信息安全原理张基温电子教案第5章信息系统安全事件响应.pptVIP

第5章信息系统平安事件响应;1988年，莫里斯蠕虫迅雷不及掩耳之势肆虐互联网，招致上千台计算机系统的崩溃，造成了以千万美元计的损失。这突如其来的灾难，给人们敲响了警钟：面队人类对信息系统以来程度不断增强，对付入侵不仅需要防御，还要能够在事件发生后进行紧急处理和援助。1989年，在美国国防部的资助下，CERT〔ComputerEmergencyTeam，计算机紧急响应组〕/CC〔CallCenter〕成立。从此紧急响应被摆到了人们的议事桌上。CERT成立以后，做了大量工作。但最大的成就是使紧急响应为人们普遍接受。;5.1.1应急响应组织;5.1.2紧急预案;2.常见平安事件;3.平安事件处理的根本流程;平安事件处理的根本流程〔续〕;平安事件处理的根本流程〔续〕;平安事件处理的根本流程〔续〕;平安事件处理的根本流程〔续〕;平安事件处理的根本流程〔续〕;5.1.3灾难恢复;1.与高层人员协商;3.复制一份被侵入系统的映像;5.去除后门;7.系统恢复;7.系统恢复;5.2数据容错、数据容灾和数据备份;5.2.1数据容错系统与根本技术;2.常用数据容错技术;5.2.2数据容灾系统与根本技术;1.数据容灾等级;2.异地容灾技术;〔2〕快照技术;〔3〕互连技术;〔4〕虚拟存储;5.2.3数据备份的策略;5.3数字证据获取;5.3.1数字证据的特点;2.可伪性和弱证明性;3.数据的挥发性;5.3.2数字取证的原那么;数字取证的原那么;5.3.3数字取证的一般步骤;〔1〕日志：如操作系统日志等。

〔2〕文件。如可以进行的文件有哪些信誉好的足球投注网站有：

·有哪些信誉好的足球投注网站目标系统中所有文件〔包括现存的正常文件、已经被删除但仍存在于磁盘上还没有被覆盖的文件、隐藏文件、受密码保护的和加密文件〕；

·尽量恢复所发现的文件；

·在法律允许的情况下，访问被保护或加密的文件；

·分析磁盘特殊区域〔未分配区域、文件栈区等〕。

〔3〕系统进程：如进程名、进程访问文件等。

〔4〕用户：特别是在线用户的效劳时间、使用方式等。

〔5〕系统状态：如系统开放的效劳、网络运行的状态等。

〔6〕通信连接记录：如网络路由器的运行日志等。

〔7〕存储介质：如磁盘、光盘、闪寸等。

在证据发现阶段可以使用的技术有：IDS、蜜罐技术、网络???索自动识别技术、溯源技术等。同时还可以使用一些相关的工具。表5.2为一些常用实时取证类工具。;一些常用实时取证类工具;数字取证的一般步骤〔续〕;5.3.4数字取证的根本技术和工具;1.利用IDS取证;〔2〕取证过程;4〕根据情况有选择地关闭计算机系统

·不彻底关闭系统〔否那么造成信息改变，证据破坏〕。

·不断开网络。

·将系统备份转移到单用户模式下制作和验证备份。

·考虑制作磁盘镜像。

·同步磁盘，暂停系统。

5〕调查攻击者来源

·利用tcpdump/who/syslog。

·运行finger对抗远程系统。

·寻找攻击者可能利用的账号。;2.利用蜜罐取证;5.3.5数字证据的法律问题;2.数字证据的证明力;3.数字取证工具的法律效力;习题;习题〔续〕