07 · 事件响应体系
7.1 从生命周期到风险框架：NIST SP 800-61的演进
事件响应（Incident Response, IR）是检测体系的后半程。需要准确区分NIST两个版本的定位：SP 800-61 Revision 2（2012年8月发布）将事件响应归纳为经典的四阶段生命周期——准备、检测与分析、遏制/根除/恢复、事后总结，至今仍是全球教学与演练的主流叙事框架；SP 800-61 Revision 3（2025年4月发布）则是一次范式转换——它不再沿用生命周期结构，而是将事件响应活动映射到NIST网络安全框架（CSF 2.0）的功能、类别与子类别上（Govern/Identify/Protect/Detect/Respond/Recover），把事件响应从"技术流程"正式升级为"网络安全风险管理的组成部分"，并同步宣布撤销Rev.2。本课题以Rev.2生命周期为操作骨架、以Rev.3的CSF映射为治理语言，两者结合使用：
这一演进的核心启示在于："准备"是贯穿性主题——响应能力不是事件发生后才启动的，而是日常演练、资产清单、日志就绪度、供应商协同预案的持续积累；同时，事件响应应与零信任架构（SP 800-207）、供应链风险管理（SP 800-161）形成体系衔接。
CISA《联邦机构网络安全事件与漏洞响应手册》（2021年11月发布）提供了联邦级的操作化checklist，其"遏制优先级矩阵"（按证据保全需求与业务影响动态权衡隔离速度）对各类组织均有参考价值。我国《国家网络安全事件应急预案》（2017年发布）则确立了分级响应的行政框架。
7.2 事件分级与多方协同
响应资源永远有限，分级（Triage）是响应体系的第一道闸门。我国国家标准GB/T 20986-2023《信息安全技术 网络安全事件分类分级指南》（2023年5月发布、2023年12月实施）将网络安全事件按影响程度分为特别重大、重大、较大、一般四级，并结合事件类型（恶意程序、网络攻击、数据泄露、内容安全等）综合定级。企业内部通常再映射为P1—P4操作分级，与上报时限、决策层级、对外沟通权限挂钩。
| 分级 | 典型情形 | 响应要求 |
|---|---|---|
| P1 特别重大 | 关键基础设施瘫痪、大规模数据泄露、勒索加密核心系统 | 立即启动应急指挥部；按法规时限上报监管；全员应急状态 |
| P2 重大 | 核心业务受影响、明显APT活动迹象、敏感数据外传 | CSIRT全员到位；管理层每小时简报；法务与PR介入 |
| P3 较大 | 单系统失陷、可快速遏制、无证据表明数据外传 | Tier 2主导处置；24小时内出初步报告 |
| P4 一般 | 扫描探测、未遂攻击、策略违规 | 按剧本自动化/人工处置；月度汇总复盘 |
重大事件中的协同是响应成败的关键变量：对内，需要IT、法务、HR、公关、管理层的清晰角色定义（谁有权拍板断电？谁对外发声？）；对外，涉及监管上报（我国《网络安全法》《关键信息基础设施安全保护条例》《数据安全法》《个人信息保护法》均规定了安全事件相关的报告与告知义务；美国CIRCIA立法对关键基础设施运营者确立了网络事件72小时报告要求，具体实施细则尚在推进中；SEC则要求上市公司在判定"重大"后4个工作日内披露——多法域上市企业需同时满足多套时限）、执法协作、供应商与受影响客户的沟通。CISA的"事件响应与报告"资源页与#StopRansomware指南是免费的权威操作手册。
08 · 重大案例复盘：检测与响应的实战镜鉴
SolarWinds Orion供应链事件（UNC2452 / SUNBURST后门）
攻击者入侵SolarWinds构建环境，在Orion软件官方更新中植入SUNBURST后门，波及包括美国政府机构、Fortune 500企业在内的约1.8万家客户（SolarWinds SEC文件口径）。该事件由FireEye（现Trellix）在调查自身红队工具被盗时发现并率先披露——检测来自受害者自身的狩猎能力，而非任何产品告警。响应要点：FireEye选择公开披露并联合微软等发布技术分析；CISA发布紧急指令（Emergency Directive）要求联邦机构断网排查并发布权威检测指引（AA20-352A）；全球安全社区以空前的IOC共享速度协同分析。
镜鉴：①软件供应商的构建环境应视为最高保护等级资产；②"信任但未验证"需落到更新包的哈希校验与SBOM；③检测盲区往往在最信任的地方。
XZ Utils开源供应链后门事件（CVE-2024-3094 / "Jia Tan"）
攻击者以"Jia Tan"等身份经过数年潜伏取得XZ Utils压缩库维护权限，在5.6.0/5.6.1版本的发布tarball中植入针对sshd的后门（恶意代码通过复杂的多层混淆仅存在于发布 tarball、而不在git仓库源码中，以规避代码审查）。该后门由微软开发者Andres Freund在排查SSH登录异常延迟（约500毫秒）时凭直觉发现并向社区披露，此时后门尚未进入主流Linux发行版稳定版——一次"性能异常"的人类直觉，阻止了可能是开源史上影响面最大的供应链灾难。响应要点：GitHub封禁相关账号；各发行版紧急回退版本；CISA发布开源软件安全指南（SOSS）系列指引；事件直接推动了行业对OSS维护者身份验证与构建可复现性的全面反思。
镜鉴：①"性能异常"是值得报告的检测线索——员工报告文化比任何产品都便宜；②发布物与源码的分离验证（可复现构建）是供应链检测的最后防线；③低慢速身份渗透（数年经营）正是122天级驻留威胁的微观样本。
MOVEit Transfer SQL注入事件（Cl0p勒索团伙 / CVE-2023-34362）
