计算机系统安全原理与技术7第8章应急响应与灾难恢复zl
互联网网络信息安全中的灾难恢复技术
互联网网络信息安全中的灾难恢复技术一、灾难恢复的定义灾难恢复( Disaster Recovery)就是将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态，并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。
灾难恢复所需的时间是灾难恢复中最关键的性能指标。
灾难恢复系统是为了保障计算机系统和网络系统在发生灾难的情况下，能够迅速地得以恢复到原来状态而特意建立的一整套完整的系统，它包括备份运行系统、可重置路由的数据通信线路、电源以及数据备份等。
此外，灾难恢复系统的制定还应该包括对该系统的测试和对使厢人员的培训，这将有助于参与灾难恢复系统的人们能够更好地对灾难的发生作出合理的反应。
二、灾难恢复的种类按照数据恢复范围的大小，保护缓冲区免受缓通常可以分为三类：一类是个别文件恢复，另一类是全盘恢复，还有一类是重定向恢复。
个别文件恢复。
如果系统受到的破坏不是很严重，或者是攻击刚刚开始就被阻止，攻击造成的破坏仅仅是小部分范围，就可以实施个别文件恢复。
针对受损的个别文件，只需浏览备份数据库的目录，找到该文件，触发系统的恢复功能，恢复软件将可以自动恢复指定的文件。
全盘恢复。
全盘恢复一般用在服务器发生意外灾难导致数据全部丢失、系统崩溃或是有计划的系统升级、系统重组等情况，也称为系统恢复。
重定向恢复。
重定向恢复是将备份的文件恢复到另一个不同的位置或系统上去，而不是进行备份操作时它们当时所在的位置。
重定向恢复可以是对整个系统进行恢复，也可以是针对个别受损文件单独进行恢复。
三、灾难恢复的步骤1．切断入侵者的访问途径这个步骤的目的是要阻止入侵者继续入侵，避免入侵者对系统造成更严重的破坏。
如果在恢复过程中没有切断入侵者的访问途径，入侵者就可能干扰并破坏恢复工作，导致恢复操作失败。
2．复制一份被侵入的系统在进行入侵分析之前，先备份被入侵过的系统，保留一份原始的入侵数据和记录，以便作分析。
如果将来决定要对入侵行为进行法律诉讼，这些数据也将成为有力的证据。
系统应急响应与恢复：如何实现系统应急响应与恢复
系统应急响应与恢复：如何实现系统应急响应与恢复引言在今天的现代社会，各种系统的运行对我们的日常生活至关重要。
无论是电力系统、网络系统还是交通系统，当这些系统发生故障或遭受攻击时，我们的生活都会受到很大影响。
因此，建立有效的系统应急响应与恢复机制对于保障系统的安全性和稳定运行至关重要。
本文将探讨系统应急响应与恢复的重要性，并提供实现有效系统应急响应与恢复的一些方法与建议。
什么是系统应急响应与恢复系统应急响应与恢复是指当系统遭受到故障、攻击或其他意外情况时，系统能够快速采取措施来应对并恢复正常运行。
它包括多个方面，如预警系统、应急响应计划、危机管理和恢复过程等。
系统应急响应与恢复的目标是尽快恢复系统的正常运行，以减少损失和对用户的影响。
为什么系统应急响应与恢复很重要维护系统的高可用性和可靠性系统应急响应与恢复的首要目标是保证系统的高可用性和可靠性。
当系统发生故障或遭受攻击时，快速响应和有效恢复可以避免系统停机时间过长，并最小化对用户的影响。
保护系统的安全性和数据完整性系统应急响应与恢复也可以帮助保护系统的安全性和数据完整性。
当系统遭受攻击时，快速响应可以防止攻击者继续渗透并且保护系统中的敏感数据不被泄露。
同时，系统恢复过程中的数据备份和恢复操作可以确保系统数据的完整性和可用性。
提高用户满意度和信任度当系统面临问题时，用户往往期望能够快速得到解决方案或恢复正常运行。
如果系统能够快速响应并有效恢复，用户将感到满意并对系统的可靠性和稳定性产生信任。
这有助于提高用户满意度和保持用户忠诚。
减少潜在的损失和经济成本当系统发生故障或遭受攻击时，停机时间和数据损失可能会导致严重的经济损失。
通过建立有效的系统应急响应与恢复机制，可以尽快将系统恢复到正常状态，减少停机时间并最小化经济损失。
如何实现系统应急响应与恢复建立预警系统建立强大的预警系统是实现系统应急响应与恢复的关键。
预警系统可以及时发现系统的异常情况，并提供及时的警报和通知。
07灾难恢复技术概述
课的类型：授新课
教学目标：了解灾难恢复的与意义，分析灾难恢复实施的过程
教学重点：分析灾难恢复实施的过程
教学难点：分析灾难恢复实施的过程
课时安排：2课时
教学方法：多媒体原理分析、讲授
教学过程：
一、灾难恢复的作用与意义
