【51CTO.com原創(chuàng)稿件】《復(fù)仇者聯(lián)盟 4》的戰(zhàn)斗已經(jīng)打響了，費了比搶春運火車票更大勁兒才搶到電影票的 Tony 同學(xué)，此刻心里一直祈禱著......

這次觀影時不要再出現(xiàn)上次那樣：在滅霸打了響指后，公司的網(wǎng)站服務(wù)系統(tǒng)就鬼使神差地遭到拒絕訪問的攻擊，應(yīng)急電話打到手機上，催他迅速歸隊的窘境。

當他跑出影院的那一刻，心里居然對“紫薯怪”的那句“Today,I lost more than you know.”產(chǎn)生了強烈共鳴。

[[263377]]

的確，正所謂“事故無假期”。天真爛漫的您是否想過：如果在每次出現(xiàn)安全事故的時候，都有硬核的復(fù)仇者聯(lián)盟趕過來救場，讓您和您的團隊能夠繼續(xù)放飛自我、歡樂地玩耍，該有多好啊。

好吧，如您所愿，讓我們來一起設(shè)想一下，這些超級英雄們將如何進行事故響應(yīng)與處置。下面，我們將從人員、流程、演練，這三個維度展開暢想與討論。

人員架構(gòu)

如今，隨著安全意識的增強，很多企業(yè)都在他們的內(nèi)部組建了專門的處理團隊。

這些團隊或被稱為計算機事故響應(yīng)團隊(CIRTs)、也可以被叫做計算機安全事故響應(yīng)團隊(CSIRT)。

那么對標到復(fù)聯(lián)里，我們來具體看看響應(yīng)團隊的成員架構(gòu)、以及職能：

處置流程

[[263379]]

沒事的時候，復(fù)聯(lián)的超級英雄們可以將史塔克大廈里當作應(yīng)急響應(yīng)指揮部(war room)。

他們不但可以一起吃比薩、開轟趴，也可以聚在一起討論和制定應(yīng)急響應(yīng)的處置流程。

[[263380]]

就像滅霸夢寐以求的那六顆無 限寶石一樣，他們討論得出的如下六個步驟，同樣對于安全事故的管控來說也是彌足珍貴的。

①力量寶石：前期準備

[[263381]]

這個階段主要是由計劃設(shè)計師--猩紅女巫來發(fā)揮作用。她需要參考本企業(yè)和系統(tǒng)的以往事故報告，根據(jù)最 大允許中斷時間 MTD(應(yīng)保證RTO+WRT

參照業(yè)界常規(guī)的處置標準與方法，來定義事故的級別(從一般性的事件到嚴重的災(zāi)難)，分類不同的故障中斷種類，并根據(jù)現(xiàn)有的資源，制定相應(yīng)的應(yīng)急響應(yīng)計劃。

作為輸出，此階段交付成果包括：緊急聯(lián)系人列表、業(yè)務(wù)單元優(yōu)先級列表、事故界定與分類參考表、嚴重性矩陣參考表、以及具體的應(yīng)急響應(yīng)計劃與 BCP 等。

這些結(jié)果應(yīng)及時得到高級管理層--尼克·弗瑞，以及其他神盾局的大神，如菲爾·寇森等的批準，并下發(fā)到其他業(yè)務(wù)部門聽取反饋意見。

②空間寶石：檢測與識別

[[263382]]

這個階段主要是由值守監(jiān)控員--鷹眼俠來發(fā)揮作用。他可以通過如下兩個渠道來獲悉安全事故：

• 企業(yè)面向內(nèi)部的服務(wù)幫助臺(Service desk)，以及面向外部的熱線電話(Hot line)，都可以接報從內(nèi)、外部用戶處上報而來的系統(tǒng)故障、或是服務(wù)中斷事故信息。他們通過詳細問答的方式，了解并收集到關(guān)于事故的第 一手資料，然后以手工錄入的方式導(dǎo)入統(tǒng)一的管理平臺，以備下一步跟蹤處理。
• 自動化工具平臺對系統(tǒng)中的各個服務(wù)模塊、及部件的日志進行讀取，然后通過安全信息與事件管理系統(tǒng)(SIEM)中的用戶及實體行為分析(UEBA)服務(wù)，進行綜合性的數(shù)據(jù)分析。

面對用戶告知的帶有主觀色彩的報告、以及撲面而來的海量平臺信息，鷹眼哥需要進一步根據(jù)自己的經(jīng)驗、以及猩紅女巫在上一步制定好的事故分類標準，進行剔除誤報和初步分揀定級等操作。

其中，他可以參考的分類依據(jù)包括：網(wǎng)絡(luò)與云端服務(wù)的中斷，系統(tǒng)漏洞的攻擊，主機與網(wǎng)站的惡意代碼注入，程序的缺陷與終止，信息的篡改、泄漏與刪除，硬件設(shè)備的故障，以及大面積的災(zāi)害等。

