不同的系統(tǒng)入侵事件，以及入侵事件的嚴(yán)重程度，其處理方式是不相同的。因此，在對系統(tǒng)入侵事件進(jìn)行處理之前，在系統(tǒng)入侵事件識(shí)別之后，還必需進(jìn)行一個(gè)必要的步驟，就是對當(dāng)前識(shí)別的系統(tǒng)入侵事件進(jìn)行分類。
這樣做的目的就是對系統(tǒng)入侵事件做出嚴(yán)重程度的判斷，以便決定下一步采取什么樣的應(yīng)對措施。例如，如果攻擊事件是涉及到服務(wù)器中的一些機(jī)密數(shù)據(jù)，這肯定是非常嚴(yán)重的攻擊事件，就應(yīng)當(dāng)立即斷開受到攻擊的服務(wù)器的網(wǎng)絡(luò)連接，并將其隔離，以防止事態(tài)進(jìn)一步的惡化及影響網(wǎng)絡(luò)中其它重要主機(jī)。
一般來說，我們可以通過確認(rèn)系統(tǒng)入侵事件發(fā)展到了什么地步，以及造成了什么樣的后果來進(jìn)行分類，這樣就可以將系統(tǒng)入侵事件分為以下5個(gè)類別：
（1）、試探性入侵事件
（2）、一般性入侵事件
（3）、控制系統(tǒng)的入侵事件
（4）、拒絕服務(wù)事件
（5）、得到機(jī)密數(shù)據(jù)的入侵事件
對網(wǎng)絡(luò)中的主機(jī)進(jìn)行試探性掃描，都可以認(rèn)為是試探性質(zhì)的事件，這些都是攻擊者為了確認(rèn)網(wǎng)絡(luò)中是否有可以被攻擊的主機(jī)，而進(jìn)行的最基本的工作。
當(dāng)攻擊者確認(rèn)了要攻擊的目標(biāo)后，他就會(huì)進(jìn)一步地對攻擊目標(biāo)進(jìn)行更加詳細(xì)，更加有目的的掃描，這時(shí)，所使用的掃描方式就會(huì)更加先進(jìn)和不可識(shí)別性，例如半連接式掃描及FIN方式掃描等，這種掃描完成后，就可以找到一些是否可以利用的漏洞信息，由于現(xiàn)在的一些整合性防火墻和IDS也能夠識(shí)別這些方式的掃描，因此，如果在日志文件中找到了與此相應(yīng)的記錄，就表明攻擊已經(jīng)發(fā)展到了一般性事件的地步了。
當(dāng)攻擊者得到可以利用的漏洞信息后，他就會(huì)利用各種手段對攻擊目標(biāo)進(jìn)行滲透，這時(shí)，如果你沒有及時(shí)發(fā)現(xiàn)，滲透的成功性是非常大的，網(wǎng)絡(luò)中已經(jīng)存在有太多的這類滲透工具，使用這些工具進(jìn)行滲透工作是輕而易舉的事
在滲透成功后，攻擊者就會(huì)想法提高自己在攻擊目標(biāo)系統(tǒng)中的權(quán)限，并安裝后門，以便能隨心所欲地控制已經(jīng)滲透了的目標(biāo)，此時(shí)，就已經(jīng)發(fā)展到了控制系統(tǒng)的地步。
到這里，如果你還沒有發(fā)現(xiàn)攻擊行為，那么，你所保護(hù)的機(jī)密資料將有可能被攻擊者完全得到，事態(tài)的嚴(yán)重性就可想而知了。
攻擊者在控制了攻擊目標(biāo)后，有時(shí)也不一定能夠得到機(jī)密數(shù)據(jù)，由此而產(chǎn)生一些報(bào)復(fù)性行為，例如進(jìn)行一些DOS或DDOS攻擊等，讓其他正常用戶也不能夠訪問。或者，攻擊者控制系統(tǒng)的目的，就是為了對其它系統(tǒng)進(jìn)行DOS或DDOS攻擊。
