应急响应基本流程

应急响应的流程，先来张图片熟悉一下。

1.准备阶段：

准备阶段要做的是主要是明确资产范围对可能产生安全问题的 地方进行加固。

2.检测阶段：

通过日常的监控，收集系统信息日志等手段对可疑的迹象进行分析，判断，如果判定他属于网络安全应急响应时间，则对该事件进行上报（可以利用netstat -ano查看端口连接情况，也可以使用tasklist | find “PID” 对具体进程定位。系统日志可以WIN+R，输入eventvw.msc,直接进入事件查看器分析日志）

3.抑制阶段：

分析影响范围，根据预案采取相应手段，限制攻击的范围，设置隔离区 ，把影响降低到最小（可以使用安全软件进行隔离，如果整台电脑完全沦陷，也可以考虑首先断网）

4.根除阶段：

分析产生安全事件的原因，如果是木马，，病毒就需要找出源头来并且遏制，如果是入侵行为就可以通过入侵检测的方式来检测数据流，也可以利用一些工具对病毒特征进行扫描分析和定位

5.恢复阶段：

对受到破坏的系统和信息进行恢复还原，从可信任的备份中恢复还原系统配置，数据库等等，并对其进行实时监控，确保无误的情况可适当去掉之前做的隔离等抑制等措施。

6.总结阶段：

对我们上面所发生的安全事件做一个总结，对你所使用到的有效的手段和方法做一个记录，对后面可能遇到的安全事件做一个示例。
————————————————
原文链接：http://blog.csdn.net/xujunhui222/article/details/122779109