The hacker news發佈了一篇如何加速您的事件回應：六個關鍵步驟
事件回應（Incident response）是組織確保及時發現和處理安全事件的重要手段，可以減少損害，防止後續攻擊或相關事件的發生。SANS Institute是一個提供資訊安全研究和教育的機構，它提出了一個事件回應計畫的六個組成部分，包括準備、識別、隔離、清除等要素。以下是這六個步驟的詳細說明：
- 準備：這是第一個階段，涉及檢視現有的安全措施和政策；進行風險評估，找出潛在的漏洞；並建立一個通訊計畫，制定協議並提醒員工可能的安全風險。在假期期間，事件回應計畫的準備階段尤其重要，因為它讓您有機會傳達特定於假期的威脅，並採取措施應對這些威脅。
- 識別：識別階段是當一個事件被發現的時候，無論是已經發生的還是正在進行的。這可以通過多種方式發生：由內部團隊、第三方顧問或管理服務提供商，或者最壞的情況，因為事件導致了數據洩露或網絡入侵。由於許多假期的網絡安全攻擊涉及終端用戶的憑證，因此值得加強監測您的網絡如何被訪問的安全機制。
- 隔離：隔離階段的目標是最小化安全事件造成的損害。這一步根據事件的不同而有所不同，可能包括以下協議：隔離一個設備、停用電子郵件帳戶、或者將易受攻擊的系統與主網絡斷開。由於隔離行動通常會對業務產生嚴重的影響，因此必須事先確定短期和長期的決策，以便在發生安全問題時沒有最後一刻的混亂。
- 清除：一旦您隔離了安全事件，下一步就是確保威脅已經完全消除。這也可能涉及調查措施，找出事件發生的誰、什麼、何時、何地和為什麼。清除可能涉及磁盤清理程序、將系統恢復到一個乾淨的備份版本，或者完全重新映像磁盤。清除階段還可能包括刪除惡意文件、修改註冊表鍵值，甚至重新安裝操作系統。
- 恢復：恢復階段是隧道盡頭的曙光，讓您的組織恢復正常運作。與隔離一樣，恢復協議最好事先確定，以便採取適當的措施，確保系統安全。
- 總結：在總結階段，您需要記錄發生了什麼，並注意您的事件回應策略在每個步驟中的效果。
詳情請看