作為輸出，此階段交付的成果包括：安全事故的原始記錄，和事故性質(zhì)與嚴重性報告等。

這些結(jié)果應(yīng)及時流轉(zhuǎn)到響應(yīng)團隊執(zhí)行經(jīng)理--美國隊長處。當然，如果情況嚴重的話，他還應(yīng)迅速通知到高級管理層--尼克·弗瑞那里。

③現(xiàn)實寶石：調(diào)查與取證

[[263383]]

這個階段主要是由安全調(diào)查專家--黑寡婦來發(fā)揮作用。她可以從主機系統(tǒng)、網(wǎng)絡(luò)數(shù)據(jù)、軟件應(yīng)用、存儲介質(zhì)四個邏輯層面，以及現(xiàn)場物品等物理層面上，開展調(diào)查與取證工作。

為了保證各種電子證據(jù)與實物證據(jù)的“三性”原則，寡姐應(yīng)通過設(shè)置只讀和產(chǎn)生消息摘要等手段，嫻熟地捕獲和保護好證據(jù)鏈，使之滿足電子發(fā)現(xiàn)等合規(guī)的要求。

當然，在進一步分析的過程中，如果碰到比較棘手或者是涉及到法規(guī)層面的問題，她可以去尋求法律代表--洛基的幫助。

話說回來，我們不能保證洛基是否還對當年與寡姐的相互審問耿耿于懷(請參見《復(fù)聯(lián)1》)。

在取證的同時，定損與跟蹤專家--蟻人開始深入調(diào)查原因，并界定系統(tǒng)的受損程度。

具體說來，他主要是從數(shù)量與程度兩個維度，分析那些丟失、破壞或暴露了的數(shù)據(jù)與物理資產(chǎn)。當然，他的工作也會涉及到對一些滯后、間接影響的評估。

作為輸出，此階段交付的成果包括：寡姐誠邀蟻人共同向管理層和美隊提交取證、調(diào)查和評估的結(jié)果。

④靈魂寶石：報告與公關(guān)

[[263384]]

再不讓鋼鐵俠出場的話，估計他要氣爆了。作為公共關(guān)系與溝通角色，他雖然不涉及到使用具體的技術(shù)，來處理安全事故所帶來的危害，但是他是整個處置環(huán)節(jié)中不可缺少的潤滑劑。

為了實現(xiàn)有效的危機管理，他需要做到如下幾個方面：

• 參考猩紅女巫整理的聯(lián)系人列表，以郵件、電話、微信、甚至是廣播的形式，通知該安全事故所波及到的內(nèi)部相關(guān)人員。
• 按照“快報事實、慎報原因”的原則，向客戶、合作方以及外部調(diào)查部門提供事故情況說明、以及必要的技術(shù)問題解答。
• 在披露的時間與頻率、以及可能帶有當事人隱私等方面，他應(yīng)誠邀洛基協(xié)助審閱。當然，心眼小的洛基也可能為了當年鋼鐵俠的那句“小鹿斑比”，而直接目送他“入坑”(請參見《復(fù)聯(lián) 1》)。
• 還需要和洛基“牽手”一次的是，他們應(yīng)共同整理核對相關(guān)合同與約定，特別是那些其中涉及到的責(zé)任賠付條款。

⑤時間寶石：補救與恢復(fù)

[[263385]]

 

真正的系統(tǒng)補救戰(zhàn)斗，在這個階段才正式打響。此時出場的是“黑綠紅藍組合”，他們是：

• 負責(zé)基礎(chǔ)設(shè)施的保障與恢復(fù)工作的黑豹
• 負責(zé)系統(tǒng)與主機恢復(fù)工作的綠巨人
• 負責(zé)網(wǎng)絡(luò)搭建與恢復(fù)工作的蜘蛛俠
• 以及負責(zé)軟件應(yīng)用恢復(fù)與調(diào)試工作的幻視

不言而喻，在此環(huán)節(jié)中，他們會根據(jù)寡姐和蟻人的階段性成果，各司其職展開抑制、恢復(fù)、及根除等工作。

其中，值得他們注意方面包括如下四點：

• 針對猩紅女巫給定的業(yè)務(wù)單元優(yōu)先級列表，制定帶有時間節(jié)點的抑制與補救策略。
• 在恢復(fù)的過程中，各路英雄要注意溝通與交流，應(yīng)避免在自顧不暇時，忙中出錯、產(chǎn)生衍生破壞、甚至是“坑害”隊友的情況。
• 在取得階段性成果(milestone)后，要請業(yè)務(wù)單位負責(zé)人、以及美隊予以確認。
• 碰到技術(shù)難題，Hold 不住的時候，可以請出外部技術(shù)專家--錘哥。讓他調(diào)用自己的神族資源，另辟蹊徑地解決問題。

