應(yīng)急響應(yīng)的前提
面對網(wǎng)絡(luò)信息安全不斷嚴(yán)峻的形勢，高校在完善信息化建設(shè)與網(wǎng)絡(luò)安全治理的長效體制、管理流程、設(shè)備技術(shù)、人員隊(duì)伍的同時(shí)，首當(dāng)其沖的是要根據(jù)政策環(huán)境要求，明確學(xué)校網(wǎng)絡(luò)信息安全責(zé)權(quán)制度和制定完備有效的網(wǎng)絡(luò)信息安全應(yīng)急預(yù)案。
《中華人民共和國網(wǎng)絡(luò)安全法》、教育部《信息技術(shù)安全事件報(bào)告與處置流程（試行）》《教育行業(yè)網(wǎng)絡(luò)安全綜合治理行動(dòng)方案》等都對監(jiān)測預(yù)警、應(yīng)急響應(yīng)等提出了明確要求。
高校制定網(wǎng)絡(luò)信息安全應(yīng)急預(yù)案的前提，就是要明確學(xué)校網(wǎng)絡(luò)信息安全的責(zé)權(quán)體制，也就是要明確“誰主管誰負(fù)責(zé)、誰運(yùn)維誰負(fù)責(zé)、誰使用誰負(fù)責(zé)”，明確網(wǎng)絡(luò)信息安全工作的責(zé)任方、管理方、技術(shù)支持方的責(zé)權(quán)邊界。
由于網(wǎng)絡(luò)安全漏洞信息的獲取和處置是提升組織整體安全水平的重要手段，因此高校網(wǎng)絡(luò)信息安全應(yīng)急預(yù)案不僅需要明確和規(guī)定針對學(xué)校相關(guān)的網(wǎng)絡(luò)安全事件的應(yīng)對工作，也應(yīng)該包括對網(wǎng)絡(luò)安全漏洞的應(yīng)對工作。
現(xiàn)階段制定網(wǎng)絡(luò)信息安全應(yīng)急預(yù)案，主要是確定具體安全事件、安全漏洞等網(wǎng)絡(luò)信息安全信息的獲取途徑，內(nèi)部通知和上報(bào)機(jī)制，分級應(yīng)急處置手段，整改督促和監(jiān)督，后續(xù)報(bào)告與確認(rèn)等流程和內(nèi)容。
以下示例就是某高校網(wǎng)絡(luò)信息安全技術(shù)部門制定的網(wǎng)絡(luò)信息安全處置預(yù)案，主要從工作內(nèi)容、相關(guān)部門、參與人員、安全事件分級、安全情報(bào)信息來源、現(xiàn)有處置手段、處置與上報(bào)流程及時(shí)間要求等七個(gè)部分對應(yīng)急處置工作進(jìn)行規(guī)范，根據(jù)不同的安全事件級別采取有針對性的處置手段和提出相應(yīng)的時(shí)間要求，將網(wǎng)絡(luò)安全事件應(yīng)急響應(yīng)工作落到實(shí)處。
應(yīng)急響應(yīng)預(yù)案示例
以下是某高校網(wǎng)絡(luò)信息安全處置預(yù)案的七個(gè)方面：
工作內(nèi)容
校園網(wǎng)絡(luò)和數(shù)據(jù)中心安全防控：校園網(wǎng)絡(luò)出口路由和交換設(shè)備安全策略配置，數(shù)據(jù)中心出口網(wǎng)絡(luò)防火墻、應(yīng)用防火墻等設(shè)備部署。常態(tài)化主機(jī)與應(yīng)用漏洞掃描：每周對托管在網(wǎng)絡(luò)中心管理范圍內(nèi)的物理主機(jī)和虛擬主機(jī)，利用現(xiàn)有主機(jī)與應(yīng)用漏洞掃描設(shè)備，進(jìn)行主動(dòng)漏洞掃描，對存在高危可被利用漏洞的主機(jī)信息進(jìn)行匯總和上報(bào)。
安全事件響應(yīng)、處置、通知和監(jiān)督整改：從各類信息來源實(shí)時(shí)獲取學(xué)校相關(guān)的網(wǎng)絡(luò)信息安全情報(bào)，及時(shí)進(jìn)行分析、確認(rèn)、處置、通知和監(jiān)督整改等工作。
2
相關(guān)部門
責(zé)任部門：網(wǎng)絡(luò)安全事件、安全漏洞的主管部門；
管理部門：信息化建設(shè)與網(wǎng)絡(luò)安全辦公室；
技術(shù)支持部門：網(wǎng)絡(luò)信息中心。
3
參與人員
