本節探討管理網絡事件所需的技術、日志和證據。我們還會檢查在事件期間可能需要采取的技術操作和分析類型。

　　成功的技術響應需要有經驗和技能的人員，以及工具、特定的網絡設置和數據訪問權限。

　　內容

　　提供重要信息

　　日志管理和證據捕獲

　　證據數據捕獲

　　技術響應

　　分流

　　遏制

　　分析

　　補救/根除

　　恢復

　　數據安全向第三方提供數據

　　如果向供應商提供數據，歐盟有GDPR 要求必須考慮數據控制者的所有權及其能力。我國現已經頒布施行《中華人民共和國數據安全法》，有關數據安全的原則依據相關法律法規執行。

　　提供重要信息

　　網絡信息

　　清楚了解網絡對于所有響應階段都很重要。它可以將技術調查的發現階段從幾天縮短到幾小時。它還可以確保成功采取遏制和補救措施。

　　網絡圖和支持信息應該至少可以顯示：

　　互聯網網關

　　IP 地址范圍和任何單獨的 VLAN

　　遠程訪問

　　關鍵系統（文件服務器、平臺、域控制器、網絡服務器）

　　服務器的物理位置

　　您還應該記錄在事件響應過程中可能有用的所有安全設備和軟件。

　　圖片

　　證據和日志可用性

　　任何事件都至少需要一些基本數據來進行分類和分析。

　　請記住，證據對于證明某事沒有發生與證明它發生過同樣重要。

　　證據和日志的類型

　　在考慮日志記錄的內容和方式時，應該參考良好實踐指南并從任何外部安全提供商那里收集輸入。還應該探索許多事件場景，以便了解調查此類事件可能需要哪些數據。

　　典型的日志和證據類別應包括：

　　外網通訊：

　　網絡流量——元數據和數據包捕獲（防火墻、IDS/IPS、代理、DHCP、DNS）

　　電子郵件 - 電子郵件日志、完整的電子郵件文件、電子郵件系統的審計日志

　　身份驗證和訪問：

　　賬戶活動 - 域控制器和活動目錄日志

　　遠程登錄 - 如上所述加上潛在的 RDP、VPN 和類似

　　（其他）內部網絡活動：

　　本地系統活動 - 事件日志、防病毒日志、任何其他主機安全軟件日志以及系統的完整映像或內存轉儲

　　面向 Web 的系統：Web 日志和可能與上述類似的主機日志

　　可能還需要考慮其他系統和專業軟件：

　　信息存儲（文件管理系統和數據庫）

　　金融系統

　　操作技術系統——應該考慮這些存在哪些日志和證據

　　云服務特定日志

　　資產和配置信息

　　除了這些日志和證據來源之外，您還應該記錄您的 IT 資產和配置。

　　此信息在事件響應期間特別有用，因為它將幫助了解受影響資產的“位置”和“內容”并評估事件的嚴重性。

　　日志管理和證據捕獲

　　提供日志可以如何組織和保留更多的細節。但是，我們在下面概述了記錄和證據捕獲的最低限度和增強方法。

　　最低：

　　記錄可用的日志和數據源，以在事件期間節省寶貴的時間

　　了解如何訪問和檢索日志以進行分析，以及誰可以執行此操作

　　檢查日志是否易于搜索 - 例如，您能否在過去 2 個月的防火墻日志中搜索特定 IP？

　　理想情況下，將日志保留至少 3 個月——如果可能的話更長——并確保仍然可以提取歸檔日志

　　能夠提供對物理機的訪問。 如果使用全盤加密，請確保可以獲取解密密鑰并解密數據。

　　為調查加強證據和記錄：

　　確保所有證據或日志源同步到相同的時間服務器和時區（這可以極大地幫助關聯事件）

　　如果合適，就捕獲內存和磁盤映像的基礎知識培訓員工

　　確保所有日志都有相關字段，或者相關日志可以關聯 - 例如，在某些設置中可能需要將 DHCP 日志與防火墻日志關聯

　　如果需要，能夠以純文本格式檢索日志以供其他方分析

　　改進證據捕獲和日志可用性的其他措施：