今天，计算机的应用越来越广泛，但使用计算机系统处理日常业务在提高效率的同时，也产生了新的问题，即数据失效问题。一旦发生数据失效，企业就会陷入困境：客户资料，技术文件，财务帐务等数据可能被损坏得面目全非，而允许恢复时间可能只有短短几天或更少。如果系统无法顺利恢复，最终结局不堪设想。所以企业或组织的信息化程度越高，备份和灾难恢复措施就越重要。
恢复文件、表以及其他对象
另一个常见的恢复是涉及单个的文件、表以及其他系统实体的恢复。在这种情况下，系统管理员使用备份系统数据库，或者其他控制机制，选择需要恢复的项目。假如使用磁带自动装载器或子系统，恢复过程可以在没有系统管理员的干预下继续进行。否则，需要将正确的磁带插入磁带设备或子系统。
恢复数据到另一位置
•恢复一个空目录。
•在目录树的不同位置恢复一个文件。
2）.没有数据或者不能读的磁带
假如数据没有存放在磁带上，当然就不能恢复，导致这种情况的原因有：
•备份失败或过早停止备份。
•使用磁带混乱，导致数据被覆盖。
•磁带过于磨损而不能使用。
•磁带由于过热、过湿、灰尘及其他因素而损坏。
假如在恢复过程中，遇到了磁带的失败，那么，你可以停止操作，清洁磁带驱动器中的磁头，可能是在磁头上沉积了污垢，致使磁带驱动器的读数据能力受到临时影响。有时，有必要清洗两次磁头。有时候，需要读取磁带上极端重要的数据，但由于污染和湿度影响，数据不能读出，必须使用专门的备用磁带技术装置使它们可读，这类服务花费高，且不保证数据一定能被恢复。
计算机系统安全原理与技术第8章 应急响应与灾难恢复
2020/1/26
计算机系统安全原理与技术(第3版)
9
8.2 容灾备份和恢复
8.2.1 容难备份与恢复的概念
3. 容灾备份系统组成
数据备份系统 备份数据处理系统 备份通信网络系统 完善的灾难恢复计划
2020/1/26
计算机系统安全原理与技术(第3版)
10
8.2 容灾备份和恢复
2020/1/26
计算机系统安全原理与技术(第3版)
8
8.2 容灾备份和恢复
8.2.1 容难备份与恢复的概念
2. 容灾备份系统的种类
数据容灾。指建立一个异地的数据系统，该系统是 对本地系统关键应用数据实时复制。当出现灾难时， 可由异地系统迅速接替本地系统而保证业务的连续 性。
应用容灾。应用容灾比数据容灾层次更高，即在异 地建立一套完整的、与本地数据系统相当的备份应 用系统(可以同本地应用系统互为备份，也可与本 地应用系统共同工作)。在灾难出现后，远程应用 系统迅速接管或承担本地应用系统的业务运行。
4
8.1 应急响应
8.1.2 应急响应组织
国内建立的应急处理组织包括：
国家互联网应急中心(CNCERT/CC) 国家计算机病毒应急处理中心 国家计算机网络入侵防范中心 中国教育和科研网紧急响应组(CCERT)等。
完成习题11
计算机系统安全原理与技术(第3版)
2020/1/26
2020/1/26
计算机系统安全原理与技术(第3版)
通常是指一个组织为了应对各种安全事件的发 生所做的准备以及在事件发生后所采取的措施。
2020/1/26
计算机系统安全原理与技术(第3版)
3
8.1 应急响应
《网络安全》教学大纲
《网络安全》教学大纲（Network Security）制定单位：信息科学学院（计算机科学与技术系）制定人：孙晓彦审核人：冯国富（课程组长）编写时间：2011年12月15日第一部分课程概述一、基本信息（一）课程属性、学分、学时专业课, 3学分，48学时(理论32+实验16)（二）适用对象计算机科学与技术专业本科生（三）先修课程与知识准备计算机程序设计、数据结构与算法、操作系统、计算机网络等二、课程简介信息网络的大规模全球互联趋势，以及人们的社会与经济活动对计算机网络的依赖性与日俱增，使得计算机网络的安全性成为信息化建设的一个核心问题。
在信息学科的专业教育中开设网络安全课程，旨在让学生们从学习网络技术时就树立建造安全网络的观念，掌握网络安全的基本知识，了解设计和维护安全的网络体系及其应用系统的基本手段和常用方法，为从事信息网络的研究和开发打下良好基础。
本课程较全面的介绍了计算机网络安全的基本理论和关键技术，并对当前常见的网络安全技术的原理和应用进行了详细的讲解。
内容主要包括计算机硬件与环境安全、操作系统安全、计算机网络安全、应用系统安全、应急响应与灾难恢复、计算机系统安全风险评估、计算机安全等级评测与安全管理等内容。
这门课程对于培养具有基本信息安全技术应用能力的工程人员有着重要意义。
