份系统实施、灾难备份中心的建设与运行维护、灾难恢复预案管理、应急响应和恢复.第二章总体工作要求当生产系统及相关业务流程发生重大变更时,应立即启动灾难恢复需求的再分析，并根据最新的灾难恢复需求分析重审和修订灾难恢复策略. 根据灾难恢复策略定期复审和调整灾难恢复技术方案、灾难恢复预案，并定期开展灾难恢复预案培训和演练工作. 加强与业务密切相关的机构间的协调,共同评估面临的风险，协同制定灾难恢复策略,提高整体风险防范和灾难恢复能力。
第三章灾难恢复项目小组的制定和职能1.管理组：小组人员:职责：统筹规划，指挥各小组按照既定计划进行执行。
2.部门恢复组小组成员：职责：负责制定各部门情况制定应急备案，确定各部门数据和财产的保护方式并执行保护,确定各部门数据的恢复方式并执行恢复.3。
计算机恢复组：小组成员：职责: 负责对全公司范围内的计算机故障进行排除、恢复范围包括系统、必备办公软件。
4。
损坏评估组:小组成员：职责：负责对公司损失的重要数据、财务进行总体评估。
并针对相应损失的财产进行汇总并结合拥有的保险进行申报。
5.安全组：小组成员职责：负责灾难发生后的人员、数据、财务的安全进行保护。
并制定相应的安全策略。
6.设备支持组：小组成员：职责：负责对公司服务器、网络设备、交换机的故障进行排除,制定相应解决重建方案.7、数据恢复组:小组成员: 职责：负责对公司各平台数据进行恢复,并制定相应数据恢复方案。
信息系统灾难恢复规范
信息安全技术信息系统灾难恢复规范Information security technology-Disaster recovery specifications for information systems目次前言 (II)引言 (III)1 范围 (1)2 规范性引用文件 (1)3 术语和定义 (1)4 灾难恢复概述 (3)4.1 灾难恢复的工作范围 (3)4.2 灾难恢复的组织机构 (3)4.3 灾难恢复规划的管理 (4)4.4 灾难恢复的外部协作 (4)4.5 灾难恢复的审计和备案 (4)5 灾难恢复需求的确定 (4)5.1 风险分析 (4)5.2 业务影响分析 (4)5.3 确定灾难恢复目标 (5)6 灾难恢复策略的制定 (5)6.1 灾难恢复策略制定的要素 (5)6.2 灾难恢复资源的获取方式 (5)6.3 灾难恢复资源的要求 (6)7 灾难恢复策略的实现 (7)7.1 灾难备份系统技术方案的实现 (7)7.2 灾难备份中心的选择和建设 (7)7.3 专业技术支持能力的实现 (7)7.4 运行维护管理能力的实现 (7)7.5 灾难恢复预案的实现 (8)附录A （规范性附录）灾难恢复能力等级划分 (10)附录B （资料性附录）灾难恢复预案框架 (14)附录C （资料性附录）某行业RTO/RPO与灾难恢复能力等级的关系示例 (16)信息系统灾难恢复规范1 范围本标准规定了信息系统灾难恢复应遵循的基本要求。
本标准适用于信息系统灾难恢复的规划、审批、实施和管理。
2 规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。
凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。
凡是不注日期的引用文件，其最新版本适用于本标准。
GB/T 5271.8-2001 信息技术词汇第8部分：安全GB/T 20984 信息安全技术信息安全风险评估规范3 术语和定义GB/T 5271.8-2001确立的以及下列术语和定义适用于本标准。
网络安全应急预案中的业务连续性与灾难恢复
网络安全应急预案中的业务连续性与灾难恢复在当今数字化时代，网络安全已成为各行各业不可忽视的重要问题。
随着互联网的普及和信息技术的广泛应用，企业和组织必须制定网络安全应急预案，以确保业务连续性和灾难恢复。
本文将重点探讨网络安全应急预案中的业务连续性和灾难恢复，旨在提供有关如何有效应对网络安全事件的建议和指导。
一、业务连续性的重要性在面对网络安全事件时，业务连续性是企业和组织能否正常运营的关键因素。
一旦网络受到攻击或发生故障，可能导致关键系统的瘫痪，从而造成财务损失、声誉受损以及客户流失。
因此，为了保障业务的持续运营，建立业务连续性计划是至关重要的。
业务连续性计划应包括以下几个关键要素：1. 风险评估与漏洞分析：企业和组织应该定期评估网络风险和漏洞，并制定相应的安全措施。
2. 备份和恢复：备份关键数据和系统是业务连续性的基础。
