信息系統(tǒng)安全突發(fā)事件應(yīng)急預(yù)案-模板

信息系統(tǒng)安全突發(fā)事件應(yīng)急預(yù)案信息系統(tǒng)安全突發(fā)事件應(yīng)急預(yù)案杭州市XXXX局二○一X年X月

目錄一、總則 11.1目的 11.2基本原則 11.3適用范圍 1二、網(wǎng)站系統(tǒng)應(yīng)急處理和報告程序 22.1應(yīng)急處理流程 22.2突發(fā)事件匯報流程 3三、風(fēng)險等級分析 63.1一般事件 63.2嚴(yán)重事件 63.3災(zāi)難事件 6四、應(yīng)急準(zhǔn)備 74.1防范措施 74.2應(yīng)急資源準(zhǔn)備 74.3應(yīng)急策略 74.4應(yīng)急準(zhǔn)備 7五、門戶網(wǎng)站系統(tǒng)應(yīng)急處理預(yù)案 95.1系統(tǒng)介紹 95.2應(yīng)急處理 9六、附表 136.1軟硬件廠商聯(lián)系方式一覽表 136.2應(yīng)急處理專題預(yù)案應(yīng)急響應(yīng)工作組成員角色及職責(zé)表 136.3重大網(wǎng)絡(luò)與信息安全事件報告表 146.4重大網(wǎng)絡(luò)與信息安全事件處理報告 15杭州市XXXX局 第15頁共15頁一、總則1.1目的為正確、有效處理杭州市XXXX局各類信息系統(tǒng)在運行過程中由于設(shè)備、源程序、網(wǎng)絡(luò)攻擊以及其他不可抗拒原因出現(xiàn)的運行故障，保證網(wǎng)站安全、穩(wěn)定運行，最大限度地降低風(fēng)險帶來的損失，制定本預(yù)案。1.2基本原則安全性原則應(yīng)急處理措施必須通過各種有效方法控制新聞的發(fā)布，確保信息不錯不亂。連續(xù)性原則應(yīng)急處理措施要確保網(wǎng)站系統(tǒng)在工作日期間的不間斷運行?？刹僮餍栽瓌t應(yīng)急處理措施要具有可操作性。1.3適用范圍本預(yù)案適用于杭州市XXXX局預(yù)防和處理由于設(shè)備、源程序、網(wǎng)絡(luò)攻擊以及其他不可抗拒因素等原因?qū)е麻T戶網(wǎng)站等系統(tǒng)出現(xiàn)故障和異常情況而影響用戶的正常使用。二、網(wǎng)站系統(tǒng)應(yīng)急處理和報告程序2.1應(yīng)急處理流程2.2突發(fā)事件匯報流程突發(fā)事件職責(zé)工作要求/控制點*備注責(zé)任人/部門

開始

開始K開始

判斷標(biāo)準(zhǔn)為：計算機系統(tǒng)已經(jīng)遭到非法攻擊，并造成嚴(yán)重?fù)p失，或遭受軟硬件故障導(dǎo)致服務(wù)受到影響。（資產(chǎn)已經(jīng)遭受威脅）

報告報告1、監(jiān)控人員報告硬件、應(yīng)用科、信息中心或其他領(lǐng)導(dǎo)。

備份

備份

1、監(jiān)控人員2、相關(guān)管理員備份受影響的服務(wù)器或設(shè)備的所有事務(wù)日志以及在內(nèi)存和緩沖區(qū)內(nèi)的數(shù)據(jù)。

隔離隔離1、監(jiān)控人員2、相關(guān)管理員把受影響的服務(wù)器或設(shè)備進(jìn)行隔離，并關(guān)閉所有網(wǎng)絡(luò)訪問接入點（網(wǎng)關(guān)、防火墻等）。

現(xiàn)場分析處理

現(xiàn)場分析處理

NY1、監(jiān)控人員2、相關(guān)管理員1、分析受損原因2、預(yù)測和確認(rèn)入侵方法及時間3、統(tǒng)計威脅造成的嚴(yán)重性軟件故障硬件故障其他原因1、監(jiān)控人員2、相關(guān)管理員1、分析解決方案2、制定解決方案并處理3、如果不能解決，則轉(zhuǎn)入聯(lián)系第三方聯(lián)系第三方安全咨詢公司、安全顧問、安全專家和安全、系統(tǒng)廠商等