Progress MOVEit Transfer托管文件传输软件存在SQL注入漏洞，Cl0p团伙自2023年5月起系统性利用，窃取数百家机构数据并实施"泄露威胁式"勒索（不加密、直接以公开数据要挟）。该事件展示了漏洞武器化速度的工业化——补丁发布与大规模利用几乎同步。响应要点：受影响机构紧急断网隔离实例、应用补丁、排查数据外传痕迹；多国执法与网络安全机构联合发布预警；保险业与法律界围绕"是否构成数据泄露"形成大量判例讨论。
镜鉴：①边缘应用（文件传输、VPN、邮件网关）的补丁时效必须纳入检测优先级；②"数据外传监控"（DLP、出口流量审计）是勒索时代的必备检测面。
Salt Typhoon（UNC5807）电信网络渗透事件
据Mandiant/Google公开分析，UNC5807（业界称Salt Typhoon）系统性地针对电信行业边缘与核心网络设备，利用设备原生功能进行环境侦察与深度渗透，长期驻留并窃取通信元数据。该事件与M-Trends 2026"间谍行动驻留中位数122天"的宏观数据互相印证——国家级对手的"低慢"战术专门针对检测疲劳设计。响应要点：受波及运营商进行设备固件更新、凭证全面轮换、网络分段重构；CISA与多国外机构发布联合网络安全公告提供检测指标。
镜鉴：①无代理设备（网络设备、IoT）必须纳入独立的网络侧检测视野；②面对122天级驻留，"季节性深度审计+威胁狩猎"比"日常告警响应"更重要。
SharePoint ToolShell攻击链（CVE-2025-49704/49706 → CVE-2025-53770/53771）
2025年5月Pwn2Own Berlin上，Viettel Cyber Security研究员首次演示了针对本地部署SharePoint的漏洞链并将其命名为"ToolShell"：攻击者利用CVE-2025-49706（认证绕过，通过伪造Referer头指向 /_layouts/SignOut.aspx 使SharePoint将请求视为已认证会话）叠加CVE-2025-49704（反序列化远程代码执行），无需任何凭据即可在SharePoint服务器上执行任意命令。7月8日微软发布补丁，但不到一周内PoC公开、大规模扫描开始；7月17日前后Eye Security等发现攻击者已使用绕过7月补丁的新变体在野利用，微软随即为补丁绕过分配新编号——CVE-2025-53770（反序列化绕过多影响SharePoint Server 2016/2019/Subscription Edition）与CVE-2025-53771（认证绕过变体）。CISA将相关CVE纳入已知被利用漏洞（KEV）目录，并在恶意软件分析报告MAR-251132中直接发布了配套的Sigma检测规则；后续观察还发现了SharpyShell等窃取.NET MachineKey的WebShell，以及Warlock勒索软件的部署；微软将部分攻击活动归因于中国国家级威胁行为者Storm-2603（亦称Linen Typhoon），多个勒索团伙亦跟进利用。
镜鉴：①"补丁前检测"（基于漏洞利用行为特征的虚拟补丁/IPS规则）是漏洞利用常态化的必然应对——CISA在事件过程中直接发布Sigma规则已成为国家级响应的标准动作；②仅打补丁不够——必须先轮换MachineKey等加密材料并排查既有WebShell，否则攻击者可凭窃取的密钥维持访问；③暴露面管理（外部攻击面持续盘点）决定你知道自己有多少面向公网的SharePoint；④EOL版本（如SharePoint 2013）应断网下线。
09 · 勒索软件专项响应
9.1 响应流程：从发现加密到业务复原
勒索软件是当前响应压力最大的事件类型（M-Trends 2026记录的初始访问到交接仅22秒，意味着勒索运营的"引爆"几乎与初始入侵同时发生）。"加密勒索"之外，"窃取数据+威胁公开"的双重勒索乃至多重勒索（叠加DDoS、投资者施压、向客户直接勒索）已成为主流模式，使得"有备份就没事"的假设部分失效——数据外泄本身即构成实质损害。规范的勒索响应遵循"止血优先、证据并行、备份为王"的顺序：
- 隔离先于调查：第一时间物理/逻辑隔离受影响网段、禁用受影响账户、冻结备份管理平面访问，遏制横向移动与备份加密；
- 证据保全并行：内存、加密器样本、勒索信、日志的及时固定，既服务于后续归因，也关系到保险理赔与监管调查；
- 恢复决策的三个判据：备份的完整性（是否也被加密）、RTO/RPO目标、数据可替代性——拥有可用备份的组织应直接拒绝谈判；
- 支付赎金的合规风险：美国OFAC已明确指出向受制裁实体支付赎金可能构成违法并曾据此采取执法行动；多数国家执法机构与保险机构均建议不支付。无论支付与否，都必须进行彻底的根除——支付只买回数据，买不回系统信任。
防御侧的硬指标：3-2-1备份原则（3份副本、2种介质、1份离线/不可变），配合离线凭据库与定期的"备份恢复演练"（没有演练过的备份等于没有备份）。免费解密工具可查询"拒绝勒索"（No More Ransom）项目——由荷兰警方、欧洲刑警组织、卡巴斯基、McAfee等联合维护，已帮助大量受害者无需支付赎金恢复数据。
教研提示：勒索响应是迪妙企业演练平台最受欢迎的场景之一。我们引导学员亲历"第一小时决策"：没有预案的团队往往在隔离与保业务之间犹豫不决，导致加密范围扩大——预案与演练的价值，在按下第一个按钮之前就已决定。
本专题结构：第4页（终篇）将收束全课题：国内标准与合规要求（等保2.0、GB/T 20986）、运营度量与成熟度评估、检测与响应的教学转化，以及全部参考文献清单。