同时，建立灵活、高效的恢复机制，以确保系统能够迅速恢复正常运行，是不可忽视的。
3. 业务应用和关键系统的容错性设计：通过采用多个服务器、负载均衡技术和冗余设计，可以提高业务系统的容错性。
4. 培训和教育：员工应该接受网络安全相关培训，了解应急预案以及如何应对网络安全事件，以降低风险。
二、灾难恢复的关键措施当网络安全事件发生时，及时有效的灾难恢复措施是至关重要的。
下面介绍几个关键措施，以帮助企业和组织在网络安全事件后快速恢复正常运营。
1. 制定应急响应计划：企业和组织应该制定应急响应计划，明确分工和行动步骤。
这样一来，在网络安全事件发生时，相关人员可以快速作出反应，避免进一步损失。
2. 监控和警报系统：建立有效的监控和警报系统，可以帮助企业和组织及时发现异常活动和入侵行为，从而做出及时反应。
3. 网络隔离和恢复：一旦发现网络安全事件，企业和组织应该立即采取措施隔离受影响的网络节点或系统，以防止进一步扩大损失，并尽快恢复受影响的网络节点或系统。
4. 收集证据与调查：在处理网络安全事件时，企业和组织应该及时收集相关证据，并进行详细的调查，以便追踪源头和防止类似事件再次发生。
信息安全灾难恢复
1979年
1989年
1999年
2005年
在美国宾夕法尼亚州的费城 建立了专业的商业化的灾难 备份中心并对外提供服务。
灾难备份服务商之间进行 了大规模的合并和重组， 到1999年市场上只剩下31 家灾难备份服务商，并以 每年15%的速度增长。
美国灾难恢复建设情况
机构灾难恢复建设情况
2004年
2005年
全部或部分业务关键业务建立灾难恢复系统的机构 74.40%
83.60%
全部关键业务建立了灾难恢复系统的机构
21.70%
41.80%
9· 11 事件后，Globe Continuity Inc. 对美国、英国、澳大利亚及加 拿大共 565 个公司使用灾难备份中心的情况进行了调查，发现在拥有或 租用了灾难备份中心的公司中，56%使用了商业化的灾难备份服务， 29%使用自有的灾难备份中心，15%在商业化灾难备份服务的基础上同 时拥有自己的备份设施。两项相加，使用灾难备份服务外包的比例达到 了71%。 从用户的行业划分来看，灾难恢复行业面向的主要客户还是金融业。 事实上，有近一半的灾难备份中心是专门为金融行业服务的。据 CPR估 计，美国灾难恢复行业的年销售额中有 45%来自金融行业。 西方发达国家重要机构都在远离主数据中心的地方拥有一个灾难恢 复系统，如美国的Wells Fargo Bank、法国的法兰西银行、新加坡的 Citibank 等。对于信息系统依赖程度较高的公司往往需要拿出 IT 总预算 的 7%～15%用于灾难恢复，每月要支付大约 5 万～10 万美元的费用， 大公司甚至达到每月 100 万美元。据 Meta 预测，在全球大公司中，用 于业务连续计划的投入将会持续上升，到 2007 年，这笔投入将平均达 到 7%。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
互联网网络信息安全中的灾难恢复技术
一、灾难恢复的定义
灾难恢复( Disaster Recovery)就是将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态，并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。
灾难恢复所需的时间是灾难恢复中最关键的性能指标。
灾难恢复系统是为了保障计算机系统和网络系统在发生灾难的情况下，能够迅速地得以恢复到原来状态而特意建立的一整套完整的系统，它包括备份运行系统、可重置路由的数据通信线路、电源以及数据备份等。
此外，灾难恢复系统的制定还应该包括对该系统的测试和对使厢人员的培训，这将有助于参与灾难恢复系统的人们能够更好地对灾难的发生作出合理的反应。
二、灾难恢复的种类
按照数据恢复范围的大小，保护缓冲区免受缓通常可以分为三类：一类是个别文件恢复，另一类是全盘恢复，还有一类是重定向恢复。
个别文件恢复。
如果系统受到的破坏不是很严重，或者是攻击刚刚开始就被阻止，攻击造成的破坏仅仅是小部分范围，就可以实施个别文件恢复。
针对受损的个别文件，只需浏览备份数据库的目录，找到该文件，触发系统的恢复功能，恢复软件将可以自动恢复指定的文件。
全盘恢复。
全盘恢复一般用在服务器发生意外灾难导致数据全
