This is the Trace Id: 3427a3c1b2e0107ab251439fc9424cd3
跳转至主内容 Microsoft Defender Microsoft Entra Microsoft Intune Microsoft Purview 智能 Microsoft Security Copilot 副驾驶® Microsoft Sentinel 查看所有产品 AI 支持的网络安全 云安全 数据安全与治理 标识和网络访问 隐私和风险管理 AI 安全性 中小型企业 统一安全运营 零信任 价格 服务 合作伙伴 为什么选择 Microsoft 安全 网络安全意识 客户案例 安全性 101 产品试用 行业认可 安全响应中心 Microsoft 安全博客 Microsoft 安全活动 Microsoft 技术社区 文件 技术内容库 培训和认证 Microsoft Cloud 合规性计划 Microsoft 信任中心 服务信任门户 Microsoft 安全未来计划 业务解决方案中心 连络销售人员 开始免费试用 Microsoft 安全 Azure Dynamics 365 Microsoft 365 Microsoft Teams Windows 365 Microsoft AI Azure Space 混合现实 Microsoft HoloLens Microsoft Viva 量子计算 教育 汽车 金融服务 政府 医疗保健 制造业 零售业 查找合作伙伴 成为合作伙伴 合作伙伴网络 Microsoft Marketplace 软件公司 博客 Microsoft Advertising 开发人员中心 文档 活动 许可 Microsoft Learn Microsoft Research 查看站点地图
一个人正在与大型触控屏显示器交互

什么是事件响应？

探索有效事件响应如何帮助组织检测、处理和遏止网络攻击。
详细了解 Microsoft Sentinel

事件响应定义

在定义事件响应之前，有必要清楚什么是事件。在 IT 领域有三个术语，它们有时互换使用，但有不同的含义：
 

  1. 事件是经常发生的一种无害操作，例如创建文件、删除文件夹或打开电子邮件。事件本身通常不表示出现入侵行为，但是在与其他事件同时出现时，可能表示存在威胁。 
  2. 警报是事件触发的通知，可能是威胁，也可能不是。
  3. 事故是人类或自动化工具认为可能是真正威胁的一组相关警报。单独来看，每个警报可能看起来不是一个重要威胁，但出现多个警报时，则表明可能发生入侵。

事件响应是组织认为 IT 系统或数据可能遭到入侵时采取的行动。例如，安全专业人员在发现未经授权的用户、恶意软件或安全措施失败的证据时会采取行动。

响应的目标是尽快消除网络攻击、按照地区法律的要求通知任何客户或政府机构，并学习如何在未来降低出现类似入侵行为的风险。

事件响应的工作原理

当安全团队收到来自安全信息和事件管理 (SIEM) 系统的可信警报时，事件响应通常就会启动。

团队成员需要验证事件是否属于事故，然后隔离受影响的系统并移除威胁。如果事故很严重或者需要很长时间才能解决，组织可能需要还原备份数据、应对赎金问题，或者通知客户其数据遭到泄露。

因此，响应中通常也涉及到网络安全团队之外的人员。隐私专家、律师和业务决策者将帮助确定组织应对事故及其后果的方法。

安全事故的类型

攻击者有几种方法来试图访问公司的数据，或者用其他方式入侵公司的系统和业务运营。下面是最常见的几种方式：

网络钓鱼

网络钓鱼是一种社交工程攻击，攻击者利用电子邮件、短信或电话来冒充知名品牌或人士。典型的网络钓鱼攻击会试图说服接收人下载恶意软件或提供自己的密码。这些攻击会利用人们的信任，并利用恐惧等心理技巧来让人们采取行动。其中很多攻击没有目标，它们瞄准数千个人，希望有一个人作出回应。然而，有一种更复杂的攻击叫做鱼叉式网络钓鱼，它通过深入研究来编写旨在说服个体的消息。

恶意软件

恶意软件是指设计用来危害计算机系统或泄露数据的任何软件。它有许多不同的形式，包括病毒、勒索软件、间谍软件和特洛伊木马。恶意行动者利用硬件和软件的漏洞来安装恶意软件，或者说服员工使用社交工程技术来安装恶意软件。