The trend that information nets worldwide being connecting to one another, alone with the more and more dependences on computer net by people's social and economical activities, makes the security of the computer net a kernel problem. This course means to bring up the students' notion about the net security in the mean time when they learn the net technology, to let them understand the basic knowledge of net security, and to offer them a chance to understand the common way to design and maintain a secure net system or its application system. By taking the course, it can therefore give the students a good preparation for their research in information net.The course gives a global introduction on the basic theories and kernel technologies of the network security, as well as explanation on the concept andapplication of the commonly used network security technology. The main contents of this course include the following sections: security of computer hardware and environmental, operating system security, computer network security, application security, emergency response and disaster recovery, computer system security risk assessment, computer level of security evaluation and security management and so on.This course has important significance for training the engineering staff with the basic information security technology application ability.三、教学目标本课程主要培养学生理解密码学等网络安全的相关安全原理，掌握计算机系统可能存在的安全问题和普遍采用的安全机制，了解当今主要的网络系统安全设置、安全漏洞、安全协议，并能够胜任一般网络安全的基本技术和操作，提高信息安全防护意识与安全防护能力。
应急响应备份与灾难恢复技术
目录
• 应急响应备份技术 • 灾难恢复技术 • 灾难恢复策略 • 技术与实践 • 案例研究
01
应急响应备份技术
冷备份与热备份
冷备份
在数据不活跃或业务停机时进行备份 ，优点是备份速度快、对业务影响小 ，缺点是数据备份不实时，可能丢失 较新数据。
热备份
在数据在线运行时进行备份，优点是 数据实时性强，缺点是对业务性能有 一定影响，且需要更高的技术和资源 投入。
镜像站点恢复
总结词
镜像站点恢复是一种灾难恢复策略，通过创 建与生产环境完全一致的镜像站点，实现在 灾难发生时快速恢复业务运营。
详细描述
镜像站点包含了生产环境的所有硬件、软件、 数据和配置，可以在灾难发生时迅速启动并 接管业务处理。这种策略通常需要较高的投 资成本和维护成本，但能够提供最高级别的 数据完整性和业务连续性。
制定原则
03
制定RTO和RPO时应考虑业务的重要性和容忍度，以及技术的
可行性和成本效益。
远程数据中心恢复
定义
远程数据中心恢复是指在远程位置建立备份数据中心，以便在主数 据中心发生灾难时，能够快速切换到备份数据中心，保障业务连续 性。
技术实现
实现远程数据中心恢复需要建立高速网络连接，确保备份数据实时 更新，并具备快速切换的能力。
04
技术与实践
