(完整版)網(wǎng)絡(luò)安全管理應(yīng)急預(yù)案

1、網(wǎng)絡(luò)平安應(yīng)急預(yù)案一、總那么（一）目的為科學(xué)應(yīng)對網(wǎng)絡(luò)與信息平安（以下簡稱信息平安）突發(fā)事件，建 立健全信息平安應(yīng)急響應(yīng)機(jī)制，有效預(yù)防、及時控制和最大限 度地消除信息平安各類突發(fā)事件的危害和影響，制訂本應(yīng)急預(yù) 案。（二）工作原那么預(yù)防為主。立足平安防護(hù)，加強(qiáng)預(yù)警，重點保護(hù)基礎(chǔ)信息網(wǎng)絡(luò) 和關(guān)系國家平安、經(jīng)濟(jì)命脈、社會穩(wěn)定的重要信息系統(tǒng)?？焖俜错?。及時獲取充分而準(zhǔn)確的信息，果斷決策，迅速處置, 最大程度地減少危害和影響。分級負(fù)責(zé)。按照誰主管誰負(fù)責(zé)的原那么，建立和完善平安責(zé)任 制及聯(lián)開工作機(jī)制。加強(qiáng)部門間的協(xié)調(diào)與配合，形成合力，共 同履行應(yīng)急處置工作的管理職責(zé)。常備不懈。規(guī)范應(yīng)急處置措施與操作流程，定期

2、進(jìn)行預(yù)案演練, 確保應(yīng)急預(yù)案切實有效，實現(xiàn)網(wǎng)絡(luò)與信息平安突發(fā)公共事件應(yīng) 急處置的科學(xué)化、程序化與規(guī)范化。（三）組織機(jī)構(gòu)及職責(zé)設(shè)立信息系統(tǒng)應(yīng)急工作領(lǐng)導(dǎo)小組，為公司處理信息平安突發(fā)事 件應(yīng)急工作的綜合性議事、協(xié)調(diào)機(jī)構(gòu)。主要職責(zé)是：按照研究決定信息平安應(yīng)急工作的有關(guān)重大問 題，決定啟動網(wǎng)絡(luò)與信息平安突發(fā)事件應(yīng)急指揮部，統(tǒng)一領(lǐng)導(dǎo) 和組織指揮重大信息平安突發(fā)事件的應(yīng)急處置工作。二、預(yù)警和預(yù)防機(jī)制（一）預(yù)警信息系統(tǒng)應(yīng)急工作領(lǐng)導(dǎo)小組接到信息平安突發(fā)事件報告后，在 核實，研究分析可能造成損害程度的基礎(chǔ)上，提出初步行動對 策，視情況召集協(xié)調(diào)會，并根據(jù)應(yīng)急委的決策實施行動方案， 發(fā)布指示和命令。（二）預(yù)防機(jī)制積極

3、推行信息平安等級保護(hù)，逐步實行信息平安風(fēng)險評估。各 基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)建設(shè)要充分考慮抗毀性與災(zāi)難 恢復(fù)，制定完善信息平安應(yīng)急處理預(yù)案。針對基礎(chǔ)信息網(wǎng)絡(luò)的 突發(fā)性、大規(guī)模平安事件，各相關(guān)部門建立制度化、程序化的 處理流程。三、應(yīng)急處理程序（一）級別確實定根據(jù)信息系統(tǒng)平安等級保護(hù)定級報告確定信息平安事件等 級。（二）預(yù)案啟動根據(jù)網(wǎng)絡(luò)信息平安事件等級的不同，相關(guān)部門啟動相應(yīng)預(yù)案， 并負(fù)責(zé)應(yīng)急處理工作。（三）現(xiàn)場應(yīng)急處理事件發(fā)生單位和現(xiàn)場應(yīng)急處理工作組盡最大可能收集事件相 關(guān)信息，判別事件類別，確定事件來源，保護(hù)證據(jù)，以便縮短 應(yīng)急響應(yīng)時間。檢查威脅造成的結(jié)果，評估事件帶來的影響和損害：如檢查