　　將日志流式傳輸到中央位置和系統，以實現快速關聯和分析（例如 SIEM 工具或 SOC）。這也可能包括來自主機的本地事件日志。

　　保留完整的數據包捕獲（更短的時間）

　　云中的系統或數據：

　　默認情況下，云/托管服務提供商可能不會打開或允許管理員訪問所有日志記錄。

　　與云提供商合作，確保可以在需要時（直接或通過他們的員工）訪問相關數據。

　　證據數據捕獲

　　當事件可能導致法院采取行動時，可能有必要收集證據數據。至少值得提供證據袋，并為當地 IT 人員提供有關如何捕獲系統和安全存儲系統的一些基本指導。

　　日志測試

　　檢查和測試日志可用性和提取至關重要。

　　由于缺乏日志數據，許多調查受到阻礙。通常，這是組織認為他們擁有但尚未驗證的數據。

　　技術響應

　　技術響應通常包括分類、遏制、分析、補救和恢復階段。這些階段可能包括非技術元素，例如媒體處理或法律考慮。請注意，對于成功的響應，團隊技能和經驗與技術同樣重要。

　　技術響應的階段如下圖所示。網絡事件響應流程部分提供了顯示其他非技術元素的更完整圖表。

　　流體過程

　　技術響應過程中的各個階段循環和重疊。例如，在修復階段可能會進行一些不太重要的分析。類似地，可以在整個初始分析階段采取遏制和緩解措施。

　　您的供應商的能力

　　如果依賴供應商（例如托管基礎設施或托管提供商）來采取技術行動，應該考慮他們的能力、可用性以及與他們簽訂的服務水平協議 （SLA）。

　　為了取得成功，通常需要在整個 IT 資產中同步操作，以便一次性消除感染。

　　分流

　　分類涉及事件類型和嚴重性的分類，以便可以優先考慮后續行動。它主要由一組明確的事件類型定義和事件的觀察影響指導。分類過程的更詳細處理可以在開發網絡事件過程部分找到。

　　這個階段在很大程度上依賴于證據和數據的可用性以及對其進行分析的能力。

　　遏制

　　在此階段，采取行動防止威脅進一步傳播，或以某種方式降低其影響。

　　這項工作應盡快開展，并應在整個事件響應過程中繼續進行。有關特定操作的列表，請參閱下面的修復部分。

　　不要反應過度

　　在收容期間，重要的是要考慮為處理事件可能采取的任何行動的潛在影響。

　　反應過度會造成比事故本身更大的損害。在有針對性的攻擊的情況下，攻擊者可能會做出反應或將自己更深入地埋在您的網絡中。

　　在某些情況下，在采取行動之前進一步監控和分析可能會更好。您需要根據具體情況對此進行評估。

　　了解要采取的正確行動的關鍵是創建自己的特定于組織的指南并練習不同的場景。這將幫助組織確定適合組織和 IT 設置的最佳操作，以及建立員工體驗。當時機到來時，將因此做好更好的準備，更有可能采取最合適的行動。

　　分析

　　通常，此階段的首要任務是學習足夠的知識以遏制并最終修復攻擊。但是，要做到這一點，可能還需要了解啟用攻擊的條件，并詳細了解攻擊者在訪問您的系統時的行為。

　　當發現新信息時，可能需要在此階段和遏制/緩解工作之間循環。

　　為了在內部執行一些基本的分類和分析，以下步驟可能有用：

　　與用戶互動以了解他們觀察到或做了什么（例如單擊鏈接）

　　分析活動目錄、遠程訪問和電子郵件等日志以了解活動。在某些情況下，這可能涉及對網絡流量日志（例如防火墻）的基本搜索

　　使用開源威脅情報（例如博客和開源沙箱）。

　　許多事件需要更復雜的分析。這將包括以下內容：

　　完整主機（磁盤/移動/服務器）取證

　　網絡流量和日志分析（通常非常大，因此可能需要專業工具）

　　高級惡意軟件分析

　　許多不同事件、日志和數據源的相關性

　　這種類型的分析通常外包給專家。但是，對于目標明確的組織而言，在內部培養更高級的功能可能是有益的，并且可以降低成本。這也意味著進行分析的人員已經對網絡有了深入的了解。

