网络安全应急实践指南

应急响应 基础篇
1．计算机安全事件 2
2．应急响应的目标 5
3．应急响应的能力要求 6
4．应急响应组织 6
5．应急响应方法 7
6．计算机取证[29] 14
应急响应 组织篇
第1章 应急响应组织及其作用 20
1.1 应急响应组织 20
1.2 应急响应组织的作用 24
1.2.1 网络安全事件应急响应 25
1.2.2 网络安全事件预防 31
1.2.3 安全质量管理 34
1.3 应急响应小组的分类、架构和工作范围 36
1.3.1 应急响应小组的分类 37
1.3.2 应急响应小组的架构 38
1.3.3 应急响应小组的工作范围 39
第2章 国家级网络安全应急响应组织 42
2.1 什么是国家级网络安全应急响应组织 42
2.2 国家级网络安全应急响应组织的职能 44
2.3 国家级网络安全应急响应组织需要具备的能力 46
2.4 国家级网络安全应急响应组织与其他应急组织合作的意义 48
第3章 CNCERT/CC 50
3.1 CNCERT/CC简介 50
3.2 CNCERT/CC的职能和工作原则 51
3.2.1 主要职能 51
3.2.2 工作原则 55
3.3 863-917网络安全监测平台 56
3.3.1 具备的能力 56
3.3.2 发挥的作用 57
3.4 CNCERT/CC处置的典型网络安全事件 59
3.4.1 蠕虫事件 60
3.4.2 网络仿冒 63
3.4.3 拒绝服务攻击 65
3.4.4 僵尸网络事件 66
3.4.5 UDP1026和1027端口流量异常事件 67
3.5 CNCERT/CC与国内应急组织的交流和合作 68
3.6 CNCERT/CC的国际交流与合作 70
第4章 网络安全应急响应小组的日常运作 75
4.1 网络安全应急响应小组的建立 75
4.1.1 需求分析 76
4.1.2 提出建议 76
4.1.3 制定计划或方案 77
4.1.4 获得批准 77
4.1.5 获得所需的资源 77
4.1.6 正式运作 77
4.1.7 与其他网络安全应急响应小组建立联系 77
4.2 网络安全应急响应小组的工作原则 78
4.2.1 行为准则 78
4.2.2 信息分类原则 80
4.2.3 信息透露原则 81
4.2.4 媒体原则 85
4.2.5 安全原则 86
4.2.6 失误处理原则 87
4.3 网络安全应急响应小组运作的有关问题 88
4.3.1 网络安全应急响应小组的规章 88
4.3.2 工作计划 92
4.3.3 通信 93
4.3.4 电子邮件 93
4.3.5 工作流管理工具 94
4.3.6 信息系统 94
4.3.7 IP地址和域名 95
4.3.8 网络和主机的安全性 95
4.3.9 安全管理 96
4.3.10 现场响应 101
4.3.11 员工的问题 101
4.4 网络安全应急响应小组之间的协作 102
4.4.1 建立联系点（POC）网络 103
4.4.2 保证信息共享安全性 103
4.4.3 协作进行事件处理和调查 103
4.4.4 注册到一个公共目录服务 103
应急响应 实践篇
第5章 大规模蠕虫事件的处置 106
5.1 大规模蠕虫事件的特点 107
5.2 大规模蠕虫事件的威胁 108
5.3 CNCERT/CC如何应对大规模的蠕虫事件 109
5.4 CNCERT/CC处置大规模蠕虫事件的流程 112
5.5 运营商应该如何应对大规模的蠕虫事件 116
5.6 重要信息系统应该如何应对大规模的蠕虫事件 118
5.7 普通网民应该如何应对大规模的蠕虫事件 120
5.8 结束语 121
第6章 僵尸网络的处置 122
6.1 什么是僵尸网络 122
6.2 僵尸网络的危害 126
6.3 僵尸网络的工作原理 128
6.3.1 IRC（Internet Relay Chat）协议简介 129
6.3.2 IRC Bot的实现 129
6.3.3 僵尸网络的构建和扩张 131