聯(lián)系第三方安全咨詢公司、安全顧問、安全專家和安全、系統(tǒng)廠商等1、監(jiān)控人員2、相關(guān)管理員網(wǎng)絡(luò)管理員、相關(guān)系統(tǒng)管理員和第三方共同找出解決方案

恢復(fù)日常狀態(tài)

恢復(fù)日常狀態(tài)

1、監(jiān)控人員2、相關(guān)管理員

將系統(tǒng)恢復(fù)到日常運行狀態(tài)；安裝系統(tǒng)patch,修補系統(tǒng)漏洞，通知相應(yīng)的人員；此次事件所有恢復(fù)系統(tǒng)的行為都應(yīng)該記錄在案。

加固處理加固處理1、監(jiān)控人員2、相關(guān)管理員

根據(jù)解決方案，按照加固手冊進(jìn)行加固處理

重新入網(wǎng)重新入網(wǎng)1、監(jiān)控人員2、相關(guān)管理員把受影響的系統(tǒng)或設(shè)備重新入網(wǎng)，解除隔離狀態(tài)

匯報匯報1、監(jiān)控人員進(jìn)行善后處理。

結(jié)束結(jié)束

系統(tǒng)恢復(fù)運行，事件結(jié)束安全事故處理報告抄送給信息文檔部門進(jìn)行歸檔

三、風(fēng)險等級分析3.1一般事件是指網(wǎng)站系統(tǒng)出現(xiàn)運行故障導(dǎo)致信息不能發(fā)布，但當(dāng)日能夠恢復(fù)的情況。3.2嚴(yán)重事件是指由于遭受攻擊、硬件設(shè)備、程序等問題，導(dǎo)致系統(tǒng)運行故障，次日仍無法恢復(fù)的情況。3.3災(zāi)難事件由于不可抗拒外部原因造成服務(wù)器上的網(wǎng)站系統(tǒng)源程序和數(shù)據(jù)全部丟失，恢復(fù)數(shù)據(jù)困難，需要長時間進(jìn)行故障處理的情況。

