XXX局_应急演练脚本（会议版）定稿初稿、数据泄露+勒索.docxVIP

PAGE18

应急演练剧本

本次应急演练模拟黑客真实攻击方式，针对目前网络安全突出问题，以“数据泄露、勒索病毒”此类最常见的网络安全案事件为场景，以系统模拟靶机为主要目标，参照友链http://XXX克隆的网页为依托，开展本次应急演练活动。

主持人（中国电信XXX）：大家好！欢迎各位参加2023年度XXX局网络安全应急处置演练，有请网络安全和信息化工作领导小组组长郑艺强讲话。

网信工作领导小组组长（科长）：为妥善应对和处置网络信息安全突发事件，确保单位的重要信息系统安全、稳定、持续运行，防止造成重大损失和影响，提高我单位网络与信息系统应急保障能力，从而进一步加强单位的网络安全工作，提升网络安全防护意识和能力。我们今天举行网络安全应急演练活动，通过模拟网站篡改和勒索病毒事件的演练场景，让大家能够更好的了解遇到该类网络安全事件时如何开展应急处置工作。

主持人（中国电信XXX）：感谢科长，本次参与演练活动的人员主要为局网络安全和信息化工作领导小组成员代表、中国电信攻击队伍、市医保局防守队伍。

主持人（中国电信XXX）：本次演练设置了两种常见的安全事件场景，一是XXX局官网数据库遭受数据泄露；二是XXX局官网服务器遭受勒索病毒攻击。本次演练重点是检验相关工作人员是否能清楚判断事件级别并启动相应应急处置流程，能否最短时间内恢复业务，从而达到培训相关人员熟悉应急响应的流程、提升维护人员应急处置技能、完善应急响应预案的目的，保障在真正出现网络安全事件后，能够进行快速且有秩序、有条理的响应工作，保障信息系统能够正常运行。

主持人（中国电信XXX）：下面进入演练准备阶段，相关操作将通过显示屏展示，请攻击队伍和防守队伍进行演练前检查。

报告科长，2023年XXX局网络安全应急处置演练已准备就绪，可启动演练，请指示。

网信工作领导小组组长（科长）：开始演练！

一、演练场景一：XXX局官网数据库泄露场景（Ⅳ级响应）

主持人（中国电信XXX）：首先向大家展示的是本次应急演练的第一个场景：XXX局官网数据库泄露场景，XXX局信息和法规科安全员在工作中发现存放XXX局官网信息的云数据库被异地登录了，该数据库已设置了安全策略，出现异地登录会发出告警邮件通知管理员，并对此事件进行应急处置。

【模拟攻击队伍进行平台攻击操作，攻击完成后报告示意】

攻击队伍代表：现在开始模拟攻击队伍，进行攻击操作。报告攻击完成。

防守队伍值守人员：邮件接收到XXX局官网数据库平台管理账号存在异地登录的提醒，向负责人报告。

主持人（中国电信XXX）：XXX局信息和法规科网络安全值守人员像往常一样登陆邮箱，看到一条邮件告警邮件，发现存放XXX局官网平台管理账号存在异地登录，经初步分析，该账号因超过3个月没有修改，组合较简单，有可能存在账号密码被破解导致数据库数据泄露安全隐患。根据《网络信息安全事件应急预案》要求，将发生的网络安全事件立即上报，并开展一系列应急处置工作。

防守队伍负责人（组长）：科长，我们单位XXX局官网数据库管理账号在九点十五左右有异地登录的情况，疑遭受数据泄露攻击，请指示。

网信工作领导小组组长（科长）：收到，请你们立即按照《XXX局网络安全事件应急预案》启动应急处置，马上开展隐患排查，请着重检查服务器管理账号是否存在弱口令情况。

防守队伍负责人（组长）：收到，请应急组先将该数据库系统进行断网处理，查看数据是否有丢失并配合排查。

安全员（XXX）：好的，收到。数据库系统主机已断网，暂停使用，数据暂未发现丢失现象。数据库异地登录经排查地址为境外地址，初步判断是黑客攻击行为。

网信工作领导小组组长（科长）：好的，情况我已了解！按照《XXX局网络安全事件应急预案》，本次网络安全事件定性为一般安全事件（Ⅳ级），请你们根据事件发生原因，有针对性采取措施，备份数据、保护设备、排查隐患，做好现场保护，控制事态发展，防止破坏蔓延，开展应急处置！将相关情况通报局办公室！

防守队伍负责人（组长）：好的，收到。我已同步将相关情况报局办公室，并已让应急人员按照预案中的方法进行应急处置。

【投屏演示排查措施】

安全员（XXX）：现开展排查包括文件分析、进程命令、系统账号、计划任务、日志分析等。经排查确认，这台主机的进程、账号等未发现问题，通过日志分析发现有一个境外ip（）通过nzb123456弱口令成功连到本台服务主机的3306端口。

【投屏演示加固措施】

安全员（XXX）：目前已将数据库系统设置为禁止外连，并阻断境外ip（）的连接，对将数据库登录口令更改为强口令Nzb@5683-CJL，并对服务器进行全盘杀毒处理，针对数据泄露事件会着重对系统进行关闭默认共享、关闭高危端口、加强系统各用户口令、同时为系统更新最新的安全补丁、开启全部的审计日志作异常登录溯源跟踪等操作。现先恢复服务器正常使