虚拟化与云技术
总结词
虚拟化技术通过创建虚拟环境，实现数据中心的资源池化，提高资源利用率和灵活性。 云技术则提供了一种按需付费、弹性可扩展的计算服务模式，适用于大规模数据处理和
存储。
详细描述
虚拟化技术通过软件模拟硬件设备，使得多个操作系统可以运行在单一的物理服务器上， 提高了服务器的利用率。同时，虚拟化技术可以实现快速迁移和复制虚拟机，提高了备 份和恢复的效率。云技术则提供了高度可扩展的计算和存储资源，可以快速响应业务需
计算机系统安全原理与技术课件8.1-8.2
• 2008年，公安部发布的《信息系统安全等级保护基本要求》 和2016年11月7日发布的《中华人民共和国网络安全法》都 对应急响应工作提出了要求，《网络安全法》从立法高度明确 网络安全应急工作机制；
• 2016年12月，我国首次公开发布《国家网络空间安全战略》 。战略中明确提出：“建立国家网络安全技术支撑体系，完善 网络安全监测预警和网络安全重大事件应急处置机制”。
20
计算机系统安全原理与技术（第4版）
8.2.2 应急响应过程
❖ 3. 应急处置 ▪ （2）排查与诊断
• 1）故障排查与诊断的流程应包含以下内容。 – 现场负责人调度处置人员进行现场故障排查。 – 现场处置人员进行故障排查和诊断，必要时可寻求组织其 他人员以现场或远程方式进行支持，在此过程中可借助各 类排查诊断分析工具，如应用软件、电子分析工具、故障 排查知识库等。 – 现场处置人员应随时向现场负责人汇报故障排查情况、诊 断信息、故障定位结果等。 – 将排查与诊断的过程与结果信息进行整理与归档。
• 2）事件级别评估。现场负责人应根据事件级别定义，初步确 定应急事件所对应的事件级别。应将事件级别置于动态调整 控制中。
18
计算机系统安全原理与技术（第4版）
8.2.2 应急响应过程
❖ 2. 监测与预警 ▪ （3）应急响应预案启动
• 1）预案启动。组织应建立、审议应急响应预案启动的策略和 程序，以控制预案启动的授权和实施。
• 3）记录与报告。应建立监测、预警的记录和报告制度，并按照 约定的形式和时间间隔上报现场负责人。
17
计算机系统安全原理与技术（第4版）
8.2.2 应急响应过程
❖ 2. 监测与预警
最新IT系统应急响应及恢复预案
5
适用范围及对象
适用范围
本预案适用于企业内部IT系统以及托 管在互联网上的各类应用和服务。
适用对象
企业内部IT部门、安全团队以及相关 业务部门人员。同时，也可为外部合 作伙伴或客户提供必要的支持和协助 。
2024/1/25
6
02
IT系统风险识别与评估
2024/1/25
7
风险识别方法
4
应急响应目标
快速响应
在发现IT系统异常或遭受攻击 时，能够迅速启动应急响应程 序，调动相关资源进行处理。
2024/1/25
控制损失
通过及时采取有效的应急措施 ，控制安全事件对企业造成的 影响和损失。
恢复系统
尽快恢复受影响的IT系统正常 运行，确保业务连续性。
查明原因
对安全事件进行深入调查和分 析，查明事件原因，防止类似
演练验证
持续改进
定期组织应急响应演练，验证预案的可行 性和有效性，提高团队的应急处置能力。
鼓励团队成员提出改进建议，不断完善应 急响应预案，提高其对突发事件的应对能 力。
2024/1/25
22
06
培训与演练计划安排
2024/1/25
23
培训内容设计
IT系统基础知识
包括系统架构、关键组件、数据流程等 ，确保参与人员对整个系统有全面了解
定义
应急响应是指在IT系统遭受攻击、故障或灾难事件时，为快速恢复系统正常运行 、保护数据安全而采取的一系列紧急措施和行动。
重要性
随着互联网和信息技术的快速发展，IT系统已成为企业运营的核心。一旦系统遭 受攻击或故障，可能导致数据泄露、业务中断等严重后果。因此，建立健全的应 急响应机制对于保障企业信息安全、维护业务连续性具有重要意义。
网络安全管理制度中的应急响应与灾难恢复
网络安全管理制度中的应急响应与灾难恢复网络安全是当代信息社会中的重要组成部分，对于各类组织来说，构建一套完备的网络安全管理制度尤为重要。
在网络安全管理制度中，应急响应与灾难恢复是其中至关重要的环节。
本文将探讨网络安全管理制度中应急响应与灾难恢复的相关内容，包括应急响应与灾难恢复的概念、重要性以及实施步骤等。
一、应急响应的概念与重要性应急响应是指在网络安全事件发生后，组织及时采取措施进行应对，以尽快恢复网络正常运行状态的过程。
应急响应包括监测网络安全事件，分析事件原因，采取紧急措施进行事故处理，并启动恢复计划等环节。
