网络安全事件处置流程.docxVIP

网络安全事件处置流程

一、事件监测与预警

（一）多源监测体系搭建

1.终端侧监测：部署EDR（终端检测与响应）系统，覆盖所有办公终端、服务器终端、物联网终端，实时采集进程启动、文件修改、注册表变更、网络连接四类核心行为数据。设置高危行为告警规则：包括未经授权的powershell执行、敏感目录（/etc、C:\Windows\System32）下未知文件创建、终端主动外联境外IP、勒索软件特征加密行为，告警响应阈值设置为“高危行为实时触发、可疑行为10次聚合触发”，确保终端异常行为检出率不低于98%。

2.网络侧监测：在核心交换机、DMZ区、业务专网边界部署IDS（入侵检测系统）、IPS（入侵防御系统），全量解析南北向、东西向流量，重点监测SQL注入、XSS跨站、端口扫描、暴力破解、异常大流量传输五类攻击行为。对HTTP请求参数设置规则：单请求包含union、select、eval等高危字符且编码次数≥2次直接判定为注入攻击；对SSH、RDP远程登录设置阈值：同一IP10分钟内登录失败≥5次触发暴力破解告警，网络攻击识别准确率不低于95%。

3.应用侧监测：针对业务系统部署WAF（Web应用防火墙）、RASP（运行时应用自我保护）工具，实时监控API接口调用、用户登录、数据操作三类行为。设置接口调用规则：未授权接口访问、单IP分钟级调用接口≥100次、敏感数据批量查询（单次查