14、网络安全威胁应对与防护策略

网络安全威胁应对与防护策略

1. 应对实时威胁

在很多组织中，当唯一接受过取证成像工具使用培训的人员不在办公室时，就会在处理活跃的安全事件时陷入困境。往往需要数天时间，被隔离的机器才能送到该人员手中进行检查，而此时攻击已无法真实反映当前威胁。这种无法与威胁同步或更快响应的情况，使防御者只能扮演取证清理员的角色，即在威胁行为者达成目标后收集证据并清理感染。

1.1 建立取证能力

• 组建专业团队 ：投入资源建立一个具备专业设备、丰富经验、相关认证和授权的专业团队，专门从事计算机取证工作。
• 准备取证工具包 ：配备写保护设备、安全硬盘以及其他专业软件和设备。
• 部署取证代理 ：确保所有用于捕获和分析的系统都安装有合适的取证代理，以便团队能够立即识别、定位、隔离并收集相关信息。
• 员工培训与意识提升 ：确保所有员工了解如何协助取证团队识别和定位受影响的系统，并妥善保存证据。若距离上一次取证调查已超过一个月，组织团队进行复习培训或演练。
• 分析取证报告 ：在完成取证报告后，仔细研读以找出安全事件的根本原因，并采取积极措施修复被利用的漏洞。

1.2 实施蜜罐伏击

在合适的情况下，授权团队主动伏击威胁行为者，而不仅仅是追踪他们的踪迹或使用蜜罐捕获。这需要与云服务提供商、互联网服务提供商、域名注册商、虚拟专用网络服务提供商、互联网犯罪投诉中心、金融服