勒索软件

在勒索软件攻击中，恶意行动者利用恶意软件加密关键数据和系统，然后威胁如果受害者不支付赎金，就将数据公开或破坏数据。

拒绝服务

在拒绝服务攻击（DDoS 攻击）中，威胁行动者利用流量让网络或系统不堪重负，直到它们速度变慢或崩溃。通常，攻击者会攻击银行或政府等知名公司，目的是消耗它们的时间和金钱，但各种规模的公司都可能成为这类攻击的受害者。

中间人攻击

网络犯罪分子用来盗取个人数据的另一种方式是，将自己插入到双方在线对话的中间，而对话双方都以为自己是在进行私密通信。攻击者通过拦截消息并在将这些消息发送给目标收件人之前复制或更改它们，从而试图操纵其中一名参与者来向他们提供有价值的数据。

内部威胁

虽然大部分攻击都是组织外部的人实施的，但安全团队也需要警惕内部威胁。员工或其他有权合法访问受限资源的人可能会在无意中，或在某些情况下故意泄露敏感数据。

未经授权的访问

很多安全漏洞都是从帐户凭据被盗开始的。无论是通过网络钓鱼活动还是通过猜出常见密码来获得密码，恶意行动者一旦进入一个系统，就能够安装恶意软件、进行网络侦察，或者提升他们的特权，让他们能够访问更敏感的系统和数据。

什么是事件响应计划？

响应事故需要团队有效且高效地相互配合，力图消除威胁并满足法规要求。在这些压力很大的情况下，很容易变得慌张和犯错，这就是为什么很多公司会制定事件响应计划的原因。该计划定义了角色和责任，并包括适当解决、记录事故和就事故进行沟通所需的步骤。

事件响应计划的重要性

重大攻击不仅仅是破坏组织的运营，还会影响企业在客户和社区当中的信誉，还可能会产生法律后果。所有的一切，包括安全团队响应攻击的速度和高管层就事故沟通的方式，都影响着其总体成本。

那么向客户和政府隐瞒损失，或者对威胁不够重视的公司，可能会违反法规。当参与者没有计划时，这类错误更常见。在情绪激动的时候，人们可能会因为害怕作出草率的决定，最终对组织造成伤害。

如果有深思熟虑的计划，人们就知道他们在攻击的每个阶段应该怎么做，这样就不必匆忙地做出弥补。在恢复后，如果公众有疑问，组织将能够确切展示它们的应对方式，并表明自己认真对待了事故，采取了必要的步骤来防止更坏的结果，让客户安心。

事件响应步骤

处理事件响应的方法不止一种，许多组织依赖于安全标准组织来指导他们选择响应方法。SysAdmin Audit Network Security (SANS) 是一个私人组织，它提供了一个六步响应框架，如下所示。许多组织也采用美国国家标准与技术研究院 (NIST) 事故恢复框架。
 
  • 准备 - 在事故发生之前减少漏洞并制定安全策略和程序非常重要。在准备阶段，组织要开展风险评估来确定它们是否有薄弱环节并设定资产的优先级。在这个阶段，需要编写和完善安全程序、确定角色和责任，并更新系统来降低风险。大多数组织会定期回顾这个阶段，并在汲取教训或技术发生变化时对策略、程序和系统进行改进。
  • 识别威胁 - 在任何给定的一天，安全团队都可能收到数千个提示可疑活动的警报。其中一些是误报，或者可能不会上升到事故水平。一旦确定事故，团队就会深入研究违反行为的性质并记录发现的情况，包括违反行为的来源、攻击类型和攻击者的目标。在这个阶段，团队还需要通知利益干系人并就后续行动进行沟通。
  • 遏制威胁 - 下一项首要任务是遏制威胁。恶意行动者能够访问的时间越长，他们造成的破坏越大。安全团队要行动起来，快速地将遭到攻击的应用程序或系统与网络的其他部分隔离开来。这有助于防止攻击者访问企业的其他部分。
  • 消除威胁 - 采取遏制行动后，团队需要从受影响的系统和资源中踢除攻击者和任何恶意软件。这可能涉及到让系统离线。团队还要继续将进展告知利益干系人。
  • 恢复和还原 - 从事故中恢复可能需要几个小时的时间。一旦威胁消除，团队就会还原系统、从备份中恢复数据，并监视受影响的方面来确保攻击者无法再次入侵。
  • 反馈和优化 - 解决事故后，团队需要回顾发生的情况，并发现可对流程进行的改进。从这一阶段吸取经验可帮助团队加强组织的防御能力。