部丢失、系统崩溃或是有计划的系统升级、系统重组等情况，也称为系统恢复。
重定向恢复。
重定向恢复是将备份的文件恢复到另一个不同的位置或系统上去，而不是进行备份操作时它们当时所在的位置。
重定向恢复可以是对整个系统进行恢复，也可以是针对个别受损文件单独进行恢复。
三、灾难恢复的步骤
1．切断入侵者的访问途径
这个步骤的目的是要阻止入侵者继续入侵，避免入侵者对系统造成更严重的破坏。
如果在恢复过程中没有切断入侵者的访问途径，入侵者就可能干扰并破坏恢复工作，导致恢复操作失败。
2．复制一份被侵入的系统
在进行入侵分析之前，先备份被入侵过的系统，保留一份原始的入侵数据和记录，以便作分析。
如果将来决定要对入侵行为进行法律诉讼，这些数据也将成为有力的证据。
在必要的时候，可以将这些数据存档。
3．分析入侵途径
通过对入侵途径的分析，可以了解到入侵者进入系统的手段，知道系统目前存在的安全漏洞，从而为今后的系统修补打下基础。
入侵途径的分析，有助于管理员发现入侵者留下的“后门”和对系统的改动。
这些信息对于评估系统的受损程度有着重要的意义。
4．遗留物分析
遗留物主要是入侵者在系统中留下的攻击痕迹，如“后门”、木马程序、被篡改的文件等。
(1)检查入侵者对系统软件和配置文件的修改。
在检查入侵者对系统软件和配置文件的修改时，必须要记住的是所使用的校验工具本身可能已经被入侵者修改过，操作系统的内核也可能被修改了。
用这些被修改过的工具、系统内核检测是不安全的，因此，最好甩一个可信的内核去启动系统，然后使用一个静态连接的干净系统和工具来进行检测。
(2)检查被修改的数据。
为了以后再次入侵，或者是达到入侵的某种目的，入侵者通常会修改系统中的数据和文件，所以要对Web 页面文件、存档文件、用户目录下的文件以及其他文件进行校验，以免遗留下入侵者特意留下的特洛伊木马和“后门”。
(3)检查入侵者留下的文件和数据。
入侵者一般会在系统中留下以下种类的文件：
网络监听工具。
网络监听工具就是监视和记录网络行为的一种攻击程序。
入侵者通常会使用网络监听工具来获得网络上使用明文进行传输的用户名和密码。
特洛伊木马。
入侵者通常利用特洛伊木马程序隐藏自己的行为，以获得用户名和密码数据，建立“后门”，方便自己将来再次入侵系统。
安全缺陷攻击程序。
系统运行存在安全缺陷的软件是系统被侵入的一个主要原因。
入侵者经常会使用一些针对安全缺陷的攻击工具
来获得对系统的非法访问权限，这些工具经常会留在系统中某个隐蔽的目录里。
一是为了隐藏自己的攻击行为，二是为下次的入侵做准备，因此，对于隐藏目录下的不明程序要特别留意。
“后门”。
“后门”程序将自己隐藏在被侵入的系统中，入侵者通过它就可以绕开系统正常的验证，不必使用安全缺陷攻击程序就进入系统。
其他工具。
入侵者可能还会留下其他入侵工具，这些工具包括系统安全缺陷探测工具、系统漏洞扫描工具、对站点发起大规模探测的脚本程序、发起拒绝服务攻击的工具、使用被侵入主机计算机网络资源的程序等。
入侵工具或程序留下的日志文件，其中包含着入侵工具的入侵日志等信息，例如Ping通过了哪个端口，哪个用户的登录账号是空密码等。
(4)检查网络监听工具。
入侵者侵入系统后，为了获得用户名和密码信息，一般会在系统上安装一个网络脏听程序。
对于NT系统，入侵者则通常会打开另外的端口，用远程管理程序实现监听的目的。
要判断系统是否被安装了网络监听工具，首先要看当前是否有网络接口处于混杂( Ptomiscuous)摸式。
如果任何网络接口处于混杂模式，就表示可能系统被安装了网络监听程序。
不过一些合法的网络监听程序和协议分析程序也会把网络接口设置为混杂模式，因此，检测到系统处于混杂模式后，还要找出使用该设备的系统进程。
5．评估入侵影响，重建系统
以上所有对入侵的分析，都是为了对入侵行为给系统造成的影响进行恰当地评估，从而决定应采取哪些措施来恢复和重建系统。
单纯的恢复或重建系统相对来说要容易一些，只要按照上述步骤操作，抹掉入侵者的入侵痕迹、途径，修补好系统安全隐患，重新试运行系统，或者重新安装系统后有针对性地进行新的安全配置就可以了。
一般来说，在系统重建之后，往往要先试运行一段时间，以判断新系统是否已经足够安全。
6．清理遗留，恢复系统
这一步是针对上面第四步来进行的。
对前面分析出来的入侵者遗留下来的入侵痕迹要全部清理掉，以免给系统遗留下安全隐患。
尤其是入侵者留下的入侵工具、“后门”和特洛伊木马，不清理掉，入侵者很容易就可以通过这些遗留的工具再次进入系统，实施破坏行为。