特点#

• 建立在风险评估之上
• 关注基础设施功能和资源减少或受限的情况下维持业务操作
• 应成为组织管理文化的一部分

过程#

1. 组织管理：

   • 理解业务组织
   • 建立团队
   • 评估资源
   • 合规性

2. 业务影响分析：

   • 确定业务优先级：
     • 业务所需资源的相互关系
     • 对外部组织或其他方的依赖
     • 业务中断的影响和最大允许中断时间（MTD）
     • 恢复时间目标（RTO）< MTD
   • 风险分析：
     • 威胁
     • 可能性
     • 影响
   • 资产优先级划分

3. 制定及批准实施：

   • 风险处置：
     • 降低：
       • 预防性措施优于反应性策略
       • 人员冗余
       • 信息系统基础设施：保护性措施
     • 转移（财务风险）：外包等
     • 规避：避免使用高风险的服务或业务功能
     • 接受：权衡采取措施的收益和成本
       • 主动接受：低风险漏洞等
       • 被动接受：解决风险的成本过高
   • 文档化：内容包括
     • 目标（细化）
     • 职责声明：相关人员职责
     • 优先级声明
     • 风险评估
     • BCP策略
     • 关键业务记录计划
     • 应急响应的指导原则
     • 测试与演练

4. 评估及维护：

   • 向高层汇报并获取计划的批准
   • 培训和教育（组织文化的一部分）
   • 动态性：定期讨论、复审、测试并进行更新

分类#

1. 有害程序（勒索病毒等）
2. 网络攻击
3. 信息破坏
4. 信息内容安全
5. 设备设施故障
6. 灾害性事件
7. 其他信息安全事件

分级#

组织#

• 国际：CERT/CC
• 国家：CNCERT/CC
• 组织：
  • 领导组
  • 技术保障组
  • 专家组
  • 实施组
  • 日常运行组

应急预案#

针对可能发生的重大网络与信息系统突发事件，预先制定行动计划和应急对策

应急演练与演习#

应急响应6阶段#

1. 准备：

   • 目标：
     • 确定重要资产和风险，实施风险防护措施
     • 编制和管理（测试、培训演练和维护）应急响应计划
     • 建立、训练响应组织和准备相关资源

2. 检测：判断情况

   • 目标
     • 检测并确认事件发生
     • 确定事件性质和影响
   • 工作内容
     • 监测、报告和信息收集
     • 确定事件类别和级别
     • 指定事件处理人、初步响应
     • 评估影响范围
     • 事件通告（通报、上报、披露）

3. 遏制：防止事态扩大

   • 目标：限制事件影响范围和损失
   • 工作内容
     • 启动应急响应计划
     • 确定适当的响应方式
     • 实施遏制行动
     • 要求用户按照应急响应规范要求配合遏制工作

4. 根除：彻底的补救措施

   • 目标：避免问题再次发生的长期补救措施
   • 内容
     • 详细分析确定原因
     • 实施补救措施

5. 恢复：系统恢复常态

6. 跟踪总结：防止二次发生

   • 目标：回顾并汇总
   • 内容：
     • 关注系统恢复以后的安全状况，记录跟踪结果
     • 评估损失、响应措施效果
     • 分析和总结经验教训
     • 重新评估和修改安全策略、措施和应急响应计划
     • 对进入司法程序的事件，进一步调查，打击违法犯罪活动
     • 编制并提交应急响应报告

计算机取证#

使用先进的技术工具，按照标准规程全面检查计算机系统，提取和保护有关计算机犯罪的相关证据的活动

设备#

• 直接附加存储（DAS）：单服务器外挂存储
• 区域存储网络（SAN）：专用存储设备、光纤FC连接，使用FC交换机建立专用数据存储网络
• 网络附加存储（NAS）：独立存储服务器、网络传输

备份方式#

• 完全备份：每次备份当前所有数据、备份慢、存储占用大
• 差量备份：备份当前数据与上次完全备份有差异的部分、中等
• 增量备份：备份与上次备份有差异的部分、备份快、存储占用小

RAID#

• 0（条带）：性能高、无容错
• 1（镜像）：1:1镜像
• 5（奇偶校验、条带化存储）：需要3块+，1块（逻辑上）用于校验、允许1块硬盘损坏

备用场所#

• 冷站：只有场地
• 温站：场地、部分或所有硬件和软件
• 热站：场地、硬件、软件、数据（双活、多活机房）

国标#

• 国际标准SHARE78：0～6级
• 《重要信息系统灾难恢复指南》：0～6级
  • 1基本支持
  • 2备用场地支持
  • 3电子传输和部分设备支持
  • 4电子传输及完整设备支持
  • 5实施数据传输及完整设备支持
  • 6数据零丢失和远程集群支持：RTO<30m，RPO=0

需求分析#

1. 风险分析：

   • 标识资产
   • 标识威胁
   • 标识脆弱性
   • 标识现有控制
   • 分析风险

2. 业务影响分析（BIA）：

   • 分析业务功能和相关资源配置
   • 评估中断影响

3. 确定灾难恢复目标：

   • 关键业务恢复顺序
   • RPO、RTO

策略制定#

• 确定灾难恢复资源获取方式
• 确定对灾难恢复资源的要求

策略实现#

• 选择和建设灾难备份中心
• 实现灾难备份系统技术方案
• 实现专业技术支持能力
• 实现运行维护管理能力

预案制定和管理#

• 制定灾难恢复预案
• 教育、培训和演练灾难恢复预案
• 更新维护灾难恢复预案