四、應(yīng)急準(zhǔn)備4.1防范措施針對網(wǎng)站系統(tǒng)運行的過程中可能發(fā)生的事件，盡早準(zhǔn)備，完善規(guī)章制度，落實崗位責(zé)任，加強審計監(jiān)督。安排專門人員對系統(tǒng)設(shè)備定期檢查，并對重要數(shù)據(jù)和源文件進(jìn)行定期、不定期備份。4.2應(yīng)急資源準(zhǔn)備對應(yīng)急設(shè)備、資源做好準(zhǔn)備。具體如下：基礎(chǔ)設(shè)施：對機房、網(wǎng)絡(luò)、通訊設(shè)備（電話、傳真）等設(shè)施必須可用，關(guān)鍵設(shè)備應(yīng)有備份，即使某部分出現(xiàn)問題有能夠替代的設(shè)備。設(shè)備準(zhǔn)備：必須保證有備份設(shè)備，對備份設(shè)備進(jìn)行檢查，保存設(shè)備提供商聯(lián)系方式，設(shè)備采購及維護(hù)合同。軟件準(zhǔn)備：妥善保管操作系統(tǒng)、應(yīng)用系統(tǒng)、數(shù)據(jù)庫、工具軟件、驅(qū)動程序的正確版本和補丁，統(tǒng)一維護(hù)管理，并對所有應(yīng)用程序有相應(yīng)的備份。人員準(zhǔn)備：主機及系統(tǒng)的運行維護(hù)人員要保證AB角，并在奧運前進(jìn)行備份切換演練。4.3應(yīng)急策略發(fā)生的事件時，應(yīng)急策略是基于現(xiàn)實具體條件，在最短時間內(nèi)用最小代價將損失降至最低。具體實行時，盡量保證系統(tǒng)不間斷運行，同時兼顧主機設(shè)施優(yōu)先備份機設(shè)施，主要系統(tǒng)優(yōu)先外圍系統(tǒng)。4.4應(yīng)急準(zhǔn)備4.4.1制定日常維護(hù)檢查制度（1）日志檢查、備份指派專人定期進(jìn)行日志的備份，做到有據(jù)可查以防萬一。做好備份數(shù)據(jù)的保存、保管工作，切實落實備份數(shù)據(jù)異地存儲（如：移動硬盤）。在應(yīng)對突發(fā)事件時，能夠提供真實、完整的記錄，作為事故處理小組的評估依據(jù)。（2）觀察設(shè)備運行狀態(tài)提示指派專人定期檢查設(shè)備運行狀態(tài)，重點關(guān)注設(shè)備功能、外觀、指示燈等是否有運行提示、警告、報警等硬件提示。針對設(shè)備硬件的運行狀態(tài)提示，及時查看硬件手冊聯(lián)系硬件供應(yīng)商，確定事故的等級。要做到早發(fā)現(xiàn)、早匯報、及時把故障消滅在萌芽階段。（3）檢查硬盤使用情況維護(hù)人員定期查看硬盤工作狀態(tài)，查看硬盤空間大小，注意硬盤指示燈變化，嚴(yán)禁不經(jīng)允許私自添加、更改、刪除硬盤上的數(shù)據(jù)。（4）數(shù)據(jù)庫運行狀態(tài)定期檢查數(shù)據(jù)庫日志，了解數(shù)據(jù)庫運行狀態(tài)。嚴(yán)禁未經(jīng)允許私自添加、修改、刪除數(shù)據(jù)庫中的數(shù)據(jù)。4.4.2保持備份設(shè)備有效備份設(shè)備是保證整個系統(tǒng)正常運行的重要保障。維護(hù)人員應(yīng)該定期檢查備份設(shè)備和介質(zhì)是否有效，并保存所有設(shè)備提供商的聯(lián)系方式。4.4.3保存所有軟件的有效拷貝除了必要的硬件設(shè)備備份外，應(yīng)該對相關(guān)的軟件進(jìn)行備份。這些軟件備份包括操作系統(tǒng)、應(yīng)用系統(tǒng)、數(shù)據(jù)庫、工具軟件、驅(qū)動程序和補丁等，必須保證所有軟件的正確版本和確實可用。以上軟件必須有備份并且在異地有可靠存儲。對所有軟件應(yīng)有統(tǒng)一的管理和記錄，保存所有軟件更新和升級的日志，以備日后查詢。