整體組織協(xié)調(diào)：××。
技術(shù)支撐與應(yīng)急處置：主要參與人員包括××、××、……。
此外，網(wǎng)絡(luò)信息中心其他同事也須在值班期間和所屬工作范圍內(nèi)支持網(wǎng)絡(luò)信息安全工作。
4
安全事件分級
（1）安全事件，學(xué)校相關(guān)主機(jī)或服務(wù)發(fā)生頁面被篡改、數(shù)據(jù)泄漏、網(wǎng)站被掛木馬、主機(jī)被入侵等狀況。
政治類，涉及反黨、反國家、反人類等相關(guān)信息；
非政治類，不涉及政治相關(guān)內(nèi)容。
（2）安全漏洞，通過各種途徑獲知的學(xué)校相關(guān)主機(jī)或服務(wù)存在可被黑客利用的漏洞，即存在被攻擊風(fēng)險(xiǎn)，但是尚未被黑客利用。
5
安全情報(bào)信息來源
（1）教育部科技司和教育管理信息中心、××省教育廳等信息安全事件通報(bào)
（2）補(bǔ)天、漏洞盒子等主流漏洞平臺獲取的學(xué)校相關(guān)的漏洞信息
通過電子郵件（security@mail.×××.edu.cn）或網(wǎng)站瀏覽獲取漏洞信息。
（3）中國高等教育學(xué)會(huì)教育信息化分會(huì)下屬的網(wǎng)絡(luò)信息安全工作組
教育行業(yè)漏洞報(bào)告平臺（Beta）（https：//src.edu-info.edu.cn/）、在線漏洞發(fā)現(xiàn)與檢測平臺（http：//202.112.26.107/），網(wǎng)絡(luò)信息安全工作組信息交流微信群和QQ群（224539320），國家信息安全漏洞共享平臺（http：//www.cnvd.org.cn/）教育行業(yè)漏洞信息。
（4）CERNET應(yīng)急響應(yīng)組
依托清華大學(xué)的CERNET應(yīng)急響應(yīng)組會(huì)第一時(shí)間電話、QQ和郵件告知學(xué)校相關(guān)的漏洞信息。
學(xué)校自有漏洞掃描設(shè)備、360免費(fèi)企業(yè)平臺或人工掃描獲取。
6
現(xiàn)有處置手段
（1）斷開網(wǎng)絡(luò)服務(wù)（包括面向互聯(lián)網(wǎng)和校園網(wǎng)內(nèi)）：IP地址封鎖系統(tǒng)，人員在線登錄后操作，主要供值班人員第一時(shí)間進(jìn)行處置；在該系統(tǒng)中處置后，訪問相應(yīng)的網(wǎng)站或信息系統(tǒng)將跳轉(zhuǎn)到指定頁面，在頁面中提示具體的封禁原因，并記錄詳細(xì)操作日志。
（2）斷開互聯(lián)網(wǎng)訪問（校內(nèi)可以訪問）：主要是兩種方式，一種是在出口計(jì)費(fèi)系統(tǒng)后臺，封鎖對應(yīng)透明IP地址賬號；一種是在出口網(wǎng)絡(luò)設(shè)備上，增加安全策略。實(shí)際處置過程中，主要通過計(jì)費(fèi)系統(tǒng)操作。
（3）關(guān)閉物理主機(jī)：需要值班人員手工操作。
（4）關(guān)閉虛擬主機(jī)：在線登錄虛擬主機(jī)管理平臺操作。
7
處置與上報(bào)流程及時(shí)間要求
（1）校園網(wǎng)絡(luò)和數(shù)據(jù)中心安全防控：技術(shù)支持部門實(shí)施配置和日常管理；
（2）常態(tài)化主機(jī)與應(yīng)用漏洞掃描：技術(shù)支持部門每周對托管在學(xué)校管理范圍內(nèi)的物理主機(jī)和虛擬主機(jī)進(jìn)行主機(jī)與應(yīng)用漏洞掃描，每周一匯總掃描情況，對存在高危可被利用漏洞的主機(jī)信息進(jìn)行匯總和上報(bào)校管理部門；
（3）安全事件發(fā)現(xiàn)、響應(yīng)、處置、通知和監(jiān)督整改：
安全事件：政治類
第一時(shí)間（從安全事件信息獲取到處置力爭不超過30分鐘）從技術(shù)支持部門能力范圍斷開網(wǎng)站和信息系統(tǒng)的互聯(lián)網(wǎng)訪問，主機(jī)托管在技術(shù)支持部門的第一時(shí)間關(guān)閉相關(guān)的物理或虛擬主機(jī)，第一時(shí)間匯報(bào)給管理部門；
