1、信息安全事件响应与监测全解析

信息安全事件响应与监测全解析

1. 信息安全现状与需求

在过去几年里，威胁的规模、复杂性和影响力都发生了巨大的变化，并且还在持续增加。有效的检测和响应需要更多的努力和更高的技术水平。构建、完善和维护一个高效的事件响应团队并非易事。许多安全团队都在与攻击者进行着激烈的斗争，但只有少数团队能够做得很好。

1.1 传统安全工具的局限性

昂贵的安全监控和预防工具并不能确保安全。成功的计算机安全事件响应团队（CSIRT）意识到入侵是不可避免的，最佳方案是结合培养威胁情报、进行警惕的早期监测以及快速彻底的响应。拥有合适的数据和工具并不意味着有合适的人员来查看和正确响应这些数据，操作经验是无法被单一的工具或威胁源所替代的。

1.2 数据驱动的策略

一种有效的策略是收集、组织、挖掘、增强和分析尽可能多的相关数据源，以寻找入侵和安全漏洞。这种策略被称为“剧本”（playbook），它可以帮助检测不可避免的安全事件，减少损失，提供足够的信息与事件响应社区共享，并防止成功的攻击再次发生。

2. 适用人群与解决的问题

2.1 适用人群

本书适用于 IT 和信息安全（InfoSec）专业人员，特别是事件或应急响应团队、InfoSec 经理或主管，以及 IT 架构师。他们希望开发新的安全监控和事件响应程序，或者将现有的程序升级到更现代、更有效的方法。

2.2 解决的问题

• 如何在网络中找到恶意行为者？
• 如何找到持续的攻击者？
• 如何应对普遍存在的恶意软件威胁？
• 如何检测