21、网络安全事件应对全攻略

网络安全事件应对全攻略

1. 是否需要 SIEM

对于小型组织而言，一个能生成简单警报的日志聚合工具，或者可供安全人员深入挖掘以发现威胁的工具，或许就足够了。然而，专业的安全信息和事件管理（SIEM）产品与服务的存在是有其原因的。从众多不同格式的日志中提取相关数据、关联不同来源的日志、识别常见攻击模式以及获取全球当前攻击的威胁情报，这些逻辑和规则十分复杂，内部很难复制实现。因此，许多大型环境要么使用 SIEM 产品或服务，要么聘请托管安全服务提供商来运行并协助应对。

2. 威胁狩猎

只有在完成基础工作，即收集与安全相关的日志和指标、解析它们并对系统生成的警报做出响应之后，才可以开展威胁狩猎。威胁狩猎是少数可以主动“找麻烦”而非被动响应特定警报的情况之一。具体步骤如下：
1. 提出假设 ：例如“也许我正受到高级持续性威胁 12345 的攻击”或“可能有人在觊觎我的宇宙飞船秘密计划”。
2. 查询数据 ：对已收集的数据进行查询，必要时收集新数据，以获取证据来证实或驳斥该假设。

3. 事件准备

3.1 外部援助决策

当遇到安全事件时，首先要决定何时寻求外部帮助。这在很大程度上取决于组织感知到的风险、事件的严重程度以及安全团队的规模。即使是大型且准备充分的组织，在应对更严重的安全事件时也可能需要外部援助。可以通过快速搜索找到许多事件响应公司，提前审核几家，以备不时之需。

3.2 网络安全保险

特别是对于小型团队且内部事件响应能力有限的组织，可考虑网络安全保险。有些情况下，这种保险