网络攻击破坏安全日志存储应急预案.docxVIP

第

第PAGE\MERGEFORMAT2页共NUMPAGES\MERGEFORMAT4页

网络攻击破坏安全日志存储应急预案

一、总则

1、适用范围

本预案适用于本单位因网络攻击导致安全日志存储异常或遭到破坏的应急响应工作。涵盖日志数据丢失、篡改、无法访问等场景，旨在保障安全监控数据的完整性、可用性和真实性，确保网络安全事件得到及时有效处置。比如某次测试中发现，由于勒索软件攻击导致安全日志备份系统瘫痪，日志数据损毁达30%，通过启动本预案恢复了关键日志记录，避免了安全事件追溯困难。适用范围包括但不限于操作系统日志、防火墙日志、入侵检测系统日志、数据库审计日志等核心安全日志。

2、响应分级

根据事故危害程度将应急响应分为三级。Ⅰ级为重大响应，适用于核心日志系统完全瘫痪，影响全国业务运行的情况，如遭受国家级APT攻击导致安全日志全部丢失，预计恢复时间超过72小时。Ⅱ级为较大响应，适用于区域性日志存储破坏，影响部分业务系统，如某数据中心日志数据库遭到破坏，涉及日志量达50GB以上。Ⅲ级为一般响应，适用于单个安全设备日志异常，如某防火墙日志文件损坏，涉及日志量不足10GB。分级遵循三个原则：一是按日志影响范围划分，核心系统日志破坏升一级；二是根据数据恢复难度分级，无法恢复的升一级；三是参考业务中断程度，完全中断升一级。去年某次测试显示，当IDS日志损坏时，通过