应急响应的重要性主要体现在以下几个方面：1. 提高网络安全事件处置效率：通过建立应急响应机制，能够及时对网络安全事件进行监测和分析，并采取相应的紧急措施，有效减少网络安全事件造成的损失。
2. 保护信息资产安全：网络安全事件可能导致信息泄露、损坏或不可用等问题，通过应急响应，及时采取措施可以有效保护组织的信息资产安全。
3. 保障业务连续性：网络安全事件的发生可能导致组织的业务中断，通过应急响应，能够最大限度地减少业务中断时间，保障组织的业务连续性。
二、应急响应的实施步骤在网络安全管理制度中，应急响应的实施步骤主要包括以下几个环节：1. 监测与检测：建立有效的网络安全监测系统，实时监测网络安全事件的发生，及时发现潜在威胁。
2. 事件分析与评估：对于监测到的网络安全事件，进行事件源头追踪和分析，全面评估事件的危害程度和影响范围。
3. 紧急处理措施：根据事件分析与评估结果，制定相应的紧急处理措施，包括隔离受影响系统、阻断攻击源等。
4. 恢复计划制定：基于事件分析与评估的结果，制定网络安全事件恢复计划，明确恢复目标、恢复措施和恢复时间等关键要素。
5. 恢复执行与验证：按照恢复计划实施相应的恢复措施，并对恢复效果进行验证，确保网络正常运行。
6. 事后评估与总结：网络安全事件处理结束后，进行事后评估与总结，总结处理过程中的经验教训，并及时更新网络安全管理制度。
计算机技术中的数据恢复与紧急救援
计算机技术中的数据恢复与紧急救援在当今数字化时代，计算机技术已经成为我们生活中不可或缺的一部分。
然而，随着我们对计算机的依赖程度不断增加，数据丢失和系统崩溃的风险也在增加。
因此，数据恢复和紧急救援成为了计算机技术中一个重要的领域。
1. 数据恢复的概念与重要性数据恢复是指在数据丢失或损坏的情况下，通过一系列的技术手段来恢复数据的过程。
数据丢失可能发生在各种情况下，如误删除、病毒攻击、硬件故障等。
对于企业和个人用户来说，数据恢复的重要性不言而喻。
数据丢失可能导致巨大的经济损失、信息泄露以及个人隐私的泄露。
因此，数据恢复技术的发展和应用显得尤为重要。
2. 数据恢复的技术手段数据恢复的技术手段主要分为物理恢复和逻辑恢复两类。
物理恢复是指通过修复或替换损坏的硬件来恢复数据。
逻辑恢复则是通过软件手段来恢复数据。
在物理恢复方面，专业的数据恢复公司通常会使用先进的实验室设备和技术，如洁净室环境、磁头替换等。
而逻辑恢复则主要依赖于数据恢复软件，这些软件能够扫描和恢复损坏的文件系统、分区或磁盘。
3. 数据恢复的挑战与解决方案数据恢复面临着许多挑战，其中最主要的是数据的完整性和准确性。
在数据丢失的情况下，恢复的数据可能存在损坏或缺失的情况。
为了解决这个问题，专业的数据恢复公司通常会使用数据重建和修复技术，以确保恢复的数据的完整性和准确性。
此外，数据恢复还需要考虑到安全性和隐私保护的问题。
在恢复数据的过程中，需要确保恢复的数据不会被未经授权的人访问或使用。
4. 紧急救援的概念与应用紧急救援是指在计算机系统遭受严重破坏或崩溃的情况下，通过一系列的措施来恢复系统的过程。
紧急救援通常包括系统备份和恢复、系统修复和重装等操作。
对于企业来说，系统崩溃可能导致生产中断、业务中断等严重后果。
因此，紧急救援的快速响应和高效执行对于企业的稳定运营至关重要。
5. 紧急救援的技术手段紧急救援的技术手段主要包括系统备份和恢复、系统修复和重装等。
计算机系统安全原理与技术课件第8章
27
计算机系统安全原理与技术（第4版）
8.2.3 应急响应关键技术
❖ 3. 阻断技术 ▪ 1）ICMP不可达响应。通过向被攻击主机或攻击源发 送ICMP端口或目的不可达报文来阻断攻击。 ▪ 2）TCP-RST响应。也称阻断会话响应，通过阻断攻 击者和受害者之间的TCP会话来阻断攻击。 ▪ 3）防火墙联动响应。当入侵检测系统检测到攻击事件 后向防火墙发送规则，由防火墙阻断当前以及后续攻 击。
• 3）记录与报告。应建立监测、预警的记录和报告制度，并按照 约定的形式和时间间隔上报现场负责人。
17
计算机系统安全原理与技术（第4版）
8.2.2 应急响应过程
❖ 2. 监测与预警
▪ （2）核实与评估
• 1）核实。现场负责人应对报告内容进行逐项核实。核实确认 后的应急事件报告，应提交给应急响应责任者。应急事件报 告应作为事件级别评估的输入。重点时段保障需求也应作为 事件级别评估的输入。
▪ 1）将服务和应用建立在安全级别较高（如B1级）的 操作系统上。
▪ 2）不断加固现有的操作系统，通过自我学习、自我完 善不断修正操作系统中被发现的漏洞，加强对重要文 件、重点进程的监控与管理，增强操作系统的稳定性 和安全性。
26
