前言
在网络安全领域，有一句广为人知的话：“没有绝对的安全”。这意味着任何系统都有可能被攻破。安全攻击的发生并不可怕，可怕的是从头到尾都毫无察觉。当系统遭遇攻击时，企业的安全人员需要立即进行应急响应，以将影响降到最低。
由于本人水平有限，文章中可能会出现一些错误，欢迎各位大佬指正，感激不尽。如果有什么好的想法也欢迎交流。
网络安全应急响应定义
网络安全应急响应是指针对已经发生或可能发生的安全事件进行监控、分析、协调、处理，以保护资产安全。它的主要目的是提高人们对网络安全的认识和准备，以便在遇到突发网络安全事件时能够有序应对、妥善处理。
常见的安全事件
不同的安全事件类型需要不同的应急方式。以下是一些常见的安全事件类型：
- Web入侵：包括挂马、篡改、Webshell等。
- 系统入侵：包括系统异常、RDP爆破、SSH爆破、主机漏洞利用和提权等。
- 病毒木马：包括远控、后门、勒索软件、挖矿程序等。
- 信息泄漏：包括数据库弱口令等导致的泄露。
- 网络流量攻击：包括频繁发包、批量请求、DDoS攻击、流量劫持等。
- 新增漏洞：新发现的漏洞类型。
应急响应需解决的问题
发生上述安全问题时，我们需要解决以下几个关键问题：
- 本次事件的影响范围有多大？
- 如何遏制本次攻击？
- 本次安全事件的入侵路线是什么，如何堵住入口？
- 如何让业务恢复正常？
应急响应流程（PDCERF模型）
目前使用最广泛的应急响应流程是PDCERF模型。该方法将应急响应流程分成准备阶段、检测阶段、抑制阶段、根除阶段、恢复阶段和总结阶段。每个阶段都有明确的目的和响应顺序。
- 准备阶段：
包括应急响应的规范制度、技术工具和平台的搭建运营等。需要制定并落实制度规范，通过模拟演练提升处理效率。技术工具包括静态编译工具、日志分析工具等；平台则负责集中分析各种安全系统采集的日志。 - 检测阶段：
主要检测事件是否已经发生或正在进行，以及事件产生的原因。确定事件的性质和严重程度，选择适当的检测工具进行分析，提高系统或网络行为的监控级别。 - 抑制阶段：
主要任务是限制攻击/破坏的波及范围，降低潜在损失。抑制活动必须结合检测阶段发现的安全事件属性来制定和实施正确的抑制策略。 - 根除阶段：
通过事件分析找出根源并彻底根除，以避免再次发生类似攻击。加强宣传，公布危害性和解决办法，呼吁用户解决终端问题。 - 恢复阶段：
主要任务是把被破坏的信息彻底还原到正常运作状态。包括从可信的备份介质中恢复用户数据、打开系统和应用服务、恢复系统网络连接等。 - 总结阶段：
回顾并整合应急响应过程的相关信息，进行事后分析总结和修订安全计划、政策、程序。包括形成事件处理的最终报告、检查应急响应过程中存在的问题、评估应急响应人员的沟通效果以及分析事件原因等。
应急响应排查思路
在现场处置过程中，首先要确定事件类型和时间范围。针对不同的事件类型对事件相关人员进行访谈，了解事件发生的大致情况及涉及的网络、主机等基本信息。制定相关的应急方案和策略后对相关的主机进行排查，一般会从系统排查、进程排查、服务排查、文件痕迹排查、日志分析等方面进行。最后整合相关信息进行关联推理并给出事件结论。
应急响应的前提
巧妇难为无米之炊，应急响应有一个前提，那就是我们能够发现入侵行为的发生以及我们保留了入侵行为的日志等文件。这要求我们具备以下能力：
- 入侵的感知能力：
通过多种设备如WAF、HIDS、蜜罐、NIDS等发现入侵行为。搭建纵深的防御与检测体系，帮助我们及时发现入侵行为。 - 数据采集、存储和检索能力：
还原攻击路径的一个最主要方式就是通过日志以及流量的信息。因此我们需要具备对全流量数据协议进行还原、对还原的数据进行存储以及对存储的数据快速检索的能力。
总结
本篇文章对应急响应的一些基础知识做了一个大概的总结。后续还将继续针对每种不同类型的事件如何去具体分析进行总结和分享。