10 · 标准与合规要求
10.1 国内标准体系：检测与响应的合规底座
我国已建立覆盖"等级保护—事件管理—应急预案—关基保护—数据安全"多层网络安全合规框架，入侵检测与响应能力在其中承担明确的法定角色：
| 标准/法规 | 发布/施行 | 与入侵检测响应相关的要求 |
|---|---|---|
| 《网络安全法》 | 2017年6月施行 | 第21条确立等级保护制度（含"采取监测、记录网络运行状态、网络安全事件的技术措施"即日志审计与监测义务）；第25条要求制定应急预案并立即处置安全事件 |
| GB/T 22239-2019（等保2.0） | 2019年12月实施 | 第三级安全要求明确"安全审计"（审计记录留存≥6个月）与"入侵防范"条款，是IDS/IPS/日志审计系统建设与测评的直接依据 |
| GB/T 20986-2023 | 2023年5月发布，12月实施 | 《网络安全事件分类分级指南》新版，细化事件分类（恶意程序、网络攻击、信息泄露等）与四级定级方法，是事件分级响应的国标依据 |
| 《国家网络安全事件应急预案》 | 2017年发布 | 确立国家层面四级响应机制与跨部门协同流程，企业预案应与之衔接 |
| 《关键信息基础设施安全保护条例》 | 2021年9月施行 | 关基运营者的检测预警、事件报告与应急演练义务显著高于一般网络运营者（第18条要求发生重大事件时及时报告保护工作部门） |
| 《数据安全法》《个人信息保护法》 | 2021年施行 | 发生数据安全事件时须立即处置、按规定告知与报告（《个保法》第57条）；事件响应不再只是技术流程，而是法定合规义务 |
10.2 国际框架对照
| 框架/标准 | 要点 | 对本课题的参照价值 |
|---|---|---|
| NIST SP 800-61r2 → r3（2012 → 2025.4） | r2确立四阶段生命周期；r3转向CSF 2.0社区配置文件结构，r2已正式撤销 | 第7节响应体系的操作骨架与治理映射双重依据 |
| NIST SP 800-94（2007.2） | 网络型、无线型、网络行为分析（NBA）、主机型四类IDPS的选型部署运维指南；其修订草案（2012）已于2022年撤回，至今为现行版本 | 第3节技术体系的分类学依据 |
| NIST CSF 2.0（2024年2月） | 六大功能（新增Govern治理功能） | 检测响应能力向治理层汇报的映射语言 |
| NIST SP 800-207（零信任） | "永不信任、持续验证"架构原则 | 身份检测与微分段策略的架构依据 |
| ISO/IEC 27035系列 | 信息安全事件管理国际标准 | 跨国企业多法域合规的对照基准 |
| CISA响应手册/#StopRansomware | 联邦级操作化checklist与勒索应对指南 | 第9节勒索响应流程的直接参考 |
标准版本号与施行日期以官方发布文本为准；本表仅作研究性梳理，不构成合规建议。
11 · 检测与响应能力成熟度评估
借鉴CMMI思想与业内实践（如SANS的事件响应成熟度讨论、Microsoft检测响应成熟度模型等），本课题将组织检测与响应能力归纳为五级，供企业自评与改进路线规划使用：
| 等级 | 名称 | 特征画像 | 首要改进动作 |
|---|---|---|---|
| L1 | 被动合规型 | 为满足等保测评部署基础IDS/日志审计；无专职人员；依赖外部通报才知道失陷（驻留时间以月计） | 建立资产清单与基础日志管道；明确告警接收人 |
| L2 | 初步运营型 | 有兼职SOC或外包监控；告警有人看但无分级；响应靠临场发挥 | 建立事件分级与升级路径；制定Top 10场景响应剧本 |
| L3 | 体系运营型 | Tier分层运营；ATT&CK覆盖图驱动检测建设；MTTD进入周级；定期演练 | SOAR自动化分诊；引入威胁狩猎职能 |
| L4 | 主动狩猎型 | 假设驱动狩猎常态化；检测工程闭环运转；MTTD逼近M-Trends全球中位数；桌面推演覆盖管理层 | 跨域关联（XDR）；对抗模拟验证检测有效性 |
| L5 | 情报反哺型 | 检测产出反哺行业情报社区；自动化响应覆盖大部分P3/P4事件；驻留时间持续优于行业基准 | 参与协同防御生态；输出最佳实践 |
评估方法论提示：成熟度评估的最大陷阱是"把工具清单当能力证明"。本课题建议以三个实证问题作为试金石——①上次真实事件的完整时间线拿得出来吗？②随机抽一条告警，从发现到遏制的每一步有记录吗？③备份上次成功恢复演练是什么时候？答不上来，等级即存疑。
12 · 教学转化与学院实践
迪妙网络空间安全学院的主旨是"研究必须为教学与实践服务"。本课题向教学产品线的转化路径包括：
| 教学产品线 | 本课题转化内容 |
|---|---|