计算机系统安全原理与技术（第4版）
8.2.3 应急响应关键技术
❖ 2. 网络陷阱及诱骗技术 ❖ 通过一个精心设计的、存在明显安全漏洞的特殊系统来诱
3
计算机系统安全原理与技术（第4版）
8.1 应急响应和灾备恢复的重要性
❖ “9•11” 恐怖袭击事件给我们带来了深切的启示——容 灾备份是重要信息系统安全的基础设施，重要信息系统必 须构建容灾备份系统，以防范和抵御灾难所带来的毁灭性 打击。
网络系统应急预案及灾难恢复制度
网络系统应急预案及灾难恢复制度本文介绍了XXX的网络系统应急预案及灾难恢复制度。
该预案的目的是为了建立健全网络系统的应急响应机制，有效预防、及时控制和最大限度地消除各类突发事件的危害和影响。
在工作原则方面，该预案强调了统一领导、综合协调、重点突出、集中备份、快速恢复、及时反应和防范为主等几个方面。
其中，重点突出在于应急处理的重点放在运行着重要业务系统或可能导致严重事故后果的关键网络系统上，集中备份则是通过备份和配置参数备份等措施，提高通信网络系统的安全系数。
在应急和灾难恢复工作机构及职责方面，该预案明确了应急处理领导小组、应急处理工作小组和外部支持人员三个组织结构，并详细说明了它们的职责和成员名单。
总之，该预案为XXX的网络系统应急响应提供了有力的指导和支持，有助于保障学院网络系统的安全和稳定运行。
指网络系统中多个系统故障，导致应用系统运行受阻，但仍可通过备份系统或其他手段解决，未造成较大的社会影响或经济损失的突发事件。
3.重大故障指网络系统中多个系统故障，导致应用系统运行受阻，需要采取紧急措施才能解决，已经对社会造成一定影响或经济损失的突发事件。
4.特级故障指网络系统中多个系统故障，导致应用系统运行严重受阻或瘫痪，需要采取特殊措施才能解决，已经对社会造成重大影响或经济损失的突发事件。
第七条网络突发事件的处理流程1.突发事件的报告和初步核实一旦发现网络突发事件，应当立即向信息中心报告，并进行初步核实，确定事件性质和严重程度。
2.突发事件的评估和分析对突发事件进行评估和分析，确定影响范围和可能造成的损失，制定应急处理方案。
3.突发事件的应急处理按照应急处理方案进行紧急处理，控制和消除事件影响，恢复网络系统正常运行。
4.突发事件的调查和核实对事件进行调查和核实，确定事件原因和责任人，保留相关证据。
5.突发事件的总结和反馈对事件进行总结和反馈，完善应急处理预案，提高应急处理能力和水平。
网络系统中，个别节点的故障，特别是分布层交换节点的故障，可能会导致服务中断，进而造成严重的社会影响和经济损失。
项目八应急响应与灾难恢复
LOGO
8.4 灾难恢复与容灾建设 8.5 容错系统
8.6 应用实例
3
目录 ·Contents
LOGO
8.1 应急响应与灾难恢复概述
8.1.1 应急响应与信息灾难的含义 8.1.2 应急响应组织的产生与发展 8.1.3 灾难发生的原因与危害 8.1.4 灾难发和灾难恢复
4
8.1 应急响应与灾难恢复概述
26
8.4 数据恢复工具
LOGO
流行的数据恢复工具有：Finaldata、EasyRecovery、 DataExplore、R-Studio和Lost&Found。
8.4 灾难恢复与容灾建设 3.容灾中心建设方式
容
自行建设
灾
中
多方共建或通过互惠协议获
心
取；
建
设
租用商业化灾难备份中心的
方
基础设施。
容灾是指除了生产站点以 外，用户另外建立的冗余 站点，当灾难发生，生产 站点受到破坏时，冗余站 点可以接管用户正常的业 务，达到业务不间断的目 的，业务连续性是容灾的 最终建设目标。
LOGO
14
8.1 应急响应与灾难恢复概述 LOGO 2.灾难恢复 灾难恢复是将信息系统从灾难造成的故障或瘫 痪状态恢复到可正常运行状态，并将其支持的业务 功能从灾难造成的不正常状态恢复到可接受状态。
15
8.2 应急响应模型与操作流程 LOGO 8.2.1 应急响应模型 1.PDRR应急响应模型 美国国防部提出了信息保障(Information Assurance，IA)的概念，并 给出了包含防护(Protection) 、检测(Detection) 、响应(Response) 3个 环节的动态模型，后来又增加了恢复(Restore) 环节，简称为PDRR模型。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2019/1/31
计算机系统安全原理与技术(第2版)
14
8.5 计算机取证技术
