網(wǎng)站篡改演練方案(演練方案)

文檔編號(hào)：密級(jí)：內(nèi)部網(wǎng)站篡改事件應(yīng)急演練方案北京啟明星辰信息技術(shù)股份有限公司

二o—o年六月

文檔版本控制版本號(hào)發(fā)布日期簡(jiǎn)要說(shuō)明1.02010-06-27初稿目錄1引言32適用范圍33本次演練目標(biāo)34演練內(nèi)容綜述4演練事件描述4本次演練原則4演練時(shí)間計(jì)劃4方案啟動(dòng)條件45演練工作方案5演練準(zhǔn)備工作5演練場(chǎng)景搭建5演練收?qǐng)龉ぷ?6演練腳本67改進(jìn)工作81引言通過(guò)實(shí)施具體場(chǎng)景的應(yīng)急演練來(lái)提高應(yīng)急組織的應(yīng)急響應(yīng)能力，本方案針對(duì)特定場(chǎng)景的具體演練情況進(jìn)行描述，主要從演練技術(shù)操作層面描述整個(gè)演練實(shí)施過(guò)程，包括場(chǎng)景搭建、演練腳本等內(nèi)容。適用范圍本演練方案僅適用于本次在廣東電網(wǎng)公司對(duì)網(wǎng)站被掛馬的應(yīng)急演練。如果其它應(yīng)急演練需要，則必須對(duì)本演練方案內(nèi)容進(jìn)行審核及調(diào)整。本次演練目標(biāo)通過(guò)本次演練，檢驗(yàn)網(wǎng)站篡改預(yù)案以及本應(yīng)急演練方案的完善性和指導(dǎo)性，同時(shí)也提高本單位相關(guān)工作人員與第三方亞運(yùn)安保服務(wù)機(jī)構(gòu)的協(xié)同，并通過(guò)后續(xù)的演練總結(jié)，完善演練預(yù)案及方案、改進(jìn)應(yīng)急操作及流程、全面提高網(wǎng)站篡改事件的應(yīng)急響應(yīng)能力。演練內(nèi)容綜述演練事件描述通過(guò)在廣東電網(wǎng)公司內(nèi)網(wǎng)架設(shè)一套獨(dú)立的環(huán)境，模擬網(wǎng)站被掛馬，在最短時(shí)間恢復(fù)被篡改的網(wǎng)站對(duì)象至正常狀態(tài)，并追蹤攻擊來(lái)源，清除后門，做好補(bǔ)漏工作。本次演練原則本次演練在不影響廣東電網(wǎng)網(wǎng)絡(luò)系統(tǒng)的情況下進(jìn)行。因此，搭建一套專用的演練網(wǎng)絡(luò)，所有操作均在該網(wǎng)絡(luò)上進(jìn)行。演練時(shí)間計(jì)劃根據(jù)本次演練方案，整個(gè)網(wǎng)站掛馬應(yīng)急演練，不超過(guò)1小時(shí)（不包括前期場(chǎng)景搭建及準(zhǔn)備時(shí)間）。方案啟動(dòng)條件架設(shè)虛擬網(wǎng)站，模擬被入侵掛馬，即啟動(dòng)該應(yīng)急預(yù)案。

