[發明專利]網絡安全應急響應方法及響應系統

有效

• 申請號: 202010024627.6
• 申請日: 2020-01-10
• 公開（公告）號: CN111224991B
• 公開（公告）日: 2023-03-31
• 發明（設計）人: 傅奎;王宏飛;張平;吳漂玉
• 申請（專利權）人: 上海霧幟智能科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京科石知識產權代理有限公司 11595
• 代理人: 李艷霞

本申請提供了一種網絡安全應急響應方法及響應系統，網絡安全應急響應方法包括以下步驟：獲取原始事件信息；根據原始事件的需要，設置至少一個安全響應節點，安全響應節點具有殺毒、補丁更新、隔離、資產管理或消息通知功能；各安全響應節點并行或串行執行其功能；對原始事件信息進行格式化處理，得到結構化輸入數據；將得到的結構化輸入數據作為安全響應節點的輸入，當各安全響應節點串行執行相應功能時，上一級安全響應節點的輸出作為當前安全響應節點的輸入，用于啟動當前安全響應節點，以使各安全響應節點按照預設的順序順次執行，自動化地完成安全事件響應。本申請在沒有人員干預的情況下能夠穩定執行應急響應流程，大幅提供生產力。

技術領域

本申請屬于網絡安全技術領域，具體涉及一種網絡安全應急響應方法及響應系統。

背景技術

眾所周知，在網絡安全建設過程中應急響應是不可或缺的重要流程。大量企業和安全公司曾創建過不同類型的應急響應流程，確保組織在發生緊急安全事件時能夠積極有序地正確應對，以減少事件帶來的損失。然而，隨著近幾年網絡安全態勢的嚴峻化，安全事件頻繁爆發。同時，企業組織架構和網絡環境日益復雜，過去那些僅僅停留在過程設計層面的應急響應策略已經落后。

本申請的發明人在研發過程中發現：傳統安全事件應急響應流程主要停留在流程圖層面，當安全事件發生時，相關人員按照預先制定的應急響應流程圖開展響應工作；例如，相關人員通常按照以下流程順次完成事件響應工作：安全事件發生、判定類型、啟動響應流程、通知責任人、識別攻擊影響、執行響應策略、封禁攻擊IP、對被攻擊對象作風險評估和漏洞修復、完成事件響應；表面上看這種流程安排得非常有序，每個環節都有把控，能夠應對突發的安全事件；但事實上，在真實的安全事件響應過程中，這種流程幾乎很難執行，其主要缺陷是：各環節只有“要做什么”，缺少具體的“要怎么做”。

以“封禁一個網絡攻擊者IP地址”操作為例，現有流程中既不會提到在什么設備上封禁，也很少提在設備上怎么封禁。即使都有提到，但當登錄設備時還面臨“賬號密碼認證”、“產品使用熟悉度”、“封禁動作本身的操作時間要求”等問題。這些看似簡單的問題，實則是應急響應最后一公里能否執行到位的決定性環節。衡量一個組織的應急響應水平，除了看是否有完備的流程，還要看在安全事件真正發生時組織能否穩定、有序且快速地執行流程。因此，傳統應急響應流程的順利執行嚴重依賴于人員對應急響應流程的熟悉程度。

發明內容

為至少在一定程度上克服相關技術中存在的問題，本申請提供了一種網絡安全應急響應方法及響應系統。

根據本申請實施例的第一方面，本申請提供了一種網絡安全應急響應方法，其包括以下步驟：

獲取原始事件信息；

根據原始事件的需要，設置至少一個安全響應節點，安全響應節點具有殺毒、補丁更新、隔離、資產管理或消息通知功能；各安全響應節點并行或串行執行其功能；

對原始事件信息進行格式化處理，得到結構化輸入數據；

將得到的結構化輸入數據作為安全響應節點的輸入，當各安全響應節點串行執行相應功能時，上一級安全響應節點的輸出作為當前安全響應節點的輸入，用于啟動當前安全響應節點，以使各安全響應節點按照預設的順序順次執行，自動化地完成安全事件響應。

上述網絡安全應急響應方法中，所述各安全響應節點的輸入包括執行對象和執行參數，其輸出包括狀態碼和執行結果。

上述網絡安全應急響應方法中，所述安全響應節點設置有四個，各所述安全響應節點對應設置有殺毒軟件、補丁管理服務器、防火墻和資產管理系統。

進一步地，各所述安全響應節點并行執行各自功能時，對原始事件信息進行格式化處理，得到殺毒軟件、補丁管理服務器、防火墻和資產管理系統安全響應節點的結構化輸入數據；將各安全響應節點的結構化輸入數據分別輸入各個安全響應節點，各安全響應節點并行執行。