什么是事件响应团队？

事件响应团队也称为计算机安全事件响应团队 (CSIRT)、网络事件响应团队 (CIRT) 或计算机紧急响应团队 (CERT)，由组织中负责执行事件响应计划的一组跨职能人员构成。其中不仅包括移除威胁的人员，也包括制定有关事故的业务/法律决策的人员。典型的团队包括以下成员：
 
  • 事件响应管理员，通常是 IT 主管，负责监督响应的各个阶段并向内部利益干系人提供信息。 
     
  • 安全分析人员，负责调查事故来试图了解发生的情况。他们还负责记录发现的情况和收集法庭证据。
     
  • 威胁调查人员，负责在组织外部收集提供其他背景信息的情报。 
     
  • 来自管理层的人员，例如首席信息安全官或首席信息官，负责提供指导和担任与其他高管的联络人。
     
  • 人力资源专员，帮助管理内部威胁。
     
  • 法律总顾问，帮助团队解决责任问题并确保收集法庭证据。
     
  • 公共关系专员，负责协调与媒体、客户和其他利益干系人的准确外部沟通。
事件响应团队可能属于安全运营中心 (SOC)，后者会处理超出事件响应之外的安全操作。



事件响应自动化

在大多数组织中，网络和安全解决方案生成的安全警报比事件响应团队实际能够管理的数量要多得多。为了帮助团队专注于合理的威胁，许多企业会实施事件响应自动化。自动化运用 AI 和机器学习来会审警报、识别事故，并执行基于编程脚本的响应剧本来根除威胁。

安全编排自动响应 (SOAR) 是一类安全工具，企业使用它来自动进行事件响应。这些解决方案提供以下功能：
 
  • 将跨多个终结点的数据与安全解决方案关联起来，以识别事故供人员进行跟进。
     
  • 运行预编写脚本的 playbook 来隔离和处理已知事故类型。
     
  • 生成调查时间线，其中包括可用于分析的行动、决策和法庭证据。
     
  • 引入相关的外部警报进行人工分析。



如何实现事件响应计划

制定事件响应计划可能看起来令人望而却步，但它能够大幅度降低企业在大型事故中毫无准备的风险。下面是操作说明：

识别资产并设定其优先级

在事件响应计划中，第一步是知道你正在保护哪些内容。记录组织的关键数据，包括它所在的位置及其对企业的重要程度。

确定潜在风险

每个组织面临的风险都不同。熟知组织的最大漏洞，评估攻击者可能通过哪些方式利用这些漏洞。 

制定响应程序

在压力重重的事故当中，清晰的程序将有助于确保事故得到快速、有效的处理。首先定义什么属于事故，然后确定团队应执行哪些步骤来检测、隔离和从事故中恢复，这包括有关记录决策和收集证据的程序。

建立事件响应团队

组建一支跨职能团队来负责了解响应程序并在发生事故时进行动员。确保清晰定义角色，并对可帮助作出沟通和责任相关决策的非技术类角色进行说明。纳入管理团队中的一名成员，该成员将在公司的最高层拥护该响应团队及其需求。 

制定沟通计划

有了沟通计划，就能清楚知道何时以及如何将正在发生的情况告知组织内部和外部的其他人。思考各种场景，来帮助你确定在哪些情况下需要通知高管、整个组织、客户和媒体或其他外部利益干系人。

培训员工

组织各级的员工都是恶意行动者的目标，正因如此，每个人都有必要了解你的响应计划，并知道他们在怀疑自己成为攻击的受害者时该做什么。定期进行员工测试来确认他们可识别网络钓鱼电子邮件，并让他们在不小心单击错误链接或打开受感染的附件时能够轻松地通知事件响应团队。