演練工作方案5.1演練準(zhǔn)備工作1、演練溝通會(huì)。（確定演練時(shí)間、地點(diǎn)、人員）通過(guò)雙方召開(kāi)的演練溝通會(huì)，確定本次演練相關(guān)人員角色實(shí)時(shí)監(jiān)測(cè)人員角色實(shí)時(shí)監(jiān)測(cè)人員姓名應(yīng)急保障人員管理協(xié)調(diào)人員系統(tǒng)維護(hù)人員應(yīng)急管理人員。上級(jí)協(xié)調(diào)人員電話備注同一工作人員可擔(dān)任多個(gè)角色，同一角色亦可由多人擔(dān)任。演練地點(diǎn)：XXX演練時(shí)間：XXX夜間12點(diǎn)開(kāi)始2、確定需要備份的系統(tǒng)由于本次演練環(huán)境為專門搭建，不存在需要備份的系統(tǒng)3、確定其它影響由于本次演練環(huán)境為專門搭建，不會(huì)對(duì)其它任何系統(tǒng)造成影響5.2演練場(chǎng)景搭建1、三層交換機(jī)一臺(tái)，需支持端口鏡像功能。交換機(jī)設(shè)置網(wǎng)關(guān)為192.168.0.1；2、服務(wù)器兩臺(tái)（可用虛擬系統(tǒng)代替，均為WINDOWS2003操作系統(tǒng)），其中一臺(tái)搭建被攻擊網(wǎng)站，另一臺(tái)搭建超級(jí)巡警統(tǒng)一網(wǎng)站安全監(jiān)控系統(tǒng)，一臺(tái)PC用來(lái)做攻擊方；3、網(wǎng)關(guān)IP為192.168.0.1,攻擊方IP為192.168.0.5,被攻擊網(wǎng)站服務(wù)器IP為192.168.0.10，超級(jí)巡警服務(wù)器IP為192.168.0.11；4、軟件工具有：網(wǎng)馬掃描工具M(jìn)HTScan、MSScaner，網(wǎng)馬分析工具M(jìn)Decoder。被攻擊方IP:192.168.0.10超級(jí)巡警服務(wù)器IP：192.168.0.11被攻擊方IP:192.168.0.10超級(jí)巡警服務(wù)器IP：192.168.0.11掩碼：255.255.255。0網(wǎng)關(guān)：192.168.0.10掩碼：255.255.255.0網(wǎng)關(guān)：192.168.0.15.3演練收?qǐng)龉ぷ?、移除演練環(huán)境，測(cè)試網(wǎng)絡(luò)是否正常；2、總結(jié)演練成果（見(jiàn)“改進(jìn)工作”一章）演練腳本階段演練腳本內(nèi)容1、準(zhǔn)備1、由應(yīng)急保障人員備份以搭建好的網(wǎng)站并準(zhǔn)備應(yīng)急頁(yè)面；

(24:00—24:05)2、由應(yīng)急保障人員在超級(jí)巡警統(tǒng)網(wǎng)站安全監(jiān)控系統(tǒng)上加入被攻擊網(wǎng)站的URL并在該服務(wù)器上安裝網(wǎng)馬掃描工具M(jìn)HTScan、MSScaner，網(wǎng)馬分析工具M(jìn)Decoder；(24:05-24:10)3、模擬入侵服務(wù)器，在PC上用遠(yuǎn)控桌面(3389)登陸服務(wù)器A并在網(wǎng)站頁(yè)面上添加模擬木馬代碼：〈iframeid二mylframesrc二"muma.htm"width二"0"height二"0"frameborder=0></iframe>。；(24:10-24:15)2、檢測(cè)1、由實(shí)時(shí)監(jiān)測(cè)人員登錄超級(jí)巡警統(tǒng)一網(wǎng)站安全監(jiān)控系統(tǒng)即查看被攻擊網(wǎng)站的被掛馬情況；(24:15-24:20)2、由應(yīng)急保障人員在分別利用工具M(jìn)HTScan、MSScaner、MDecoder分析網(wǎng)站被掛馬情況。(24:20-24:32)3、抑制1、由應(yīng)急保障人員備份網(wǎng)站日志和網(wǎng)頁(yè)文件，停止運(yùn)行網(wǎng)站；(24:32-24:36)2、由應(yīng)急保障人員暫?jiǎn)⒂脩?yīng)急網(wǎng)站，避免停止服務(wù)。(24:36-24:38)4、恢復(fù)1、由應(yīng)急保障人員恢復(fù)網(wǎng)站備份，開(kāi)啟網(wǎng)站；(24:38-24:45)2、由應(yīng)急保障人員在測(cè)試網(wǎng)站可用性。(24:45-24:46)5、根除1、由系統(tǒng)維護(hù)人員修改加強(qiáng)管理員密碼；(服務(wù)器密碼過(guò)于簡(jiǎn)單)2、由系統(tǒng)維護(hù)人員刪除系統(tǒng)、網(wǎng)站和數(shù)據(jù)庫(kù)多余賬號(hào)；(權(quán)限)。(被入侵，留下后門)3、由系統(tǒng)維護(hù)人員更新服務(wù)器補(bǔ)??；(服務(wù)器本身有樓道)4、由系統(tǒng)維護(hù)人員更新網(wǎng)站版本。(網(wǎng)站代碼有漏洞)(24:46-24:55)6、追蹤1、由應(yīng)急管理人員匯報(bào)上級(jí)(24:55-24:45)2、總結(jié)報(bào)告改進(jìn)工