技術(shù)支持部門安全、網(wǎng)絡(luò)和信息團(tuán)隊(duì)提供后續(xù)技術(shù)支撐；
責(zé)任部門報(bào)送整改報(bào)告（學(xué)院部處主要領(lǐng)導(dǎo)簽字，并加蓋處級單位公章）到管理部門，技術(shù)支持部門根據(jù)管理部門要求進(jìn)行技術(shù)驗(yàn)證后，恢復(fù)互聯(lián)網(wǎng)訪問。
安全事件：非政治類
第一時(shí)間（從安全事件信息獲取到處置力爭不超過6小時(shí)）從技術(shù)支持部門能力范圍斷開網(wǎng)站和信息系統(tǒng)的互聯(lián)網(wǎng)訪問，第一時(shí)間匯報(bào)給管理部門；
根據(jù)技術(shù)支持部門托管聯(lián)系人信息或查找的校內(nèi)聯(lián)系方式，告知相關(guān)部處人員進(jìn)行處置，或由管理部門直接通知到責(zé)任部門領(lǐng)導(dǎo)以加快整改；
技術(shù)支持部門安全、網(wǎng)絡(luò)和信息團(tuán)隊(duì)提供后續(xù)技術(shù)支撐；
責(zé)任部門報(bào)送整改報(bào)告（學(xué)院部處主要領(lǐng)導(dǎo)簽字，并加蓋處級單位公章）到管理部門，技術(shù)支持部門根據(jù)管理部門要求進(jìn)行技術(shù)驗(yàn)證后，恢復(fù)互聯(lián)網(wǎng)訪問。
安全漏洞
對于面向互聯(lián)網(wǎng)提供信息發(fā)布功能的網(wǎng)站或系統(tǒng)，第一時(shí)間（從安全漏洞信息獲取到確認(rèn)不超過24小時(shí)）確認(rèn)安全漏洞是否屬實(shí)，確認(rèn)屬實(shí)后第一時(shí)間（從安全漏洞確認(rèn)到處置力爭不超過6小時(shí)）從技術(shù)支持部門能力范圍斷開網(wǎng)站和信息系統(tǒng)的互聯(lián)網(wǎng)訪問，防止漏洞被利用出現(xiàn)安全事件，第一時(shí)間匯報(bào)給責(zé)任部門；
根據(jù)技術(shù)支持部門托管聯(lián)系人信息或查找的校內(nèi)聯(lián)系方式，告知相關(guān)部處人員進(jìn)行處置，或由管理部門直接通知到責(zé)任部門領(lǐng)導(dǎo)以加快整改；
技術(shù)支持部門安全、網(wǎng)絡(luò)和信息團(tuán)隊(duì)提供后續(xù)技術(shù)支撐；
對于斷開互聯(lián)網(wǎng)訪問的系統(tǒng)，責(zé)任部門報(bào)送整改報(bào)告（學(xué)院部處主要領(lǐng)導(dǎo)簽字，并加蓋處級單位公章）到管理部門，技術(shù)支持部門根據(jù)管理部門要求進(jìn)行技術(shù)驗(yàn)證后，恢復(fù)互聯(lián)網(wǎng)訪問；
對于沒有面向互聯(lián)網(wǎng)提供信息發(fā)布功能的網(wǎng)站或系統(tǒng)，技術(shù)支持部門主要履行告知義務(wù)，技術(shù)支持部門安全、網(wǎng)絡(luò)和信息團(tuán)隊(duì)提供技術(shù)支持。
技術(shù)支持部門組成的跨網(wǎng)絡(luò)運(yùn)行管理和信息系統(tǒng)管理的網(wǎng)絡(luò)信息安全團(tuán)隊(duì)，將嚴(yán)格按照工作計(jì)劃內(nèi)容支撐學(xué)校網(wǎng)絡(luò)信息安全工作。
（作者單位為東北大學(xué)信息技術(shù)研究院）
【回顧】網(wǎng)絡(luò)安全應(yīng)急響應(yīng)
網(wǎng)絡(luò)安全“預(yù)”則立 | 網(wǎng)絡(luò)安全
安全事件響應(yīng)： 自動(dòng)化引領(lǐng)未來 | 網(wǎng)絡(luò)安全
黑洞路由技術(shù)：簡單快速的應(yīng)急手段 | 網(wǎng)絡(luò)安全
大連理工大學(xué)：探索應(yīng)急響應(yīng)服務(wù)外包之路 | 網(wǎng)絡(luò)安全
華南師范大學(xué)：Web 應(yīng)急響應(yīng)實(shí)行“搶單制” | 網(wǎng)絡(luò)安全
聯(lián)系客服