事件响应解决方案

做好准备来应对重大事故是保持组织免受威胁的重要一环。建立内部事件响应团队将给你信心，让你知道当你成为恶意行动者的受害者时已做好应对准备。

利用 SIEM 和 SOAR 解决方案（例如 Microsoft Sentinel），它们运用自动化来帮助你识别和自动响应事故。资源较少的组织可在能够应对多个事件响应阶段的服务提供商的帮助下增强其团队。但是，无论你的员工在内部还是外部进行事件响应，都请确保已制定现成计划。



一个人在使用笔记本电脑工作，显示器上显示代码

Microsoft 威胁防护

利用威胁防护中的最新功能识别和响应整个组织中的事故。
探索
两个人在办公室使用计算机

Microsoft 事件响应

在网络事件发生前、发生期间和发生后，通过端到端的主动和被动事件响应服务获取支持。
探索
在桌旁使用智能手机，旁边有笔记本电脑

Microsoft Sentinel

使用 SIEM & AI 优先平台统一安全数据和上下文，以支持智能体防御。
探索
两名同事在桌旁的笔记本电脑上查看数据。

Microsoft Defender XDR

遏止终结点、电子邮件、标识、应用程序和数据中的攻击。
探索
返回到“相关产品”部分
常见问题解答

常见问题解答

  • 事件响应是组织在怀疑存在安全漏洞时执行的所有活动。目标是尽快隔离和根除攻击者、遵守数据隐私法规，并在尽量减少对组织的损害的情况下安全地恢复。
  • 跨职能团队负责事件响应。IT 通常负责识别、隔离威胁并从威胁中恢复，然而，事件响应不仅仅是找到和清除恶意行动者。根据攻击的类型，某些人可能不得不作出业务决策，例如关于如何处理赎金问题。法律总顾问和公共关系专业人员帮助确保组织遵循数据隐私法，包括适当地向客户和政府发送通知。如果威胁是由员工造成的，人力资源部门将建议采取适当的措施。
  • CSIRT 是事件响应团队的另一种叫法。它包括一支跨职能团队，团队成员负责管理事件响应的各个方面，包括检测、隔离和消除威胁，进行恢复，内部和外部沟通，文档记录以及法庭分析。
  • 大多数组织使用 SIEM 或 SOAR 解决方案来帮助识别和响应威胁。这些解决方案通常会将来自多个系统的数据聚合在一起，并运用机器学习来帮助识别真正的威胁。它们还可根据预编写脚本的剧本自动响应某些类型的威胁。
  • 事件响应生命周期包括 6 个阶段：
     
    1. 准备发生在确定故事之前，包括定义组织将什么视为事故，还包括防止、检测、消除攻击和从攻击中恢复所必需的所有策略和程序。
    2. 识别威胁是运用人类分析人员和自动化工具来识别哪些事件是需要处理的真正威胁的一个过程。
    3. 遏制威胁是团队采取来隔离威胁并防止威胁感染业务的其他方面的行动。 
    4. 消除威胁包括从组织中移除恶意软件和攻击者的步骤。
    5. 恢复和复原包括重启系统和计算机并还原已丢失的任何数据。 
    6. 反馈和优化是团队从事故中吸取教训并将这些经验应用于策略和程序的过程。 

关注 Microsoft 安全

Surface Pro Surface Laptop Surface Laptop Ultra 适用于组织的 Copilot Microsoft 365 探索 Microsoft 产品 Windows 11 应用程序 帐户个人资料 下载中心 订单跟踪 Microsoft 教育版 教育设备 Microsoft Teams 教育版 Microsoft 365 教育版 Office 教育版 教育工作者培训和开发 面向学生和家长的优惠 面向学生的 Azure
Microsoft AI Microsoft 安全 Azure Dynamics 365 Microsoft 365 Microsoft Advertising Microsoft 365 Copilot Microsoft Teams Microsoft 开发人员 Microsoft Learn 支持 AI 商城应用 Microsoft 技术社区 Microsoft Marketplace Microsoft Power Platform 软件公司 Visual Studio 招贤纳士 关于 Microsoft 公司新闻 Microsoft 隐私 投资人
中文（中国） 消费者健康隐私 与 Microsoft 联系 隐私 管理 Cookie 使用条款 商标 关于我们的广告 京ICP备09042378号-6