本文为软考信息安全工程师个人学习笔记，依据官方考试大纲与公开技术规范整理，仅用于学习交流，不作为商业用途。
一、网络安全应急响应概述
1.1 基本定义
网络安全应急响应是指为应对网络安全事件，进行监测、预警、分析、响应和恢复等工作。
五大核心工作：
| 工作 | 说明 | 考试重要性 |
|---|---|---|
| 监测 | 实时监控网络安全状态 | ★★★ |
| 预警 | 发布安全预警信息 | ★★★ |
| 分析 | 分析安全事件原因和影响 | ★★★ |
| 响应 | 采取应急处置措施 | ★★ |
| 恢复 | 恢复系统正常运行 | ★★ |
考试重点：前三项（监测/预警/分析）是考试重点，后两项（响应/恢复）属于常识性内容。
1.2 历史起源与组织机构
| 事件/组织 | 时间 | 说明 |
|---|---|---|
| "小莫里斯网络蠕虫"事件 | 1988年 | 导致上千台计算机受影响，促使美国政府成立全球首个计算机安全应急组织 |
| CERT | 1988年 | 世界上第一个计算机安全应急组织（Computer Emergency Response Team） |
| FIRST | --- | 国际性网络安全应急响应组织，目标是成为全球公认的应急响应领导者 |
| CNCERT/CC | --- | 国家互联网应急中心（China National Computer Network Emergency Response Technical Team/Coordination Center） |
国内应急响应16字方针：积极预防、及时发现、快速响应、力保恢复。
易混淆点：CERT是美国组织，CNCERT是中国组织，FIRST是国际组织而非国家机构。16字方针中"及时发现"可能被抠空考察。
关键基础设施示例：运营商5G网络、电信光纤、DNS域名服务、PKI公钥基础设施等。
1.3 法律依据
《中华人民共和国网络安全法》关于应急响应的要求：
| 法律条文 | 具体要求 |
|---|---|
| 第五十二条 | 负责关键信息基础设施安全保护工作的部门，应建立健全本行业、本领域的网络安全监测预警和信息通报制度，按规定报送监测预警信息 |
| 第五十三条 | 国家网信部门协调建立健全网络安全风险评估和应急工作机制，制定应急预案并定期演练；关键信息基础设施部门应制定本行业应急预案并定期演练；应急预案应对事件分级并规定处置措施 |
| 第五十五条 | 发生网络安全事件应立即启动应急预案，调查评估，要求运营者采取技术措施消除隐患，防止危害扩大，及时发布公众警示信息 |
典型案例：某企业因未向国内报告Apache漏洞被处罚，对应第52条信息通报义务。
二、应急响应组织建立与工作机制
2.1 组织构成
| 组别 | 职责 |
|---|---|
| 应急领导组 | 应急指挥、协调 |
| 应急技术支撑组 | 解决技术问题和现场操作处理 |
技术组九项工作：
- 网络安全威胁情报分析研究
- 网络安全事件的监测与分析
- 网络安全预警信息发布
- 应急响应预案编写与修订
- 应急响应知识库开发与管理
- 应急响应演练
- 网络安全事件响应和处置
- 网络安全事件分析和总结
- 网络安全教育与培训
2.2 应急响应组织类型
| 类型 | 说明 |
|---|---|
| 公益性应急响应组 | 非营利性质，提供免费服务 |
| 内部应急响应组 | 单位或公司内部专门成立的应急小组 |
| 商业性应急响应组 | 提供有偿服务的专业机构 |
| 厂商应急响应组 | 产品厂商内部设立的应急组织 |
三、网络安全事件类型与分级
3.1 事件基本分类
中央网信办发布《国家网络安全事件应急预案》，把安全事件分为7个基本分类：
| 序号 | 事件类型 | 说明 |
|---|---|---|
| 1 | 恶意程序事件 | 病毒、蠕虫、木马、僵尸网络等 |
| 2 | 网络攻击事件 | 扫描攻击、暴力破解、漏洞利用、DDoS等 |
| 3 | 信息破坏事件 | 数据篡改、信息泄露等 |
| 4 | 信息内容安全事件 | 涉及敏感政治内容等 |
| 5 | 设备设施故障 | 硬件故障、系统崩溃等 |
| 6 | 灾害性事件 | 自然灾害导致的安全事件 |
| 7 | 其他信息安全事件 | 上述未涵盖的事件 |
3.2 事件分级
根据对国家安全、社会秩序、经济建设和公众利益的影响程度，分为四级：