五、門戶網(wǎng)站系統(tǒng)應(yīng)急處理預(yù)案5.1系統(tǒng)介紹5.1.1系統(tǒng)構(gòu)成數(shù)據(jù)庫和WEB應(yīng)用程序共一臺服務(wù)器。5.1.2系統(tǒng)環(huán)境操作系統(tǒng)：windows2003sp2；數(shù)據(jù)庫：sqlserver2003；應(yīng)用程序：IIS、ASP數(shù)據(jù)庫-備份措施：每天數(shù)據(jù)庫全備份(自動)5.2應(yīng)急處理5.2.1網(wǎng)站、網(wǎng)頁出現(xiàn)非法言論時的緊急處置措施網(wǎng)站、網(wǎng)頁由值班巡檢人員密切監(jiān)視信息內(nèi)容。每天不少于一次。發(fā)現(xiàn)網(wǎng)上出現(xiàn)非法信息時，負(fù)責(zé)人員應(yīng)立即向部門負(fù)責(zé)人通報情況；情況緊急的應(yīng)先及時采取刪除等處理措施，再按程序報告。技術(shù)人員應(yīng)在接到通知后立即清理非法信息，強化安全防范措施，并將網(wǎng)站網(wǎng)頁重新投入使用。網(wǎng)站維護(hù)員應(yīng)妥善保存有關(guān)記錄及日志或?qū)徲嬘涗洝?.2.2文件損壞或丟失系統(tǒng)不能正常啟動，或者部分功能異常，經(jīng)檢查有部分文件丟失或損壞，維護(hù)人員對應(yīng)用程序進(jìn)行診斷，用備份文件進(jìn)行修復(fù)。5.2.3操作系統(tǒng)故障系統(tǒng)維護(hù)人員用系統(tǒng)備份文件對操作系統(tǒng)進(jìn)行快速重裝，如果備份文件安裝失敗，用系統(tǒng)安裝盤重裝系統(tǒng)并安裝相應(yīng)的硬件驅(qū)動、應(yīng)用程序和系統(tǒng)補丁。啟用備份機，同時搶修主機。一級維護(hù)如果不能排除故障，應(yīng)向市信息中心請求技術(shù)支持，如果通過上述方法可以恢復(fù)系統(tǒng)并保證數(shù)據(jù)的完整，則可使系統(tǒng)進(jìn)入運行狀態(tài)。5.2.4硬件故障硬盤正常，服務(wù)器故障（如電源、CPU等）系統(tǒng)維護(hù)人員應(yīng)及時向科室負(fù)責(zé)人報告，同時聯(lián)系硬件提供商。啟用備機并恢復(fù)最新備份數(shù)據(jù)，通知各部門重新發(fā)送已丟失的新聞，盡可能減少數(shù)據(jù)丟失。聯(lián)系設(shè)備供應(yīng)商搶修故障機。陣列硬盤上單個硬盤故障維護(hù)人員應(yīng)及時向科室負(fù)責(zé)人報告，同時聯(lián)系硬件提供商。維護(hù)人員在硬件提供商的協(xié)助下，使用備份硬盤重建鏡象，在重建鏡象的過程中的細(xì)節(jié)問題請向硬件服務(wù)商咨詢和參閱硬件服務(wù)商提供的手冊。聯(lián)系設(shè)備供應(yīng)商搶修故障硬盤，若硬盤不能修復(fù)，則立即購置。陣列硬盤上兩個硬盤故障系統(tǒng)維護(hù)人員應(yīng)及時向科室負(fù)責(zé)人報告，同時聯(lián)系硬件提供商。啟用備機并恢復(fù)最新備份數(shù)據(jù)，通知各部門重新發(fā)送已丟失的新聞，盡可能減少數(shù)據(jù)丟失。聯(lián)系設(shè)備供應(yīng)商搶修故障硬盤，若硬盤不能修復(fù)，則立即購置。5.2.5Web服務(wù)、數(shù)據(jù)庫管理系統(tǒng)故障服務(wù)器正常，web服務(wù)故障的情況下，重啟web服務(wù)。服務(wù)器正常，數(shù)據(jù)庫系統(tǒng)故障情況下，應(yīng)重新啟動數(shù)據(jù)庫服務(wù)程序，如果出現(xiàn)數(shù)據(jù)丟失等現(xiàn)象，應(yīng)用備份數(shù)據(jù)庫文件進(jìn)行恢復(fù)。5.2.6主備機程序與數(shù)據(jù)全部丟失若為源程序文件丟失，應(yīng)將移動硬盤上的備份文件拷貝到備機上，調(diào)試成功后在主機上安裝調(diào)試，同時通知新聞發(fā)布員在系統(tǒng)恢復(fù)后，立即補錄已丟失的新聞信息，并盡快查明數(shù)據(jù)丟失的原因。若為系統(tǒng)軟硬件故障導(dǎo)致：匯報。及時向應(yīng)急領(lǐng)導(dǎo)小組匯報。準(zhǔn)備替代機器?？萍伎茰?zhǔn)備替代機器，并將計劃安排通知各部門。安裝系統(tǒng)。在替代機器上安裝操作系統(tǒng)、應(yīng)用系統(tǒng)（移動硬盤上備份的以及工具軟件）、數(shù)據(jù)庫系統(tǒng)、恢復(fù)數(shù)據(jù)和其他驅(qū)動程序。5.2.7主備機因外部原因無法運行由于外部原因（如網(wǎng)絡(luò)中斷、供電系統(tǒng)癱瘓等）主備機完好，但是無法運行。系統(tǒng)維護(hù)員應(yīng)及時向科室負(fù)責(zé)人報告，并通知各科室新聞發(fā)布員。技術(shù)支持人員使用應(yīng)急準(zhǔn)備資源力爭盡快恢復(fù)系統(tǒng)。新聞發(fā)布員在系統(tǒng)恢復(fù)后，立即補錄因系統(tǒng)無法工作延誤的信息的發(fā)布。5.2.8主備機因不可抗力事件同時損壞系統(tǒng)維護(hù)員應(yīng)及時向應(yīng)急領(lǐng)導(dǎo)小組報告。技術(shù)支持人員恢復(fù)、查找所有業(yè)務(wù)數(shù)據(jù)。安裝替代服務(wù)器，恢復(fù)業(yè)務(wù)運行環(huán)境。技術(shù)支持小組協(xié)調(diào)、組織相關(guān)人員盡快恢復(fù)系統(tǒng)運行。5.2.9黑客攻擊時的緊急處理措施當(dāng)入侵檢測系統(tǒng)發(fā)現(xiàn)有黑客進(jìn)行攻擊的時候或管理員發(fā)現(xiàn)有其他黑客入侵的時候應(yīng)進(jìn)行如下操作：首先應(yīng)將被攻擊的服務(wù)器等設(shè)備從網(wǎng)絡(luò)中隔離出來，同時向領(lǐng)導(dǎo)匯報情況。技術(shù)人員立即進(jìn)行被破壞系統(tǒng)的恢復(fù)與重建工作。5.2.10病毒安全緊急處置措施當(dāng)發(fā)現(xiàn)計算機感染有病毒后，應(yīng)立即將該機從網(wǎng)絡(luò)上隔離出來。對該設(shè)備的硬盤進(jìn)行數(shù)據(jù)備份。啟用反病毒軟件對該機進(jìn)行殺毒處理，同時進(jìn)行病毒檢測軟件對其他機器進(jìn)行病毒掃描和清除工作。如發(fā)現(xiàn)反病毒軟件無法清楚該病毒，應(yīng)立即向領(lǐng)導(dǎo)報告。經(jīng)技術(shù)人員確認(rèn)確實無法查殺該病毒后，應(yīng)作好相關(guān)記錄，同時立即向信息技術(shù)人員報告，并迅速研究解決問題。如果感染病毒的設(shè)備是服務(wù)器或者主機系統(tǒng)，經(jīng)領(lǐng)導(dǎo)同意，應(yīng)立即告知各下屬單位做好相應(yīng)的清查工作。