因此，我們必需通過相應(yīng)的工具（如IDS/IPS），以及對相應(yīng)的日志文件（如防火墻日志）進(jìn)行分析，來迅速對上述5種系統(tǒng)入侵事件進(jìn)行判斷，以便及時(shí)決定采取什么樣的應(yīng)對方法來進(jìn)行處理，以防止事態(tài)向更加嚴(yán)重的程度發(fā)展，并由此盡量減小損失，恢復(fù)網(wǎng)絡(luò)系統(tǒng)正常運(yùn)行。
這也是為什么在此節(jié)之前，雪源梅香會(huì)用一個(gè)比較長的章節(jié)來描述如何去識(shí)別系統(tǒng)入侵事件的關(guān)鍵原因。因?yàn)橹挥性谝婚_始就使用了相應(yīng)的安全工具，例如IDS/IPS或防火墻等，才有可能幫助我們識(shí)別系統(tǒng)入侵事件，并對入侵事件的嚴(yán)重程度進(jìn)行正確的判斷。
另外，在對系統(tǒng)入侵事件的嚴(yán)重程度做出正確的判斷之后，還可以將入侵事件的證據(jù)收集起來，以便通過這些證據(jù)來找到攻擊者，并將其繩之以法。當(dāng)然，這個(gè)步驟并不是必要的，但是，通過法律手段來保護(hù)我們，雪源梅香認(rèn)為這今后我們必需不斷加強(qiáng)的有效手段之一。
至于如何收集，這要視你所要收集的證據(jù)的多少及大小，以及收集的速度要求來定。如果只收集少量的數(shù)據(jù)，你可以通過簡單的復(fù)制方法將這些數(shù)據(jù)保存到另外一些安全的存儲(chǔ)媒介當(dāng)中；如果要收集的數(shù)據(jù)數(shù)量多且體積大，而且要求在極少的時(shí)間來完成，你就可以通過一些專業(yè)的軟件來進(jìn)行收集。對于這些收集的數(shù)據(jù)保存到什么樣的存儲(chǔ)媒介之中，也得根據(jù)所要收集的數(shù)據(jù)要求來定的，還得看你現(xiàn)在所擁有的存儲(chǔ)媒介有哪些，一般保存到光盤或硬盤當(dāng)中為好。
具體收集哪些數(shù)據(jù)，你可以將可以為攻擊事件提供證據(jù)的數(shù)據(jù)全部都收集起來，也可以只收集其中最重要的部分，下面是一些應(yīng)該收集的數(shù)據(jù)列表：
（1）、操作系統(tǒng)事件日志
（2）、操作系統(tǒng)審計(jì)日志
（3）、網(wǎng)絡(luò)應(yīng)用程序日志
（4）、防火墻日志
（5）、入侵檢測（IDS）日志
（6）、受損系統(tǒng)及軟件鏡像
要了解是，上述這些數(shù)據(jù)都是依賴我們在上一節(jié)中所做的系統(tǒng)入侵事件識(shí)別工作。因此，如果你還沒有做這樣的工作，請?jiān)诒忍鼐W(wǎng)上找到上一篇文章，然后按其中提到的方法做好準(zhǔn)備工作。
在進(jìn)行這一步之前，如果你的首要任務(wù)是將網(wǎng)絡(luò)或系統(tǒng)恢復(fù)正常，為了防止在恢復(fù)系統(tǒng)備份時(shí)將這些證據(jù)文件丟失，或者你只是想為這些攻擊留個(gè)紀(jì)念，你可以先使用一些系統(tǒng)鏡像軟件將整個(gè)系統(tǒng)做一個(gè)鏡像保存后，再進(jìn)行恢復(fù)工作。
收集的數(shù)據(jù)不僅是作為指證攻擊者的證據(jù)，而且，在事件響應(yīng)完成后，還應(yīng)將它們統(tǒng)計(jì)建檔，并上報(bào)給相關(guān)領(lǐng)導(dǎo)及其它合作機(jī)構(gòu)，例如安全軟件提供商，合作伙伴，以及當(dāng)?shù)氐姆蓹C(jī)構(gòu)，同時(shí)也可以作為事后分析學(xué)習(xí)之用。
下載 
下載 
下載 
下載 
下載 
下載 
喜歡 
頂
難過
囧
圍觀
無聊
