
296
|
第
18
章
从复杂的事件中的一次组织良好的恢复,类似精心编排的芭蕾舞表演
2
,不同个体在恢复过
程中的行为会相互影响。“恢复芭蕾舞”的过程中,“舞者”要避免互相踩脚。因此,要清
晰地确定准备、审查和执行恢复的角色,确保每个人都了解运营风险,并且参与者应多面
对面交流。
正如第
17
章所述
,随着事件的进展,事件指挥官(
IC
)和行动负责人(
OL
)应指定一名
补救负责人(
RL
)着手规划恢复
。
RL
应就恢复检查表与
IC
密切协调,确保恢复工作与其
余调查保持一致。
RL
还负责组建一支由具备相关专业知识的个人所组成的团队
,并制订
恢复检查表(参见
18.3.3
节
)。
在
Google
,
执行恢复的团队是每天构建和运维系统的团队,其中包括网站可靠性工程师、
开发人员、系统管理员、售后支持人员和管理常规流程(如代码审核和配置审查)的相关
安全专家。
恢复期间的信息管理和通信是成功响应的重要组成部分。原始事件跟踪、草稿记录、恢复
检查清单、新的操作文档以及有关攻击本身的信息都将是重要的工件。请确保此文档可
供恢复团队使用,且攻击者无法访问。可以使用实体隔离计算机之类的设备进行存储。
例如,可以组合使用各类信息管理工具,如缺陷跟踪系统、基于云的协作工具、白板,
甚至是可贴在墙上的记事贴。确保使用的这些工具不在受攻击者入侵影响的系统范围内。
考虑从记事贴入手,一旦确定恢复团队成员的计算机没有被入侵,就添加一个独立的服务
供应商。
良好的信息管理是确保顺利恢复的另一个关键方面。使用每个人都可以访问的信息管理工
具,当出现问题或检查清单上的事项完成时,就及时更新相关状态 ...