不過，該過程最怕的是：人人都以為自己是大牛，都能掌控全局，因此需要美隊從中協(xié)調(diào)。

特別是對于那些耗時耗力的恢復(fù)任務(wù)，大家要做到既有條不紊、又協(xié)作推進。

不然，正如《復(fù)聯(lián) 3》最 后那樣，滅霸還被沒咋地，聯(lián)盟就已經(jīng)自損過半、CP 東南飛。

⑥心靈寶石：總結(jié)與整改

[[263386]]

正如電影劇情安排的那樣，消失了將近 30 年的事后整改牽頭人--驚奇隊長雖然出場較晚，但是她的實力能夠起到一定的“兜底”作用(請參見《復(fù)聯(lián) 3》)。

在安全事故處理已畢，大家正準備“領(lǐng)盒飯”時，她卻“開掛”了。下面我們來看看這位女戰(zhàn)士是如何展現(xiàn)她的超強執(zhí)行力：

• 回顧并文檔化整個事故的處置過程。
• 對前面各個階段的響應(yīng)速度和處理效果進行評審，重點分析在實戰(zhàn)中偏離了猩紅女巫既定的應(yīng)急響應(yīng)計劃的部分。
• 向尼克·弗瑞等管理層提交問題根除的整改方案。
• 定期對當前系統(tǒng)進行風(fēng)險評估(RA)，引導(dǎo)相關(guān)團隊進行有針對性的自查，防止類似事故的復(fù)發(fā)。
• 與猩紅女巫合作，通過變更流程來按需更新應(yīng)急響應(yīng)中的步驟要點。
• 向“地球民眾”發(fā)放滿意度調(diào)查問卷，或接受管理層對于響應(yīng)績效的考評(請參見《美隊 3：內(nèi)戰(zhàn)》)。

測試演練

眾所周知，上面教科書式的處置流程，最怕出現(xiàn)計劃與現(xiàn)實相脫節(jié)的情況。

因此，為了保證復(fù)聯(lián)英雄們在關(guān)鍵時候能夠招之即來、來之能戰(zhàn)、戰(zhàn)之能勝，他們需要定期、以及按需地開展測試演練。

[[263387]]

測試演練的好處與內(nèi)容包括如下方面：

• 讓團隊的每個成員都能夠明確、熟悉并掌握，自己在應(yīng)急處理中的角色與職能，進而彌補或改進手頭上的技能短板。
• 通過模擬戰(zhàn)斗，發(fā)現(xiàn)猩紅女巫在計劃設(shè)計中的不足之處，以及找到需要互動協(xié)調(diào)的地方。
• 以 PDCA 的方式，對現(xiàn)有的行動方案進行推陳出新，讓每個成員都能樹立成功處置安全事故的信心。
• 在應(yīng)對事故時，考察各一項人力物力資源的調(diào)配情況。如果出現(xiàn)上述主要崗位的超級英雄沒滅掉(請參見《復(fù)聯(lián) 3》)的情況，則需要按照接班人計劃(Line of succession)及時補上新的英雄。
• 當然，就是全部被消滅了的話，我們地球人不是還有 DC 的正義者聯(lián)盟嗎?(漫威迷們不要噴我…)

[[263388]]

結(jié)語

英雄和我們凡人一樣，也會有各種小脾氣，他們之間甚至?xí)榱撕没讯a(chǎn)生內(nèi)部摩擦，甚至?xí)蚱?ldquo;內(nèi)戰(zhàn)”。

但是在面對共同的敵人--滅霸所造成的系統(tǒng)安全事故時，大家應(yīng)當能夠摒棄前嫌，生死看淡，不服就干才是。

[[263389]]

知否?知否?現(xiàn)實工作中，復(fù)聯(lián)并不會真的飛來為我們企業(yè)的安全事故“接盤”。

為了不再出現(xiàn) Tony 觀影時被緊急電話叫走的尷尬，也為了避免匆忙地將事故處理成“比悲傷更悲傷的故事”，我們需要從上述人員架構(gòu)、處置流程、以及測試演練，這三個維度貫徹到事故響應(yīng)的整個生命周期之中。

[[263390]]

作者：陳峻

陳峻(Julian Chen) ，有著十多年的 IT 項目、企業(yè)運維和風(fēng)險管控的從業(yè)經(jīng)驗，日常工作深入系統(tǒng)安全各個環(huán)節(jié)。作為 CISSP 證書持有者，他在各專業(yè)雜志上發(fā)表了《IT運維的“六脈神劍”》、《律師事務(wù)所IT服務(wù)管理》 和《股票交易網(wǎng)絡(luò)系統(tǒng)中的安全設(shè)計》等論文。他還持續(xù)分享并更新《廉環(huán)話》系列博文和各種外文技術(shù)翻譯，曾被(ISC)2 評為第九屆亞太區(qū)信息安全成就表彰計劃的“信息安全踐行者”和 Future-S 中國 IT 治理和管理的 2015 年度踐行人物。

【51CTO原創(chuàng)稿件，合作站點轉(zhuǎn)載請注明原文作者和出處為51CTO.com】