您现在的位置是：亿华灵动 > IT资讯

从事件响应中吸取的六个重要教训

亿华灵动2025-11-26 18:25:52【IT资讯】8人已围观

简介网络事件发生在节假日，这并不罕见。通常，恶意行为者计划在假期前或假期期间或许多员工休假的周末发动攻击。因此，公司需要更长的时间才能发现问题并采取行动——这正是这里发生的情况。出了什么问题问题始于

网络事件发生在节假日，从事这并不罕见。应中通常，吸取训恶意行为者计划在假期前或假期期间或许多员工休假的重教周末发动攻击。因此，从事公司需要更长的应中时间才能发现问题并采取行动——这正是这里发生的情况。

出了什么问题

问题始于有关失败的吸取训备份过程和防病毒警报的通知。几小时内，重教服务器停止工作，从事所有数据都被加密。应中随着时间的云计算吸取训推移，一个已知的重教勒索软件组织显然是这次攻击的幕后黑手，他们成功窃取了敏感数据并对公司的从事大部分计算机和系统进行了加密。客户无法在线支付账单或查看他们的应中账户状态，员工也完全被系统拒之门外。吸取训

后来，人们发现恶意行为者通过利用电话系统中未公开的弱点然后在网络上植入后门来渗透系统。与此同时，公司发现了漏洞并进行了修补，但为时已晚：这群人在公司网络上悄悄停留了五个月，源码库等待时机发动攻击。

此外，CISO 不了解专业团队和网络团队的做法。例如，电话系统、打印机和照相机（可能会显着增加攻击面）没有得到充分保护。

真正出了什么问题

该公司糟糕的网络卫生状况加剧了这一事件：存在一个 Excel 文件，其中包含数百个系统和服务器的凭据，并且该公司未能拥有其客户端系统的日志。此外，员工可以自由下载，这增加了将恶意软件引入端点的香港云服务器风险，包括每天连接到网络的笔记本电脑。

然而，主要问题是该公司及其 IT 合作伙伴并不清楚如何有效应对。这意味着最初的几个小时——这对事件响应来说是最关键的——用来确定发生了什么，谁是主要参与者，以及需要做什么来恢复和开始搜索工件以允许 IR 调查。浪费了宝贵的时间，用了将近十天的高防服务器时间才让系统恢复正常。

从这次事件响应中可以学到什么？这里有 6 个重要的要点。

1.准备计划

在事件响应方面，公司必须采取“不是如果，而是何时”的态度。尽管我们宁愿不这么想，但您的公司很有可能成为网络攻击的受害者，因此做好准备很重要。这意味着拥有SIEM 系统和日志，可以尽可能远地回溯，源码下载并拥有指定TTP （技术、技术和人员）的事件响应手册。应该定期检查剧本，并且应该对流程进行内部认证。这也意味着进行IR 参与准备和c 危机管理准备。做好准备意味着一旦发生网络事件，您的公司将能够迅速做出反应。

2.建立沟通和责任

事件响应发生的速度可以在限制损害方面产生巨大差异。前几个小时很关键，但可能会很混乱，因为它们涉及执法、公共关系和法律团队、您的亿华云网络保险提供商以及 IT 和取证团队。显然，这应该不是这些团队的第一次会面。如果已经制定了明确的沟通渠道和责任的计划，那么这将对流程有很大帮助。

3. 执行定期备份

这似乎是显而易见的，但许多公司未能理解经常备份系统的重要性。是否有可用的备份可以区分快速恢复还是长时间恢复。

4.实行网络卫生

除了备份之外，组织还可以通过保持良好的网络卫生来显着加强其安全态势。这包括，例如，启用多因素身份验证和使用密码管理器、通过访问控制限制用户权限、定期打补丁、加密敏感数据以及安全远程访问。定期进行网络风险评估以发现网络漏洞和计划缓解。这些都是可以最大限度地降低操作中断、数据泄露和数据丢失风险的最佳实践示例。