6.3.4 僵尸网络攻击平台的一些具体体现 132
6.4 僵尸网络的发现 134
6.5 僵尸网络的控制 139
6.6 分析僵尸网络的几个技巧 141
6.7 个人用户如何防范僵尸程序 143
6.8 僵尸网络的发展趋势和未来的研究重点 144
6.9 个人用户手工清除BOT实例 145
6.10 CNCERT/CC对僵尸网络的处置流程 147
6.11 实际案例分析——国内首起大型僵尸网络事件 149
6.12 结束语 151
第7章 网站被攻击事件的处置 152
7.1 什么是对网站的攻击 153
7.2 黑客攻击网站的几种方式 153
7.3 近年我国政府网站被篡改的情况 156
7.4 如何避免自己的网站遭受攻击 157
7.5 CNCERT/CC如何处置网页篡改事件 159
7.6 CNCERT/CC关于网页篡改事件的处理流程 160
7.7 结束语 161
第8章 网络仿冒事件的处置 162
8.1 什么叫网络仿冒 162
8.2 网页被仿冒的几种表现形式 163
8.3 我国网络仿冒的基本情况 164
8.4 CNCERT/CC如何处置网络仿冒事件 165
8.5 CNCERT/CC对网络仿冒事件的处置流程 166
8.6 结束语 168
第9章 拒绝服务攻击事件的处置 169
9.1 什么是拒绝服务攻击 169
9.2 遭到DDoS攻击时的表象 170
9.3 黑客如何组织一次DDoS攻击 171
9.4 如何有效地防范DDoS攻击 172
9.5 CNCERT/CC如何处置DDoS攻击事件 174
9.6 CNCERT/CC对DoS攻击事件的处置流程 175
9.7 结束语 177
第10章 不当使用事件的处置 178
10.1 什么是不当使用事件 178
10.2 不当使用事件的安全风险 179
10.2.1 组织安全管理低效 180
10.2.2 组织安全防护机制失能 180
10.3 不当使用事件的发现、分析 181
10.4 不当使用事件的处置 183
10.5 如何有效地预防不当使用事件的发生 183
应急响应 协作篇
第11章 网络安全应急响应的信息共享 188
11.1 CERT组织之间信息共享的必要性 188
11.2 CERT组织之间信息共享的机制 189
11.3 CERT组织之间信息共享的内容 190
11.4 CERT组织之间信息共享的方式 191
11.5 信息共享有关标准的制定和应用 192
11.5.1 事件对象描述和交换格式（IODEF） 192
11.5.2 建议交换通用格式（CAIF） 193
11.6 CNCERT/CC与其他应急组织之间的信息共享 194
11.6.1 与多家应急小组签订了合作备忘录 194
11.6.2 日常信息交换和共享 194
11.6.3 主办和参与网络安全相关的会议 194
11.6.4 积极推广事件对象描述和交换格式的应用 195
第12章 FIRST组织 196
12.1 FIRST是一个什么组织 196
12.2 FIRST的组织结构和职能 197
12.3 如何加入FIRST组织 201
第13章 APCERT组织 204
13.1 APCERT是一个什么组织 204
13.2 APCERT的组织结构和职能 205
13.3 如何加入APCERT 209
第14章 关于网络安全应急年会 212
14.1 第一届年会（2004年） 213
14.2 第二届年会（2005年） 213
14.3 第三届年会（2006年） 216
14.4 第四届年会（2007年） 217
应急响应 文化篇
第15章 培育网络安全文化 223
15.1 网络安全文化的基本内涵 224
15.2 安全文化必须植入信息技术文化之中 225
第16章 提高全民信息安全意识 227
16.1 信息安全意识 227
16.2 信息安全意识所关注和强调的是一个社会层面的问题 228
16.3 结束语 231
附录A 缩略语解释 233
附录B 名词解释 237
参考文献 241