8.5.1 计算机取证的概念 2．计算机取证的原则 在计算机取证界中，最权威的计算机取证原则莫过于 IOCE(International Organization on Computer Evidence，计算机证据国际组织)提出的6条原则：
8.5 计算机取证技术
8.5.1 计算机取证的概念 2．计算机取证的原则 实施计算机取证应当遵循符合程序原则、共同 监督原则、保护隐私原则、影响最小原则、证 据连续原则和证据完好原则。
2019/1/31
计算机系统安全原理与技术(第2版)
16
8.5 计算机取证技术
8.5.1 计算机取证的概念 3．计算机取证的程序 计算机取证的程序分为5个方面：
计算机系统安全原理与技术(第2版)
24
8.6 入侵追踪
8.6.2 攻击源追踪 入口过滤(Ingress Filtering) 链路测试(Link Testing) 日志记载(Logging) ICMP追踪方法 报文标记(Packet Marking)追踪
2019/1/31
计算机系统安全原理与技术(第2版)
所有的取证和处理证据的原则必须被遵守； 获取证据时所采用的方法不能改变原始证据； 取证人员必须经过专门的培训； 完整地记录对证据的获取、访问、存储或者传输的过程，并 对这些记录妥善保存以便随时查阅； 每一位保管电子证据的人应该对他的每一个针对电子证据的 行为负责； 任何负责获取、访问、存储或传输电子证据的机构有责任遵 循这些原则。 2019/1/31 计算机系统安全原理与技术(第2版) 15
2019/1/31
计算机系统安全原理与技术(第2版)
27
2019/1/31计算源自系统安全原理与技术(第2版)26
思考与练习
10．访问上海金诺网络安全技术发展股份有限公司网 站，下载、试用《计算机犯罪 勘查取证系统》，访问北京天宇宏远科技有限公司网 站http://www. /，了解当前的取证产品有哪 几类，分别具有何功能；了解取证的过程、内容和取 证系统的结构；了解最新技术及取证产品信息。 11．访问国家计算机网络应急技术处理协调中心网站 ，国家计算机病毒应急处理中心 网站，国家计算机网 络入侵防范中心，了解最新的 安全事件以及信息安全研究动态和研究成果。 12．什么是入侵追踪？目前有哪些追踪手段？进一步 了解报文标记方案的新进展。写一篇读书报告。
计算机系统安全原理与技术(第2版)
19
8.5 计算机取证技术
8.5.3计算机取证软件 当前的计算机取证软件的主要功能是文件信息获取和 数据恢复。 比较主流的取证专用产品。
（1）X-Ways Forensics (/index-c.html)。 （2）FTK (Forensic Toolkit， /Products/ftk2test.aspx) （3）TCT (The Coroner’s Toolkit， /forensics/tct.html) （ 4） EnCase(/products/ef_index.a sp)
8.5 计算机取证技术
8.5.5 计算机取证的发展趋势 取证工具的专业化和自动化 融合其他理论和技术 取证的工具和过程标准化
2019/1/31
计算机系统安全原理与技术(第2版)
23
8.6 入侵追踪
8.6.1 IP地址追踪 netstat命令 日志数据 捕获原始数据报文 搜索引擎
2019/1/31
计算机证据的发现 计算机证据的固定 计算机证据的提取 计算机证据的分析 计算机证据的提交
2019/1/31
计算机系统安全原理与技术(第2版)
17
8.5 计算机取证技术
8.5.1 计算机取证的概念 3．计算机取证的程序 计算机取证的程序分为5个方面：
计算机证据的发现 计算机证据的固定 计算机证据的提取 计算机证据的分析 计算机证据的提交
2019/1/31
计算机系统安全原理与技术(第2版)
7
8.2 应急响应概述
8.2.3 应急响应体系研究
2019/1/31
计算机系统安全原理与技术(第2版)
8
8.3 容灾备份和恢复
8.3.1 容难备份与恢复的概念
为什么需要容灾备份？ 什么是容灾备份？ 容灾备份系统的种类 容灾备份系统组成 容灾备份系统的等级 衡量容灾备份的两个技术指标
2019/1/31
计算机系统安全原理与技术(第2版)
5
8.2 应急响应概述
8.2.2 应急响应组织 目前国内的应急处理和响应机制仍然处于起步阶段。 1999年5月教育科研网(CERNET)在清华大学首先成立 了应急组织。 同年6月我国首次参加FIRST第11次会议，此后国内相 继建立应急处理组织 包括中国计算机教育与科研网的计算机紧急事件响应 组(CCERT)、中国计算机网络应急处理协调中心 (CNCERT/CC)、解放军军队应急组织、公安部计算机 病毒防治中心、公安部计算机应急网站等。