4、系 統(tǒng)、服務(wù)、數(shù)據(jù)的完整性、保密性或可用性；檢查攻擊者是否 侵入了系統(tǒng)；以后是否能再次隨意進(jìn)入；損失的程度；確定暴 露出的主要危險等。抑制事件的影響進(jìn)一步擴(kuò)大，限制潛在的損失與破壞?？赡艿?抑制策略一般包括：關(guān)閉服務(wù)或關(guān)閉所有的系統(tǒng)，從網(wǎng)絡(luò)上斷 開相關(guān)系統(tǒng)的物理鏈接，修改防火墻和路由器的過濾規(guī)那么；封 鎖或刪除被攻破的登錄賬號，阻斷可疑用戶得以進(jìn)入網(wǎng)絡(luò)的通 路；提高系統(tǒng)或網(wǎng)絡(luò)行為的監(jiān)控級別；設(shè)置陷阱；啟用緊急事 件下的接管系統(tǒng)；實行特殊防衛(wèi)狀態(tài)平安警戒；還擊攻擊者 的系統(tǒng)等。在事件被抑制之后，通過對有關(guān)惡意代碼或行為的分析結(jié)果， 找出事件根源，明確相應(yīng)的補(bǔ)救措施并徹底清除。與此同時， 執(zhí)法部門

5、和其他相關(guān)機(jī)構(gòu)對攻擊源進(jìn)行準(zhǔn)確定位并采取合適 的措施將其中斷。清理系統(tǒng)、恢復(fù)數(shù)據(jù)、程序、服務(wù)。把所有被攻破的系統(tǒng)和網(wǎng) 絡(luò)設(shè)備徹底還原到正常的任務(wù)狀態(tài)?；謴?fù)工作應(yīng)十分小心，避 免出現(xiàn)操作失誤而導(dǎo)致數(shù)據(jù)喪失。另外，恢復(fù)工作中如果涉及 機(jī)密數(shù)據(jù)，需要額外按照機(jī)密系統(tǒng)的恢復(fù)要求。如果攻擊者獲 得了超級用戶的訪問權(quán)，一次完整的恢復(fù)應(yīng)強(qiáng)制性地修改所有 的口令。（四）報告和總結(jié)回顧并整理發(fā)生事件的各種相關(guān)信息，盡可能地把所有情況記 錄到文檔中。發(fā)生重大信息平安事件的單位應(yīng)當(dāng)在事件處理完 畢后將處理結(jié)果報上級主管部門備案。（五）應(yīng)急行動結(jié)束 根據(jù)信息平安事件的處置進(jìn)展情況和現(xiàn)場應(yīng)急處理工作組意 見，信息系統(tǒng)應(yīng)

6、急工作領(lǐng)導(dǎo)小組組織相關(guān)部門及專家組對信息 平安事件處置情況進(jìn)行綜合評估，并提出應(yīng)急行動結(jié)束建議， 報相關(guān)部門審批。應(yīng)急行動是否結(jié)束，相關(guān)主管部門決定。四、保障措施（一）技術(shù)支撐保障建立預(yù)警與應(yīng)急處理的技術(shù)平臺，進(jìn)一步提高平安事件的發(fā)現(xiàn) 和分析能力：從技術(shù)上逐步實現(xiàn)發(fā)現(xiàn)、預(yù)警、處置、通報等多 個環(huán)節(jié)和不同的網(wǎng)絡(luò)、系統(tǒng)、部門之間應(yīng)急處理的聯(lián)動機(jī)制。（二）應(yīng)急隊伍保障加強(qiáng)信息平安人才培養(yǎng)，強(qiáng)化信息平安宣傳教育，建設(shè)一支高 素質(zhì)、高技術(shù)的信息平安核心人才和管理隊伍，提高全社會信 息平安防御意識。大力開展信息平安服務(wù)業(yè)，增強(qiáng)社會應(yīng)急支 援能力。（三）物資條件保障安排信息化建設(shè)專項資金用于預(yù)防或應(yīng)對信息平

