17、事件响应规划与安全运营中心建设

事件响应规划与安全运营中心建设

事件响应规划

在信息安全领域，制定有效的事件响应计划至关重要，它能确保信息安全项目拥有必要的人员、流程和技术，以应对针对组织信息系统的安全事件。

1. 分析与行动
   • 首先要分析保存的信息以揭示事实，然后通过进一步调查、响应或报告来采取行动。例如利用开源工具，像 CAINE（http://www.caine - live.net/ ）和 SANS 调查取证工具包（SIFT，https://digital - forensics.sans.org/community/downloads ）。
2. 备份工具的使用
   • 大多数情况下，从备份中恢复环境比在入侵发生后尝试清理受影响的设备更安全。因为很难确定是否已正确清理受影响的设备。备份工具能让你在发生事件后恢复到一个完整的环境，包括数据。
   • 开源备份工具示例：Amanda（http://amanda.zmanda.com/ ）和 Clonezilla（http://clonezilla.org/ ）。规划备份工具的使用时，要考虑有足够的可用备份，确保恢复备份时不会恢复到包含恶意软件的数据，要能回溯到事件发生前的数据状态。
3. 事件后活动
   • 经验教训总结会议 ：事件结束后，召开经验教训总结会议很重要。要确定流程中需要改进的地方，如是否需要创建新程序、是否要向自动化工