網絡安全應急響應是十分重要的，在網絡安全事件層出不窮、事件危害損失巨大的時代，應對短時間內冒出的網絡安全事件，根據應急響應組織事先對各自可能情況的準備演練，在網絡安全事件發(fā)生后，盡可能快速、高效的跟蹤、處置與防范，確保網絡信息安全。就目前的網絡安全應急監(jiān)測體系來說，其應急處理工作可分為以下幾個流程：

1、準備工作

此階段以預防為主，在事件真正發(fā)生前為應急響應做好準備。主要包括以下幾項內容：制定用于應急響應工作流程的文檔計劃，并建立一組基于威脅態(tài)勢的合理防御措施；制定預警與報警的方式流程，建立一組盡可能高效的事件處理程序；建立備份的體系和流程，按照相關網絡安全政策配置安全設備和軟件；建立一個支持事件響應活動的基礎設施，獲得處理問題必備的資源和人員，進行相關的安全培訓，可以進行應急響應事件處理的預演方案。

2、事件監(jiān)測

識別和發(fā)現各種網絡安全緊急事件。一旦被入侵檢測機制或另外可信的站點警告已經檢測到了入侵，需要確定系統和數據被入侵到了什么程度。入侵響應需要管理層批準，需要決定是否關閉被破壞的系統及是否繼續(xù)業(yè)務，是否繼續(xù)收集入侵者活動數據（包括保護這些活動的相關證據）。通報信息的數據和類型，通知什么人。主要包括以下幾種處理方法：

布局入侵檢測設備、全局預警系統，確定網絡異常情況；

預估事件的范圍和影響的嚴重程度，來決定啟動相應的應急響應的方案；

事件的風險危害有多大，涉及到多少網絡，影響了多少主機，情況危急程度；

確定事件責任人人選，即指定一個責任人全權處理此事件并給予必要資源；

攻擊者利用的漏洞傳播的范圍有多大，通過匯總，確定是否發(fā)生了全網的大規(guī)模入侵事件；

3、抑制處置

在入侵檢測系統檢測到有安全事件發(fā)生之后，抑制的目的在于限制攻擊范圍，限制潛在的損失與破壞，在事件被抑制以后，應該找出事件根源并徹底根除；然后就該著手系統恢復，把所有受侵害的系統、應用、數據庫等恢復到它們正常的任務狀態(tài)。

收集入侵相關的所有資料，收集并保護證據，保證安全地獲取并且保存證據；

確定使系統恢復正常的需求和時間表、從可信的備份介質中恢復用戶數據和應用服務；

通過對有關惡意代碼或行為的分析結果，找出事件根源明確相應的補救措施并徹底清除，并對攻擊源進行準確定位并采取措施將其中斷；

清理系統、恢復數據、程序、服務，把所有被攻破的系統和網絡設備徹底還原到正常的任務狀態(tài)。

4、應急場景

網絡攻擊事件：

安全掃描攻擊：黑客利用掃描器對目標進行漏洞探測，并在發(fā)現漏洞后進一步利用漏洞進行攻擊；

暴力破解攻擊：對目標系統賬號密碼進行暴力破解，獲取后臺管理員權限；

系統漏洞攻擊：利用操作系統、應用系統中存在漏洞進行攻擊；

WEB漏洞攻擊：通過SQL注入漏洞、上傳漏洞、XSS漏洞、授權繞過等各種WEB漏洞進行攻擊；

拒絕服務攻擊：通過大流量DDOS或者CC攻擊目標，使目標服務器無法提供正常服務；

信息破壞事件：

系統配置遭篡改：系統中出現異常的服務、進程、啟動項、賬號等等；

數據庫內容篡改：業(yè)務數據遭到惡意篡改，引起業(yè)務異常和損失；

網站內容篡改事件：網站頁面內容被黑客惡意篡改；

信息數據泄露事件：服務器數據、會員賬號遭到竊取并泄露.