2019/1/31
计算机系统安全原理与技术(第2版)
21
8.5 计算机取证技术
8.5.4 当前计算机取证技术的局限和反取证技术 现在的反取证技术可以分为3类：
数据擦除 数据隐藏 数据加密
这些技术还可以结合起来使用，让取证工作的效果大 打折扣。
2019/1/31
计算机系统安全原理与技术(第2版)
22
2019/1/31
计算机系统安全原理与技术(第2版)
12
8.5 计算机取证技术
8.5.1 计算机取证的概念 1．什么是“计算机取证” 我们认为，计算机取证就是采用可靠的技术手段对计 算机犯罪的证据进行获取、保存、分析、鉴定、归档 的全过程。包括使用软件和工具，按照一些预先定义 的程序全面地检查计算机系统，以提取和保护有关计 算机犯罪的证据；对以磁介质编码信息方式存储的计 算机证据的保护、确认、提取和归档，然后据此找出 入侵者(或入侵计算机)，认定犯罪嫌疑人，并将由于 网络入侵和攻击所造成的损失诉诸法律解决。
第8章 应急响应与灾难恢复
2019/1/31
计算机系统安全原理与技术(第2版)
1
本章主要内容
应急响应与灾难恢复的重要性 应急响应概述 容灾备份和恢复 网站备份与恢复系统实例 计算机取证 入侵追踪
2019/1/31
计算机系统安全原理与技术(第2版)
2
8.1 应急响应与灾难恢复的重要性
安全事件影响的严重性 安全漏洞的普遍性 恶意代码的流行性 入侵检测能力的局限性 网络和系统管理的复杂性 法律方面
2019/1/31
计算机系统安全原理与技术(第2版)
18
8.5 计算机取证技术
8.5.2 计算机取证关键技术
1．存储介质的安全无损备份技术 2．已删除文件的恢复技术 3．slack磁盘空间、未分配空间，交换文件和空闲空间中所包 含信息的发掘技术 4．日志反清除技术 5．日志分析技术 6．取证数据传输安全技术 7．取证数据的完整性检测技术 8．网络数据报文截获和分析技术 9．Honeypot/Honeynet(蜜罐/蜜网)技术 10．其他方面的技术 2019/1/31
计算机系统安全原理与技术(第2版)
4
8.2 应急响应概述
8.2.2 应急响应组织 为了各响应组之间的信息交换与协调，1990年 11月，由美国等国家应急组织发起，一些国家 的CERT组织参与成立了计算机事件响应与安 全工作组论坛FIRST(Forum of Incident Response and Security Teams)。FIRST的基本 目的是使各成员能在安全漏洞、安全技术、安 全管理等方面进行交流与合作，以实现国际间 的信息共享、技术共享，最终达到联合防范计 算机网络攻击行为的目标。
2019/1/31
计算机系统安全原理与技术(第2版)
9
8.3 容灾备份和恢复
8.3.2 容灾备份的关键技术 SAN或NAS技术 远程镜像技术 快照技术 互连技术
2019/1/31
计算机系统安全原理与技术(第2版)
10
8.4 网站备份与恢复系统实例
8.4.1 系统工作原理与总体结构 8.4.2 系统主要功能 8.4.3 系统采用的关键技术
2019/1/31
计算机系统安全原理与技术(第2版)
11
8.5 计算机取证技术
8.5.1 计算机取证的概念 1．什么是“计算机取证” “计算机取证”一词由International Association of Computer Specialists(IACIS)在 1991年举行的第一次会议中提出，它是一门计 算机科学与法学的交叉学科。计算机取证方面 的资深人士Judd Robbins对计算机取证给出了 如下的定义：计算机取证是简单地将计算机调 查和分析技术应用于对潜在的、有法律效力的 证据的确定与获取上。
2019/1/31
计算机系统安全原理与技术(第2版)
20
8.5 计算机取证技术
8.5.3计算机取证软件 比较主流的取证专用产品。
（5）FBI (Fact-Based Investigation，/) （6）ForensicX(/) （7）NTI (New Technologies Incorporated， ) （8）磁力显微镜MFM(Magnetic Force Microscope) ……
2019/1/31
计算机系统安全原理与技术(第2版)
3
8.2 应急响应概述
8.2.1 应急响应的概念 “应急响应”对应的英文是“Incident Response”或“Emergency Response”等 通常是指一个组织为了应对各种安全事件的发 生所做的准备以及在事件发生后所采取的措施。
2019/1/31
2019/1/31