云安全知识证书 (CCSK v5) 官方学习指南

第 11 章. 事件响应：从检测到恢复

本作品已使用人工智能进行翻译。欢迎您提供反馈和意见：[e-mail]

在准备战斗的过程中，我总是发现，计划是无用的，但规划是不可或缺的。

德怀特-艾森豪威尔

事件响应是组织为准备、检测、控制和恢复网络安全事件（如数据泄露、恶意软件感染、内部威胁或 DoS 攻击）而采取的结构化方法。事件响应必须在事件发生前进行规划。不幸的是，一个组织何时而不是是否会遭遇安全事故和可能的漏洞，是一个时间问题。发生这些事件和漏洞的原因有很多，包括意外原因。

虽然组织很可能有针对内部 IT 系统的事故响应计划，但云引入了一个新的虚拟环境，需要事故响应流程、工具和技术、治理方面的专业知识，而且所使用的每个云平台都具有新的复杂性。

CSA 在事件响应建议中参考了几个关键工具，包括 NIST SP 800-61 Rev.2、CSA 云事件响应 (CIR) 框架、ISO/IEC 27035 和 ENISA 的 "事件响应和网络危机合作战略 "文件。CSA 对这些建议进行了调整，以反映云特有的事件响应挑战和流程。

本章确定并解释了云中事件响应的最佳实践。这些可作为参考，用于制定组织的事件响应架构、计划和流程，这些必须在事件发生前建立。

事件响应

每一个事件都是一个事件，但不是每一个事件都是一个事件。两者的区别在于其影响。图 11-1显示了组织可能面临的不同程度的损害。

图 11-1. 安全事件升级模型

如图 11-1所示，事件是系统或网络中任何可观察到的事件。事件可以是常规系统操作，也可以是异常情况。如果事件对性能、安全性或可用性造成负面影响，就会被归类为事件。如果事件导致未经授权访问受保护数据，则可归类为违规事件。此时，可能需要通知监管机构或执法部门，组织也可能面临罚款。最后，如果敏感或机密数据因失窃、意外泄露或配置错误而暴露，则被归类为信息泄露。在这一阶段，组织可能会面临额外的法律和财务后果，例如为受影响的个人提供信用监控，或者如果数据保护方面的疏忽被证实，可能会面临集体诉讼。

需要立即关注事件，以控制和减轻其影响，并防止进一步升级。必须尽快采取有条不紊的应对措施，最大限度地减少损失，保护敏感资产，确保业务连续性。接下来的几节将介绍正确的事件响应生命周期的结构和所需行动。

事件响应生命周期

图 11-2是 CSA 使用的 NIST 事件响应生命周期。

图 11-2. NIST 事件响应生命周期

如您所见，生命周期分为四个阶段，最后一个阶段为第一个阶段提供信息，以创建一个持续改进的循环。以下是各阶段注意事项的通用清单。在后面的章节中，我们将了解云引入事件响应的注意事项。

第 1 阶段：准备

在此阶段，组织建立事件响应能力以应对事件。这包括以下内容：

• 建立事件响应流程。

• 组建团队并分配角色和职责。

• 培训团队并进行演练。

• 建立通信计划和设施。

• 为响应人员提供环境访问权限。

• 为响应者提供工具访问权限，如事件分析服务、硬件和软件。

• 创建内部文档，如端口列表、资产列表和网络流量基线。