02.19.应急响应服务技术白皮书v2.0.docxVIP

绿盟科技安全服务技术白皮书

应急响应服务

■文档编号

NSF-2014SI

■密级

内部使用

■版本编号

3.0

■日期

2016/9/26

?DATE\@yyyy2016绿盟科技

■版权声明

本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属DOCPROPERTYCompany绿盟科技所有，受到有关产权及版权法保护。任何个人、机构未经DOCPROPERTYCompany绿盟科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。

■版本变更记录

时间

版本

说明

修改人

2014/01/01

V1.0

文档创建、丰富内容

安全服务部

2014/12/12

V2.0

丰富内容

安全服务部

2016/9/26

V3.0

丰富内容

安全服务部

■适用性声明

本文档是主要介绍北京神州绿盟信息安全股份有限公司（以下简称“绿盟科技”）的应急响应服务具体内容和方法，用于客户的相关人员了解绿盟科技的该项服务。

-PAGE\*ROMAN

-PAGE\*ROMANI-

目录

TOC\h\z\t附录1（绿盟科技）,1,附录2（绿盟科技）,2,附录3（绿盟科技）,3,附录4（绿盟科技）,4,标题1（绿盟科技）,1,标题2（绿盟科技）,2,标题3（绿盟科技）,3一.概述 1

1.1基本概念 1

1.2应急响应的必要性 1

1.3客户收益 1

二.服务的实施标准或原则 2

2.1政策文件或标准 2

2.2服务原则 2

三.绿盟科技应急响应服务 3

3.1服务范围 3

3.2服务方式 4

3.2.1现场服务和远程服务 4

3.2.2单次服务和年度服务 4

3.3服务流程 4

3.3.1事件优先级定义 4

3.3.2事件处理流程 5

3.3.3事件升级流程 6

3.4服务特点 7

3.5服务报告 7

3.6服务注意事项 7

3.6.1使用安全的工具 8

3.6.2严格流程化操作 8

3.6.3操作记录 8

四.应急响应方法论 8

4.1Windows系统检测 8

4.1.1常规 8

4.1.2恶意代码 9

4.2类Unix系统检测 9

4.2.1常规 9

4.2.2恶意代码 10

4.3Web应用检测 10

五.相关工具 10

5.1信息收集 10

5.2恶意代码检测 11

5.3Web日志分析 11

六.为什么选择绿盟科技 11

DOCPROPERTYTitle绿盟科技安全服务技术白皮书

PAGE11

-PAGE12-

?DATE\@yyyy2016绿盟科技 密级：内部使用

概述

基本概念

紧急响应（EmergencyResponse）又称为应急响应，是指安全技术人员在遇到突发事件后所采取的措施和行动。而突发事件则是指影响一个系统正常工作的情况。这里的系统包括主机范畴内的问题，也包括网络范畴内的问题，例如黑客入侵、信息窃取、拒绝服务攻击、网络流量异常等。

应急响应的目标通常包括采取紧急措施和行动，恢复业务到正常服务状态；调查安全事件发生的原因，避免同类安全事件再次发生；在需要司法机关介入时，提供法律认可的数字证据等。

应急响应的必要性

应急响应是一项需要充分的准备并严密组织的工作。它必须避免不正确的和可能是灾难性的动作或忽略了关键步骤的情况发生。这就需要掌握足够的安全技能，并且具备一定的追踪侦查能力、沟通能力、心理学知识并且掌握必要法律知识的专业安全人士的参与。大多数情况下，企业并不具有具备以上知识的专业人员。

安全厂商作为常年研究安全技术、实时跟踪安全动态的专业公司，对分析各种流行的安全问题和事件均有着自己成熟的思路和丰富的技术手段。在这方面，无疑能为其客户提供应急响应支持相关的服务内容。

应急响应是安全运维服务体系的一个重要组成部分。

客户收益

对于客户而言，应急响应可以为其带来以下收益：

问题快速定位与处理

安全厂商凭借其在应急响应领域丰富的经验和强大的事件分析处理能力，能够更加快速地帮助客户追踪到事件的源头。而且，对于事件的应对方法，各厂商也有自己独到的经验和技巧。

提高安全技能

在支持人员与客户相关人员的交互过程中，可潜移默化地提升用户的安全技能。

服务的实施标准或原则

政策文件或标准

绿盟科技应急响应服务将参考下列标准进行工作。

ISO/IEC27001:2005信息技术-安全技术-信息系统规