网络安全与实践 信息安全讲义 5 应急响应、备份和恢复.pdf

应急响应、备份和恢复

崔宝江博士

北京邮电大学信息安全中心

cui_bj@

北邮•信息安全中心•崔宝江

应急响应、备份和恢复

•应急响应

•数据备份和恢复技术

北邮•信息安全中心•崔宝江

应急响应、备份和恢复

•应急响应

重新获得控制权

从网络中断开

备份被攻破的系统镜像

启动安全系统，把泄密系统挂到安全系统

分析入侵

寻找被修改的程序或配置文件

寻找被修改的数据，如webpages,

寻找入侵者留下的工具和数据

#find/\(-perm-004000-o-perm-002000\)-typef–print

Tar–d显示备份系统与被破坏系统的差别

Md5sum检查被更改的rpm包

检查日志文件messages,xferlog,utmp,wtmp,~/.history

北邮•信息安全中心•崔宝江

应急响应、备份和恢复

•应急响应

恢复

安装一份干净的操作系统

关掉所有不必要的服务

安装所有的补丁

修改所有用户口令

根据UNIX/Windows的安全配置指南文件检查系统安全性

/tech_tips/unix_configuration_guideline

s.html

.au/Information/Auscert_info/Papers

/win_configuration_guidelines.html

安装安全工具

激活记账功能

配置防火墙

北邮•信息安全中心•崔宝江

应急响应、备份和恢复

•数据备份和恢复技术

高可用性系统

网络备份

SAN备份

灾难恢复方案

北邮•信息安全中心•崔宝江

应急响应、备份和恢复

•数据备份和恢复技术

高可用性系统

Heart-link

检测线

业务主机A业务主机B

SwitchSwitch

北邮•信息安全中心•崔宝江

SwitchASwitchB

应急响应、备份和恢复

•数据备份和恢复技术

高可用性系统

–两台服务器分别运行后台检测进程和控制进程

–检测进程定时收集磁盘、网络、串口等信息

–控制进程通过串口、网络和共享磁盘实现通信，交换信息

–发现故障进行接管处理

–接管后IP地址动态切换

–自动对ARP缓冲空间进行刷新