某大厂应急响应事件标准处理流程

某大厂应急响应事件标准处理流程 本文档旨在介绍某大厂应急响应事件标准处理流程，涵盖了 WEB 类安全事件和系统恶意程序事件的处理过程。下面将详细介绍每个阶段的处理流程和相关知识点。 事件确认阶段： 在事件确认阶段，负责人对接客户，了解具体安全事件详情并记录问题情况。然后，登录发生安全事件系统查看实际状态，并根据客户描述现象与系统实际现象，对事件进行确认，定性。这一阶段的关键是快速响应和确认事件的严重性，以便及时采取相应的措施。 事件抑制阶段： 在事件抑制阶段，需要断开网络连接，关闭特定的业务服务，关闭操作系统。这一阶段的目的是尽快阻止恶意活动，避免进一步的损害。 事件处理阶段： 在事件处理阶段，需要清理系统中存在木马、病毒、恶意代码程序，清理 WEB 站点中存在的木马、暗链、挂马页面，恢复被黑客篡改的系统配置，删除黑客创建的后门账号，删除异常系统服务、清理异常进程，恢复正常业务服务。这一阶段的目的是全面清理恶意活动的影响，恢复系统的安全和稳定。 原因分析阶段： 在原因分析阶段，需要从网络流量、系统日志、WEB 日志记录、应用日志、数据库日志、安全产品数据等，分析黑客入侵手法，调查造成安全事件的原因，确定安全事件的威胁和破坏的严重程度。这一阶段的目的是了解黑客的攻击手法和目的，避免类似事件的再次发生。 提交报告阶段： 在提交报告阶段，需要根据整个事件情况写《XXX 安全事件应急响应报告》，文档中描述整个安全事件的现象、处理过程、处理结果、事件原因分析，并给出相应的安全建议。 结束跟踪阶段： 在结束跟踪阶段，将继续跟踪事件处理结果，确认客户对安全事件处理的结果质量进行审查。 WEB 类安全事件处理： 在 WEB 类安全事件处理中，需要检测网站是否被上传恶意黑链，使用 Google 搜索引擎和 SafeBrowsing 协议检测网站的安全信息，使用在线检测工具进行检测等。 系统恶意程序事件处理： 在系统恶意程序事件处理中，需要检测系统响应缓慢、非繁忙时段流量异常、存在异常系统进程和服务、存在异常的外连现象等。 某大厂应急响应事件标准处理流程涵盖了事件确认、事件抑制、事件处理、原因分析、提交报告和结束跟踪六个阶段，每个阶段都有其特定的处理流程和相关知识点。只有通过标准化的处理流程，才能确保安全事件的快速响应和有效处理。