　　在某些情況下，在修復/根除階段可能會繼續分析。例如，當了解足夠多的威脅以將其從網絡中完全移除時，需要進行更多分析以準確確定攻擊期間發生的情況，以便法律、監管和其他外部利益相關者了解情況。

　　補救/根除

　　在此階段，威脅已從網絡中完全消除。

　　遏制和補救雖然不同，但通常需要類似的能力：

　　系統隔離（可以包括關鍵系統、虛擬機、網站）

　　重置憑據和阻止或鎖定遠程訪問的能力

　　阻止入站/出站流量和電子郵件

　　刪除惡意文件（清理或重建機器、清理用戶配置文件、使用 AV 掃描、部署腳本）。

　　修復需要仔細規劃。

　　更高級的功能包括：

　　及時采取行動的能力，包括非工作時間（如果需要，考慮供應商 SLA 和員工可用性/隨叫隨到）

　　同步整個莊園的一系列行動，包括不同的時區和國家（特別是修復）

　　更復雜的操作，例如：

　　重置域管理員和服務賬戶，以及范圍內的重置

　　遠程隔離或隔離機器或部分網絡

　　遠程阻止或刪除惡意文件和/或進程

　　阻止或警告特定模式（例如流量模式）

　　監控網絡和主機活動以確認操作是否成功。

　　確認修復成功

　　在開始恢復之前，應該始終確認修復已成功。

　　至關重要的是，員工可以授權關鍵決策，例如使客戶數據庫或網站脫機。

　　實際執行操作所需的人員必須知道他們需要聯系誰、如何聯系他們以及何時聯系。這適用于供應商以及內部員工。

　　作為網絡事件和響應的一部分，連續性規劃應考慮中斷和停機時間。這應該與災難恢復計劃相關聯。

　　在此階段可能還需要處理非技術性操作。這可能包括媒體處理、客戶支持和監管或法律職責等。有關更多詳細信息，請參閱流程頁面。

　　必須確認備份是干凈的

　　只有干凈的數據才應該被復制回干凈的系統和網絡。

　　提示：  僅備份“數據”（即工作文檔而不是系統文件）將有助于防止隱藏在備份中的可執行文件（因此感染）。

　　恢復

　　在這一點上，攻擊者已被移除的可信度很高。此時的主要目標是恢復“一切照舊”。這意味著讓網絡恢復到干凈的狀態，并最終確定監管機構、媒體和客戶處理等事項。

　　隨著干凈的系統重新上線，臨時塊和其他措施可以被刪除， 除非認為將它們保持在更永久的基礎上是有價值的。

　　技術恢復的注意事項

　　在最壞的情況下，當數據或系統被損壞（例如被勒索軟件加密）或丟失時，備份應該可用于恢復和/或可用的備用設備和系統。

　　為了幫助恢復過程，應該：

　　對數據進行離線/隔離備份，因為在線備份可能會受到影響。

　　將備份保留一段時間，而不是只有一個滾動備份，因為如果在覆蓋備份之前沒有注意到感染/損壞，這不會提供太多保護。

　　考慮在檢測到某些內容之前可能需要多長時間，并確保您的備份保留更長時間 - 至少一個月。

　　考慮備份系統配置（例如專業系統）

　　查看備用設備的可用性。如果感染未知和/或難以清除，您可能需要更換或完全重建設備。