7、安突發(fā)事件， 提供必要的經(jīng)費保障，強(qiáng)化信息平安應(yīng)急處理工作的物資保障 條件。（四）技術(shù)儲藏保障 信息系統(tǒng)應(yīng)急工作領(lǐng)導(dǎo)小組組織有關(guān)專家和科研力量，開展應(yīng) 急運作機(jī)制、應(yīng)急處理技術(shù)、預(yù)警和控制等研究，組織參加相 關(guān)培訓(xùn)，推廣和普及新的應(yīng)急技術(shù)。五、事件處理流程（一）黑客攻擊時的緊急處置流程：當(dāng)有關(guān)值班人員發(fā)現(xiàn)平臺內(nèi)容被篡改，或通過入侵檢測系統(tǒng)發(fā) 現(xiàn)有黑客正在進(jìn)行攻擊時，應(yīng)立即向信息系統(tǒng)應(yīng)急工作領(lǐng)導(dǎo)小 組報告情況。信息系統(tǒng)應(yīng)急工作領(lǐng)導(dǎo)小組相關(guān)成員應(yīng)在十分鐘內(nèi)趕到現(xiàn)場， 并首先應(yīng)將被攻擊的服務(wù)器等設(shè)備從網(wǎng)絡(luò)中隔離出來，保護(hù)現(xiàn) 場。信息系統(tǒng)應(yīng)急工作領(lǐng)導(dǎo)小組負(fù)責(zé)被攻擊或破壞系統(tǒng)的恢復(fù)與 重建工作。信息系統(tǒng)

8、應(yīng)急工作領(lǐng)導(dǎo)小組組織相關(guān)人員追查攻擊來源。會商 后，將有關(guān)情況向信息平安領(lǐng)導(dǎo)小組報告，并妥善保存有關(guān)記 錄及 日 志或?qū)徲嬘涗洝Ｐ畔⑾到y(tǒng)應(yīng)急工作領(lǐng)導(dǎo)小組組長召開信息平安領(lǐng)導(dǎo)小組會議， 如認(rèn)為事態(tài)嚴(yán)重，那么立即向公安部門或上級機(jī)關(guān)報警。（二）病毒平安緊急處置流程：當(dāng)發(fā)現(xiàn)有服務(wù)器被感染上病毒后，應(yīng)立即通知平安管理員，將 該機(jī)從網(wǎng)絡(luò)上隔離開來。平安管理員在接到通報后，應(yīng)在十分鐘內(nèi)趕到現(xiàn)場。對該設(shè)備 的硬盤進(jìn)行數(shù)據(jù)備份。啟用反病毒軟件對該機(jī)進(jìn)行殺毒處理， 同時通過病毒檢測軟件對其他機(jī)器進(jìn)行病毒掃描和清除工作。 如果現(xiàn)行反病毒軟件無法清除該病毒，應(yīng)立即向信息系統(tǒng)應(yīng)急 工作領(lǐng)導(dǎo)小組報告，并迅速聯(lián)系有關(guān)產(chǎn)品商研究解決。信息系統(tǒng)應(yīng)急工作領(lǐng)導(dǎo)小組會商后，認(rèn)為情況嚴(yán)重的，應(yīng)立即 將有關(guān)情況向上級主管部門報告，并妥善保存有關(guān)記錄及日志 或?qū)徲嬘涗洝Ｐ畔⑾到y(tǒng)應(yīng)急工作領(lǐng)導(dǎo)小組組長召開信息平安領(lǐng)導(dǎo)小組會議， 如認(rèn)為事態(tài)嚴(yán)重，那么立即向公安