网络安全事件调查与分析手册（执行版）.docxVIP

网络安全事件调查与分析手册（执行版）

第1章事件发现与初步响应

1.1安全事件识别标准与触发机制

安全事件识别的核心在于区分“正常行为”与“异常偏差”。系统需设定基线（Baseline），将正常流量、用户行为或系统状态进行建模。一旦监测指标（如CPU利用率、网络丢包率）偏离基线超过预设阈值（例如，CPU连续5分钟超过85%），即触发初步警报。识别机制需具备多维度的上下文关联能力。单点指标异常可能由单一原因导致，但需结合时间序列分析判断是否为持续性攻击。例如，某服务器CPU突增，若同时伴随该服务器网络接口（NIC）的入站流量呈指数级增长，则更倾向于识别为DDoS攻