六、附表6.1軟硬件廠商聯(lián)系方式一覽表廠商名稱聯(lián)系人職務(wù)聯(lián)系電話郵件6.2應(yīng)急處理專題預(yù)案應(yīng)急響應(yīng)工作組成員角色及職責(zé)表姓名所屬工作小組及職務(wù)角色和職責(zé)技術(shù)響應(yīng)工作小組組長應(yīng)急工作技術(shù)負(fù)責(zé)；綜合工作小組組長應(yīng)急工作綜合服務(wù)；業(yè)務(wù)響應(yīng)工作小組組長應(yīng)急工作業(yè)務(wù)負(fù)責(zé)；技術(shù)響應(yīng)工作小組成員軟件安裝、升級；受損服務(wù)器和主機的修復(fù)操作技術(shù)響應(yīng)工作小組成員受損服務(wù)器和主機的修復(fù)操作；聯(lián)系廠商；綜合工作小組成員應(yīng)急工作后勤保障；業(yè)務(wù)響應(yīng)工作小組成員通知業(yè)務(wù)人員對業(yè)務(wù)進(jìn)行調(diào)整，確定受損業(yè)務(wù)服務(wù)器和客戶機隔離時間和業(yè)務(wù)備份等

6.3重大網(wǎng)絡(luò)與信息安全事件報告表單位名稱：報告時間：年月日時分報告人聯(lián)系電話傳真通訊地址電子郵件備案編號：年月日總第號發(fā)生重大網(wǎng)絡(luò)與信息安全事件的系統(tǒng)名稱及用途責(zé)任部門負(fù)責(zé)人重大網(wǎng)