[TOC] ## 事件级别 ~~~ 1、特别重大事件 红色预警、一级响应 2、重大事件 橙色预警、二级响应 3、较大事件 黄色预警、三级响应 4、一般事件 蓝色预警、四级响应 ~~~ ## 事件类型 ~~~ 1、应用安全 WebShell、网页篡改、网页挂马… 2、系统安全 勒索病毒、挖矿木马、远控后门... 3、网络安全 DDoS攻击、ARP攻击、流量劫持... 4、数据安全 如数据泄露、损坏、加密... ~~~ ## 应急响应模型 ~~~ 1、准备阶段（Preparation） • 应急团队建设 • 应急方案制定 • 渗透测试评估 • 安全基线检查 2、检测阶段（Detection） • 判断事件类型 • 判断事件级别 • 确定应急方案 3、抑制阶段（Containment） 限制攻击/破坏波及的范围，同时也是在降低潜在的损失： • 阻断：IP地址、网络连接、危险主机…. • 关闭：可疑进程、可疑服务….. • 删除：违规账号、危险文件…. 4、根除阶段（Eradication） 通过事件分析找出根除源并彻底根除，以避免被再次利用： • 增强：安全策略、全网监控…. • 修复：应用漏洞、系统漏洞、补丁更新….. • 还原：操作系统、业务系统….. 5、恢复阶段（Reconvery） 把被破环的信息彻底还原到正常运作的状态： • 恢复业务系统 • 恢复用户数据 • 恢复网络通信 6、总结阶段（Follow-up） 回顾并整合应急响应过程的相关信息，进行事后分析总结和修订安全计划、政策、程序，并进行训练，以防止入侵的再次发生： • 事件会议总结 • 响应报告输出 • 响应工作优化 ~~~