防御网络攻击破坏安全日志记录应急预案.docxVIP

第

第PAGE\MERGEFORMAT2页共NUMPAGES\MERGEFORMAT3页

防御网络攻击破坏安全日志记录应急预案

一、总则

1、适用范围

本预案适用于公司内部因网络攻击导致安全日志记录被篡改、破坏或无法获取的情况。涵盖的范围包括但不限于操作系统日志、应用日志、防火墙日志、入侵检测系统日志等关键日志数据。假设某次攻击导致数据库安全日志丢失超过30%，系统无法正常审计，就需要启动本预案。这种情况会影响安全事件的溯源分析，进而影响公司的合规性审计，所以必须纳入应急响应范围。

2、响应分级

根据事故危害程度和影响范围，将应急响应分为三个等级。一级响应适用于攻击导致核心安全日志系统瘫痪，比如日志服务器完全被黑，安全信息和事件管理（SIEM）系统失效，影响范围超过50%的业务系统。二级响应适用于部分日志记录受损，比如通过加密工具篡改了20%-50%的日志数据，但系统仍能部分运行。三级响应则是日志记录轻微异常，比如个别日志条目被修改，不影响整体安全分析。分级的基本原则是看攻击是否导致安全监测能力永久性下降，以及是否需要跨部门协调。比如当网络安全团队无法通过日志追踪攻击源时，就需要升级响应级别。

二、应急组织机构及职责

1、应急组织形式及构成单位

成立防御网络攻击破坏安全日志记录应急指挥部，由主管信息安全的高级副总裁担任总指挥。指挥部下设技术处置组、数