计算机网络信息安全理论与实践教程第20章

《计算机网络信息安全理论与实践教程第20章》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第20章应急响应技术的原理与灾害恢复20.1应急响应概念20.2应急小组组成与工作机制20.3应急方案20.4应急事件处理流程20.5应急响应技术与常见实用软件20.6应急响应案例分析20.7本章小结本章思考与习题1988年的“Internet蠕虫”攻击事件，促使美国政府成立了计算机安全应急组织CERT。尽管现在已有许多安全预防措施，但随着攻击方法的不断变化和进步，加上安全漏洞不断出现、安全管理疏漏等多方面因素，对网络系统构成的威胁只增未减。为保障网络的安全运行及信息安全，必须建立相应的应急组织，制定应急计划和应急措施，以便及时响应和处理网络中随时可能出现的

2、安全事件。20.1应急响应概念20.2应急小组组成与工作机制20.2.1应急小组组成一般来说，应急组织由应急保障领导小组和应急技术保障工作小组构成。领导小组的主要职责是领导和协调突发事件与自然灾害应急保障工作；应急技术保障工作小组的职责主要是解决安全事件的技术问题，包括物理实体及环境安全技术、网络通信技术、系统平台技术、应用系统技术等。应急组织的工作主要有：*安全事件响应；*安全事件与软件安全缺陷分析研究；*安全知识库开发与管理，包括漏洞知识、入侵检测；*发布安全信息，如系统缺陷公告；*教育与培训，包括安全管理及应急培训。20.2.2应急小组工作机制应急小组

3、是对组织的安全事件进行处理、协调或提供支持的团队，负责协调组织的安全紧急事件，为组织提供计算机网络安全的监测、预警、应急、防范等安全服务和技术支持，及时收集、核实、汇总、发布有关互联网安全的权威性信息，并与国内外计算机网络安全应急组织进行合作和交流。目前，我国已经基本建立了一个在国家网络与信息安全协调小组及其办公室领导下的“国家公共互联网安全事件应急处理体系”。该体系分为国家级政府层次、国家级非政府层次和地方级非政府层次三个层面，如图20-1所示。图20-1国家公共互联网安全事件应急处理体系20.2.3应急小组组成模式1．公益性应急响应组这类响应组由政府和公

4、益性组织资助，对社会所有用户提供公益性的服务。比如，CERT/CC由美国国防部资助，把自己的客户群定义成“互联网共同体(InternetCommunity)”，中国的CCERT、CNCERT也属于这一类。公益性的应急响应组一般提供如下服务：(1)对计算机系统和网络安全事件的处理提供技术支持和指导，一般通过电子邮件和电话方式进行。(2)安全漏洞或隐患信息的通告、分析。(3)事件统计分析报告。(4)安全事件处理相关的培训。使用公益性应急响应组资源的好处有两点：(1)它是免费的，或者费用很低。(2)由于公益性应急响应组面向的客户群很广，因此它们往往掌握非常丰富的信

5、息，并具有丰富的事件处理经验。2．内部应急响应组内部应急响应组由一个组织创建和资助，服务对象仅限于本组织内部的客户群。内部的响应组可以提供现场的事件处理，分发安全软件和漏洞补丁，提供培训和技术支持等，另外还可以参与组织安全政策的制定、审查等。内部应急响应组能提供较好的服务质量保证，但是需要专门的人力、物力投入。在外人看来，这些成员大部分时间无所事事。而且，由于成员只关注企业内部的事件，一般事件处理的经验很有限。3．商业性的应急响应组商业性的应急响应组根据用户的需要，为用户提供技术、程序、调查、法律支持。一个组织可以不必雇佣专门的应急响应人员，而是和商业性应急

6、响应组签约购买它们的服务。商业服务的特点在于服务质量有保障：在突发的安全事件发生时能及时响应，有的应急响应组甚至提供7×24的服务及现场的事件处理等。购买商业性的应急响应组所提供的服务也有缺点，它们需要为大量的客户提供服务才能维持特定的用户工作时间。4．厂商的应急响应组厂商的应急响应组一般只为自己的产品提供应急响应服务，同时也为公司内部的雇员提供安全事件处理和技术支持。许多软件厂商都有自己的应急响应组，例如SunMicrosystems、Microsoft、HewlettPackard、Cisco等。不同类型应急响应组织的相互关系图如图20-2所示。图20-

7、2不同类型应急响应组织的相互关系示意图20.3应急方案20.3.1应急方案内容应急方案是指在突发紧急情况下，按事先设想的安全事件类型及意外情形，制定处理安全事件的工作步骤。应急方案的基本内容应包括：*执行应急方案有关人员的姓名、住址、电话号码以及有关职能部门的联系方法。*详细列出系统紧急情况的类型及处理措施。*应急处理所要采取的具体步骤及操作顺序。20.3.2应急方案类型针对不同类型的安全事件，应当制定相应的应急方案。常见的安全事件类型有：*物理实体及环境类安全事件，例如意外停电、物理设备丢失、火灾、水灾等自然灾害。*网络通信类安全事件，例如网络蠕虫攻击等。

8、*主机系统类安全事件，例如计算机病毒、口令失效或丢失