信息安全應急響應服務是武漢非尼克斯軟件技術有限公司針對用戶方發(fā)生的突發(fā)性信息安全事件進行應急響應和處置，應急響應服務主要適用于處理勒索病毒、挖礦木馬、蠕蟲病毒、APT事件、網站掛馬、網站暗鏈、網站篡改、漏洞事件、數(shù)據泄露以及其他突發(fā)性安全事件，在突發(fā)性安全事件發(fā)生時采取專業(yè)的安全措施和行動，并對已經發(fā)生的安全事件進行監(jiān)控、分析、協(xié)調、處理、保護資產等安全屬性的工作，保障企業(yè)用戶的網絡安全，最大程度的減少安全事件所帶來的經濟損失以及惡劣的社會負面影響。突發(fā)事件應急響應處理流程主要分為五個階段，包括響應階段、檢查階段、抑制階段、根除階段和恢復階段。
響應階段：在實施應急響應工作前，客戶經理或項目經理收到客戶申請應急響應支持，由客戶經理或項目經理協(xié)調相關技術支持人員和客戶技術人員第一時間取得聯(lián)系，了解事件發(fā)生情況。技術人員判斷事件類型，并與客戶確認是否需要啟用應急響應服務。
檢測階段：啟用應急響應服務后，應急響應實施人員通過現(xiàn)場或非現(xiàn)場等方式進行信息收集，使用檢測搜集流量信息、檢測搜集系統(tǒng)信息及主機檢測等多種技術手段對事件進行詳細分析，并查找入侵痕跡。最后確定安全事件類型，評估安全事件的影響。
抑制階段：應急響應實施人員及時采取行動限制事件擴散和影響的范圍，限制潛在的損失與破壞，同時要與相關系統(tǒng)負責人溝通，確保抑制方法對涉及相關業(yè)務影響最小。抑制階段通常采用的技術手段如下：確定受害系統(tǒng)的范圍后，將被害系統(tǒng)和正常的系統(tǒng)進行隔離，斷開或暫時關閉被攻擊的系統(tǒng)，使攻擊先徹底停止；持續(xù)監(jiān)視系統(tǒng)和網絡活動，記錄異常流量的遠程IP、域名、端口；停止或刪除系統(tǒng)非正常帳號，隱藏帳號，更改口令，加強口令的安全級別；掛起或結束未被授權的、可疑的應用程序和進程；關閉存在的非法服務和不必要的服務；刪除系統(tǒng)各用戶“啟動”目錄下未授權自啟動程序；使用net share或其他第三方的工具停止所有開放的共享；使用反病毒軟件或其他安全工具檢查文件，掃描硬盤上所有的文件，隔離或清除病毒、木馬、蠕蟲、后門等可疑文件。
根除階段：應急響應實施人員協(xié)助客戶檢查所有受影響的系統(tǒng)，在準確判斷安全事件原因的基礎上，提出基于安全事件整體安全解決方案，排除系統(tǒng)安全風險。
恢復階段：應急響應實施人員協(xié)助客戶恢復安全事件所涉及到的系統(tǒng)，并還原到正常狀態(tài)，使業(yè)務能夠正常進行，恢復工作應避免出現(xiàn)誤操作導致數(shù)據的丟失。
