如今，數(shù)據(jù)轉(zhuǎn)儲(chǔ)、勒索軟件攻擊、惡意軟件攻擊事件已屢見(jiàn)不鮮，這意味著事件管理策略已成為必要選項(xiàng)。這并不是事件是否會(huì)發(fā)生的問(wèn)題，而是何時(shí)發(fā)生的問(wèn)題。而且由于當(dāng)前IT環(huán)境的超連接特性，基于云計(jì)算的工作負(fù)載特別容易受到攻擊。

如果沒(méi)有確定的響應(yīng)流程，企業(yè)將無(wú)法對(duì)安全威脅或意外的基礎(chǔ)設(shè)施或應(yīng)用程序問(wèn)題做出適當(dāng)?shù)姆磻?yīng)。值得慶幸的是，事件管理是一個(gè)完善的過(guò)程。

為了減輕制定計(jì)劃的壓力，需要了解以下五個(gè)步驟，以在事件發(fā)生之前進(jìn)行識(shí)別、補(bǔ)救和適應(yīng)。

[[312200]]

步驟1：準(zhǔn)備

企業(yè)IT團(tuán)隊(duì)建立云計(jì)算事件響應(yīng)流程時(shí)，最重要的事情之一就是為不可避免發(fā)生的事件做好準(zhǔn)備。盡管準(zhǔn)備工作可以采用不同的形式，但通常分為三類(lèi)：培訓(xùn)、編制文檔和聚合。

(1) 培訓(xùn)

在云計(jì)算事件響應(yīng)方面，配備合適的人員只是完成其流程的一半。企業(yè)還需要對(duì)其員工進(jìn)行培訓(xùn)，提供充分的信息和支持，以便在事件發(fā)生時(shí)進(jìn)行處理。

云原生組織必須確保其員工了解如何選擇其提供商的界面，以收集信息并對(duì)發(fā)現(xiàn)的內(nèi)容做出反應(yīng)。這也意味著員工應(yīng)該了解企業(yè)的事件管理計(jì)劃以及對(duì)他們的期望。

(2) 編制文檔

企業(yè)都應(yīng)該有可靠的文檔來(lái)有效運(yùn)作。為了支持可能會(huì)進(jìn)行事故響應(yīng)的員工，這意味著需要?jiǎng)?chuàng)建和維護(hù)準(zhǔn)確的操作手冊(cè)。Runbook是企業(yè)員工在生產(chǎn)環(huán)境中對(duì)可預(yù)測(cè)事件做出反應(yīng)時(shí)可以執(zhí)行的一系列常規(guī)操作和過(guò)程。

Runbook不僅限于安全事件，因?yàn)樗鼈冞€可以引導(dǎo)員工完成諸如如何擴(kuò)展數(shù)據(jù)庫(kù)或重新啟動(dòng)卡住的進(jìn)程等任務(wù)。在事件管理方面，對(duì)于不熟悉企業(yè)架構(gòu)的員工來(lái)說(shuō)，Runbook是第一道防線。

(3) 聚合

當(dāng)涉及到事件響應(yīng)團(tuán)隊(duì)識(shí)別發(fā)生了什么、如何發(fā)生以及為什么發(fā)生的能力時(shí)，數(shù)據(jù)是關(guān)鍵。盡管日志聚合和分析可能非常昂貴，但這些信息是在以后步驟中進(jìn)行的任何識(shí)別、分類(lèi)和修復(fù)工作的基礎(chǔ)。

步驟2：確定

在團(tuán)隊(duì)對(duì)事件做出響應(yīng)之前，他們需要確定事件發(fā)生的時(shí)間。這可以通過(guò)多種方式實(shí)現(xiàn)，但是通常需要識(shí)別異常行為。這是一個(gè)人工處理的過(guò)程，通過(guò)梳理用戶報(bào)告或查看日志和分析數(shù)據(jù)進(jìn)行處理，但是自動(dòng)化工具的實(shí)施是識(shí)別大型云計(jì)算環(huán)境中異常行為的唯一可擴(kuò)展方式。

通過(guò)人工處理或自動(dòng)過(guò)程識(shí)別事件之后，許多組織可能選擇通知其云計(jì)算提供商并對(duì)其進(jìn)行交叉驗(yàn)證。這個(gè)步驟可以確保企業(yè)對(duì)實(shí)際事件做出反應(yīng)，而在時(shí)間緊迫的情況下，云計(jì)算提供商的支持可以幫助快速結(jié)束循環(huán)。

步驟3：協(xié)調(diào)

一旦確定了事件，下一步就是進(jìn)行組織。在實(shí)際解決所有問(wèn)題之前，需要了解問(wèn)題的性質(zhì)和嚴(yán)重性，并定義和與響應(yīng)團(tuán)隊(duì)合作。在這一步驟中，值班人員或企業(yè)員工將負(fù)責(zé)確定報(bào)告的性質(zhì)，并對(duì)嚴(yán)重性進(jìn)行初步評(píng)估，然后再將其傳遞給其團(tuán)隊(duì)成員。

建立響應(yīng)團(tuán)隊(duì)：

許多云原生組織可能規(guī)模很小，但針對(duì)每次事件可以由其團(tuán)隊(duì)成員進(jìn)行處理。但是，組織規(guī)模越大，可以找到所發(fā)生問(wèn)題的技術(shù)專(zhuān)家就越重要。

在事件發(fā)生后，將其轉(zhuǎn)移到團(tuán)隊(duì)成員(也稱(chēng)為事件指揮者)進(jìn)行處理，事件指揮者將從相關(guān)團(tuán)隊(duì)中確定跨職能領(lǐng)導(dǎo)，以創(chuàng)建云計(jì)算事件響應(yīng)團(tuán)隊(duì)。該團(tuán)隊(duì)將負(fù)責(zé)調(diào)查和糾正問(wèn)題。

步驟4：補(bǔ)救

確定活動(dòng)事件并建立響應(yīng)團(tuán)隊(duì)之后，開(kāi)始調(diào)查并解決問(wèn)題。在響應(yīng)團(tuán)隊(duì)進(jìn)行調(diào)查時(shí)，可能需要其他團(tuán)隊(duì)成員和資源來(lái)收集盡可能多的信息。

由于事件固有的不可預(yù)測(cè)性，很難在這個(gè)過(guò)程中設(shè)定時(shí)間表。保持內(nèi)部溝通渠道暢通，以跟蹤進(jìn)度并了解整體影響。

在網(wǎng)絡(luò)安全方面，沒(méi)有將可能影響客戶個(gè)人的問(wèn)題通知客戶將最容易失去客戶的信任。重要的是要清楚地了解事故發(fā)生時(shí)的情況，以及如何補(bǔ)救。對(duì)于不向客戶報(bào)告事件然后在晚些時(shí)候曝光的方法需要謹(jǐn)慎采用。當(dāng)有疑問(wèn)的時(shí)候，可能在透明度方面犯錯(cuò)誤。

步驟5：回顧

回顧是完成敏捷云計(jì)算事件響應(yīng)過(guò)程的基石，回顧使企業(yè)能夠從過(guò)去的錯(cuò)誤中吸取教訓(xùn)并采取糾正措施，以確保措施始終在不斷改進(jìn)。突出顯示進(jìn)展順利的地方，并確定需要改進(jìn)的地方，以幫助定義行動(dòng)項(xiàng)目。這使企業(yè)的響應(yīng)團(tuán)隊(duì)可以從過(guò)去的事件中學(xué)習(xí)，并為應(yīng)對(duì)下一次事件做好準(zhǔn)備。