网络安全应急响应工作流程是什么?大致分为几步？

　　在计算机和网络安全领域，应急响应是安全工作者为了应对各种意外事件的发生所做的准备以及在事件发生后所采取的措施。那么网络安全中应急响应工作流程是什么?具体内容请看下文：

　　第一步：准备工作

　　此阶段以预防为主，在事件真正发生前为应急响应做好准备，主要包含以下几项内容：

　　制定用于应急响应工作流程的文档计划，并建立一组基于威胁态势的合理防御措施;

　　制定预警与报警的方式流程，建立一组尽可能高效的事件处理程序;

　　建立备份的体系和流程，按照相关网络安全政策配置安全设备和软件;

　　建立一个支持事件响应活动的基础设施，获得处理问题必备的资源和人员，进行相关的安全培训，可以进行应急反映事件处理的预演方案。

　　第二步：事件检测阶段

　　识别和发现各种网络安全紧急事件。一旦被入侵检测机制或另外可信的站点警告已经检侧到了入侵，需要确定系统和数据被入侵到了什么程度。入侵响应需要管理层批准，需要决定是否关闭被破坏的系统及是否继续业务，是否继续收集入侵者活动数据。通报信息的数据和类型，通知什么人。主要包括以下几种处理方法：

　　布局入侵检测设备、全局预警系统，确定网络异常情况;

　　预估事件的范围和影响的严重程度，来决定启动相应的应急响应的方案;

　　事件的风险危害有多大，涉及到多少网络，影响了多少主机，情况危机程度;

　　确定事件责任人人选，即指定一个责任人全权处理此事件并给予必要资源;

　　攻击者利用的漏洞传播的范围有多大，通过汇总，确定是否发生了全网的大规模入侵事件;

　　一般典型的事故现象包括：账号被盗用、骚扰性的垃圾信息、业务服务功能失效、业务内容被明显篡改、系统崩溃、资源不足。

　　第三步：抑制处置

　　在入侵检测系统检测到有安全事件发生之后，抑制的目的在于限制攻击范围，限制潜在的损失与破坏，在事件被抑制以后，应该找出事件根源并彻底根除;然后就该着手系统恢复，把所有受侵害的系统、应用、数据库等恢复到它们正常的任务状态。

　　收集入侵相关的所有资料，收集并保护证据，保证安全地获取并且保存证据;

　　确定使系统恢复正常的需求和时间表、从可信的设备介质中恢复用户数据和应用服务;

　　抑制采用的方式可能有多种，包括：关掉已受害的系统、断开网络、修改防火墙或路由器的过滤规则、封锁或删除被攻破的登录账号、关闭可被攻击利用的服务功能。

　　第四步：根除阶段

　　通过对有关恶意代码或行为的分析结果，找出事件根源明确相应的补救措施并彻底清除，并对攻击源进行准确定位并采取措施将其中断;清理系统、恢复数据、程序、服务，把所有被攻破的系统和网络设备彻底还原到正常的任务状态。

　　总之，信息安全应急响应体系应该从以上几个方面来更加完善，统一规范事件报告格式，建立及时堆确的安全事件上报体系，在分类的基础上，进一步研究针对各类安全事件的响应对策，从而建立一个应急决策专家系统，建立网络安全事件数据库，这项工作对于事件应急响应处置过程具有十分重要的意义。

　　对事件的确认仅是初步的事件分析过程。事件分析的目的是找出问题出现的根本原因。在事件分析的过程中主要有主动和被动2种方式。

　　第五步：恢复阶段

　　让系统恢复破坏之前的正常运行环境。恢复阶段的主要任务是把被破坏的信息彻底地还原到正常运作状态。确定使系统恢复正常的需求和时间表、从可信的备份介质中恢复用户数据、打开系统和应用服务、恢复系统网络连接、验证恢复系统、观察其他的扫描、探测等可能表示入侵者再次侵袭的信号。一般来说，要成功地恢复被破坏的系统，需要维护干净的备份系统，编制并维护系统恢复的操作手册，而且在系统重装后需要对系统进行全面的安全加固。

　　第六步：跟进阶段

　　跟进阶段的主要任务是回顾并整合应急响应过程的相关信息，进行事后分析总结、修订安全计划、政策、程序并进行训练以防止再次入侵，基于入侵的严重性和影响，确定是否进行新的风险分析、给系统和网络资产制定一个新的目录清单，如果需要，参与调查和起诉。这一阶段的工作对于准备阶段工作的开展起到重要的支持作用。

　　跟踪阶段的工作主要包括三个方面的内容：

　　形成事件处理的最终报告

　　检查应急响应过程中存在的问题，重新评估和修改事件响应过程

　　评估应急响应人员相互沟通在事件处理上存在的缺陷，以促进事后进行有针对性的培训。