| 级别 | 名称 | 特征描述 |
|---|---|---|
| 一级 | 特别重大网络安全事件 | 重要系统遭受特别严重损失，大面积瘫痪丧失业务处理能力；国家秘密/重要敏感信息/关键数据丢失或被窃取篡改假冒，对国家安全和社会稳定构成特别严重威胁 |
| 二级 | 重大网络安全事件 | 重要系统遭受严重损失，长时间中断或局部瘫痪，业务处理能力受到极大影响；敏感信息泄露对国家安全构成严重威胁 |
| 三级 | 较大网络安全事件 | 重要系统遭受较大损失，造成系统中断，明显影响系统效率；敏感信息泄露对国家安全构成较严重威胁 |
| 四级 | 一般网络安全事件 | 对国家安全、社会秩序、经济建设和公众利益构成一定威胁、造成一定影响 |
记忆技巧：四级对应"特别严重→严重→较严重→一定"的影响程度递降。
四、应急预案内容与分类
4.1 应急预案基本内容
| 内容要素 | 说明 |
|---|---|
| 紧急情况类型及处理措施 | 详细列出系统紧急情况的类型及处理措施 |
| 事件处理基本工作流程 | 事件响应的标准化流程 |
| 应急处理具体步骤及操作顺序 | 执行应急预案的具体步骤和操作顺序 |
| 相关人员联系信息 | 执行人员姓名、住址、电话及职能部门联系方式 |
4.2 应急预案类型
按覆盖的管理区域分为：
| 类型 | 特点 |
|---|---|
| 国家级应急预案 | 宏观指导性文件 |
| 区域级应急预案 | 区域性指导文件 |
| 行业级应急预案 | 行业特定指导 |
| 部门级应急预案 | 具体操作规范 |
层级特点：管理层级高的预案偏向指导，层级较低的预案侧重于网络安全事件的处置操作规程。
五、常见应急事件场景与处理
5.1 核心业务中断或硬件故障（I级）
处置流程：
- 迅速判断故障节点，启用备用设备或线路
- 防火墙故障：将最近一次配置备份导入备用防火墙，替换故障设备，先检查网络连通性，再检查防火墙状态及策略
- 交换机故障：启用备用设备，导入备份配置，检查各用户网络访问
- 上级网络故障：立即向上级信息网络管理部门报障，要求尽快恢复
实际应用：真实项目中多采用HA热备方案，而非临时替换设备。
5.2 门户网站被篡改（I级）
处置流程：
- 立即断开网站与互联网的连接，停止系统运行
- 将被攻击服务器从网络中隔离，保护现场
- 由相关人员恢复与重建被攻击系统，恢复系统数据
- 追查非法信息来源，向上级主管部门或公安部门报警
关键原则：首要任务是控制影响范围（断网隔离），其次才是恢复和追查。
5.3 外网系统遭黑客入侵（II级）
处置流程：
- 立即断开网站和相关系统与互联网的连接
- 使用防火墙对攻击来源进行封堵
- 记录当前连接情况，保存相关日志
- 向上级主管部门或网监部门报警
- 在强化安全防范措施基础上，修复系统后重新投入使用
5.4 外网系统遭拒绝服务攻击（II级）
处置流程：
- 使用防火墙对攻击来源进行封堵
- 更改DNS解析，将拒绝服务攻击分流
- 记录当前连接情况，保存相关日志
- 以上程序仍无法解决时，断开网站与互联网连接，向上级主管部门或公安部门报警
- 在互联网管理部门和公安部门协助下解决
技术说明：DDoS攻击需配合流量清洗设备，传统防火墙难以应对大规模攻击。
5.5 外部电源中断（II级）
处置流程：
- 手动切换至备用供电线路
- 立即查明断电原因，如内部线路故障联系物业恢复
- 预计停电1小时以内：由UPS供电
- 停电超过1小时：关闭网络设备、服务器、精密空调、UPS电源和配电柜总开关等设备
实际应用：大型数据中心应配备柴油发电机作为后备电源。
六、网络安全应急处理流程
应急事件处理一般包括六个步骤：
①安全事件报警 → ②安全事件确认 → ③启动应急预案
→ ④安全事件处理 → ⑤撰写安全事件报告 → ⑥应急工作总结6.1 安全事件报警
发生紧急情况时，由值班工作人员及时报告。报警人员要准确描述安全事件并做书面记录。
上报流程：依次报告值班人员→应急工作组长→应急领导小组。
6.2 安全事件确认
应急工作组长和应急领导小组接到报警后，首先判断安全事件类型，然后确定是否启动应急预案。
6.3 启动应急预案
应急预案是充分考虑各种安全事件后制定的应急处理措施，必须避免在紧急情况下找不到预案或无法启动预案。
6.4 安全事件处理
要求至少两人参加，包括六个阶段：
