定义

事件响应（Incident Response，IR）：在安全事件发生时，按预定流程进行检测、遏制、根除、恢复和复盘。

六个阶段（NIST SP 800-61 框架）

一、准备（Preparation）

事件发生之前的工作，也是最重要的阶段。

  • 建立响应团队，明确角色和职责；
  • 准备工具（取证工具、隔离工具、通信工具）；
  • 建立通信计划（内部谁通知谁、对外谁发言、法务和公关如何参与）；
  • 明确升级路径（什么情况需要通知管理层？）；
  • 演练（桌面推演、模拟演练）。

没有准备，事到临头必然混乱。

二、检测与分析（Detection and Analysis）

  • 从告警中识别真实事件；
  • 判断事件的性质（是恶意软件？账号被盗？数据泄露？）；
  • 评估影响范围（哪些系统、哪些数据）；
  • 优先级排序（依据资产重要性和扩散速度）。

产出：事件的初步判定和优先级。

三、遏制（Containment）

目标：阻止损害扩大。

短期遏制：

  • 隔离受感染的主机（断网，但不一定关机——关机可能破坏易失性证据）；
  • 禁用被攻破的账号；
  • 阻断恶意 IP/域名。

长期遏制：在保持业务运行的前提下，部署临时防护（如临时规则、补丁）。

关键权衡：遏制可能中断业务。决策需要权衡"继续扩散的风险" vs "业务中断的代价"。

例如：是否立即隔离一台正在提供服务的服务器？这可能需要管理层的决策。

四、根除（Eradication）

找出并消除根本原因。

  • 清除恶意软件、后门、持久化机制；
  • 修补被利用的漏洞；
  • 重置所有可能泄露的凭据（不只是已知的——攻击者可能已获取其他账号）；
  • 检查是否有其他系统被攻陷（横向移动）。

注意：如果不彻底，攻击者很可能会再次进来。

五、恢复（Recovery）

  • 从干净的备份恢复系统（确保备份本身未被感染）；
  • 逐步恢复服务，密切监控；
  • 验证系统正常运行且无残留。

六、事后活动（Post-Incident Activity）

复盘（Postmortem / Lessons Learned）。

复盘的重要性

无指责复盘（Blameless Postmortem） 是现代实践的核心原则：

关注"系统为什么会允许这件事发生"，而非"谁搞砸了"。

原因：如果复盘变成追责，人们就会隐瞒信息，组织就无法学到真正的教训。

复盘应包含：

  • 时间线：从入侵到发现的完整时间线；
  • 根本原因：为什么会发生（不只是"没打补丁"，而是"为什么没打补丁"——流程问题？优先级问题？资产清单缺失？）；
  • 改进项：具体的、有负责人的、有期限的行动项；
  • 哪些做对了（同样重要）。

改进项要有跟踪机制——很多组织的复盘报告写完就束之高阁，同样的问题反复发生。

一些实用要点

一、时间线记录

从事件开始就记录所有操作和发现——这对事后复盘、法务取证都至关重要。

指定专人做记录（scribe）。

二、证据保全

如果可能涉及法律程序或需要深入取证：

  • 保留日志（防止被覆盖或删除）；
  • 对关键系统做磁盘镜像；
  • 记录取证过程的监管链（Chain of Custody）。

注意：先镜像后分析——不要在原始证据上直接操作。

三、沟通

  • 内部：定期向管理层同步（用他们能理解的语言——风险、影响、需要的决策）；
  • 外部：如果需要通知客户、监管机构（很多法规有时限要求，如 GDPR 的 72 小时），提前准备好。

四、判决书（对内部威胁）

涉及内部人员时，需要 HR、法务、安保协同——流程要提前定义。

一个关键指标

MTTD（平均检测时间） 和 MTTR（平均响应时间）。

攻击者通常在几分钟到几小时内完成初始访问和驻留；而很多组织需要数周甚至数月才发现被入侵。

缩短这两个时间，是安全运营最直接的目标。

说明：本文为安全运营的知识整理。