| 阶段 | 说明 |
|---|---|
| 准备工作 | 通知相关人员，交换必要信息 |
| 检测工作 | 对现场做快照，保护一切可能作为证据的记录（系统事件、处理者行动、与外界沟通情况） |
| 抑制工作 | 采取围堵措施，尽量限制攻击涉及范围 |
| 根除工作 | 解决问题，根除隐患，分析系统脆弱点并采取补救措施；清理现场时务必采集保存所有必要原始信息 |
| 恢复工作 | 恢复系统，使系统正常运行 |
| 总结工作 | 提交事故处理报告 |
关键区分：抑制阶段是防止问题扩大，根除阶段是彻底解决问题。清理现场时务必保存原始信息存档。
6.5 撰写安全事件报告
根据事件处理工作记录和原始数据，结合专家知识完成报告。
报告必备内容：
- 安全事件发生的日期
- 参加人员
- 事件发现的途径
- 事件类型
- 事件涉及的范围
- 现场记录
- 事件导致的损失和影响
- 事件处理的过程
- 应吸取的经验与教训
6.6 应急工作总结
召开应急工作总结会议，回顾处理过程中遇到的问题，分析原因，找出解决方法，优化应急机制。
七、网络安全事件应急演练
7.1 按组织形式分类
| 类型 | 说明 | 特点 |
|---|---|---|
| 桌面应急演练 | 利用地图、沙盘、流程图、计算机模拟、视频会议等辅助手段，针对事先假定的演练情景，讨论和推演应急决策及现场处置 | 通常在室内完成，提升指挥决策和协同配合能力 |
| 实战应急演练 | 利用应急处置涉及的设备和物资，针对事先设置的突发情景，通过实际决策、行动和操作完成真实应急响应 | 通常在特定场所完成，检验临场组织指挥、队伍调动、应急处置技能 |
7.2 按内容分类
| 类型 | 说明 |
|---|---|
| 单项应急演练 | 只涉及应急预案中特定应急响应功能或现场处置方案中一系列应急响应功能，针对特定环节和功能检验 |
| 综合应急演练 | 涉及应急预案中多项或全部应急响应功能，注重对多个环节和功能检验，特别是不同单位之间应急机制和联合应对能力 |
7.3 按目的与作用分类
| 类型 | 说明 |
|---|---|
| 检验性应急演练 | 检验应急预案的可行性、应急准备的充分性、应急机制的协调性及相关人员的应急处置能力 |
| 示范性应急演练 | 向观摩人员展示应急能力或提供示范教学，严格按应急预案规定开展 |
| 研究性应急演练 | 为研究和解决突发事件应急处置的重点、难点问题，试验新方案、新技术、新装备 |
本章小结
本章节系统梳理了网络安全应急响应的基础理论与处理流程：
- 应急响应定义：监测、预警、分析、响应、恢复五大工作（前三项为考试重点）
- 历史起源：1988年莫里斯蠕虫事件催生CERT（全球首个），FIRST是国际组织，CNCERT/CC是中国国家应急中心
- 16字方针：积极预防、及时发现、快速响应、力保恢复
- 法律依据：《网络安全法》第52条（信息通报义务）、第53条（应急预案与演练）、第55条（事件处置与警示）
- 组织构成：应急领导组（指挥协调）+技术支撑组（现场操作），九项技术工作
- 组织类型：公益性/内部/商业性/厂商四类
- 事件7分类：恶意程序/网络攻击/信息破坏/信息内容安全/设备设施故障/灾害性/其他
- 事件4分级：特别重大（一级）/重大（二级）/较大（三级）/一般（四级），影响程度递降
- 应急预案4要素：紧急情况类型/处理流程/操作步骤/联系人信息
- 预案4层级：国家级/区域级/行业级/部门级（高层偏指导，低层偏操作）
- 典型场景处置：核心业务中断（I级，启用备用设备）、网站篡改（I级，断网→隔离→恢复→追查）、黑客入侵（II级，断网→封堵→日志→报警）、DDoS（II级，封堵→DNS分流→日志→断网报警）、停电（II级，切换备用→UPS→超1小时关机）
- 应急处理6步：报警→确认→启动预案→处理（准备/检测/抑制/根除/恢复/总结，至少两人）→撰写报告→总结
- 演练分类：按形式（桌面/实战）、按内容（单项/综合）、按目的（检验性/示范性/研究性）
上述内容中，16字方针、事件7分类和4分级、应急处理6步流程、安全事件处理六阶段（特别是抑制vs根除区分）、演练类型为高频考点，典型场景处置流程和应急预案内容可能出现在下午案例分析题中。
本文为软考信息安全工程师个人学习笔记，依据官方考试大纲与公开技术规范整理，仅用于学习交流，不作为商业用途。