| 企业员工意识培训 | "9天 vs 25天"通报差距转化为报告文化话术；22秒交接时间转化为"发现异常立即报"的紧迫感教育；语音钓鱼23%云入侵数据转化为帮助台与财务岗位的专项社工防范演练；钓鱼邮件检测指标转化为员工自查清单 |
| 攻防演练平台 | Sigma规则沙箱（写规则→触发→调优）；勒索响应"第一小时决策"推演剧本；SharePoint/边缘设备漏洞场景的虚拟补丁演练；依托国内年度实战化攻防演练（护网）经验沉淀的紫队协作流程 |
| 青少年安全启蒙 | 以"免疫系统"类比检测与响应（白细胞=检测、发烧=告警、隔离=遏制、疫苗=补丁与演练），培养系统思维与批判性思维 |
| 企业CSIRT建设咨询 | 成熟度五级自评工具包；事件分级与上报流程模板；基于GB/T 20986-2023的定级实操指引 |
我们尤其强调一个反直觉的教学观点：演练的价值不在"赢"，而在暴露预案的漏洞。一个在演练中失败的隔离决策，其学费远低于真实事件中的同类错误——这正是攻防演练平台存在的意义。
13 · 参考文献
本专题全部事实性表述均可溯源至下列公开来源。引用遵循"政府公告/标准文本 > 权威机构报告 > 学术文献 > 厂商分析"的优先级；所有链接均为公开可访问的官方或原始来源。
- Mandiant, M-Trends 2026, Google Cloud, 2026年3月.（驻留时间、入侵向量、自主检出率、漏洞利用时间差等核心数据来源；历年年报含2011—2026驻留时间序列）
- NIST, SP 800-61 Rev.3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile, 2025年4月.
- NIST, SP 800-61 Rev.2: Computer Security Incident Handling Guide, 2012年8月（已被r3取代并撤销；其四阶段生命周期仍为本专题操作骨架）.
- NIST, SP 800-94: Guide to Intrusion Detection and Prevention Systems (IDPS), Scarfone & Mell, 2007年2月（现行正式版本；其修订草案已于2022年7月被NIST撤回）.
- NIST, Cybersecurity Framework (CSF) 2.0, 2024年2月.
- NIST, SP 800-207: Zero Trust Architecture, 2020年8月.
- CISA, Federal Government Cybersecurity Incident and Vulnerability Response Playbooks, 2021年11月.
- CISA, #StopRansomware Guide（与MS-ISAC、FBI等联合）, 2023年9月更新版.
- CISA, AA20-352A: Detecting Post-Compromise Threat Activity in Microsoft Cloud Environments, 2020年12月（SolarWinds响应权威指引）.
- CISA, UPDATE: Microsoft Releases Guidance on Exploitation of SharePoint Vulnerabilities, 2025年7月（ToolShell事件官方响应指引）.
- CISA, MAR-251132.c1.v1: Exploitation of SharePoint Vulnerabilities（含Sigma检测规则）, 2025年8月.
- CISA, CISA Adds Known Exploited Vulnerability CVE-2025-53770 "ToolShell" to KEV Catalog, 2025年7月.
- MITRE, ATT&CK Knowledge Base (Enterprise); ATT&CK Evaluations 公开评估结果.
- MITRE, D3FEND: A Knowledge Graph of Cybersecurity Countermeasures, 2021.
- MITRE, MITRE Engage（主动防御与对手交战知识库，前身为MITRE Shield）.
- FireEye/Mandiant, Highly Evasive Attacker Leverages SolarWinds Supply Chain to Compromise Multiple Global Victims With SUNBURST Backdoor, 2020年12月.
- Mandiant/Google Threat Intelligence, 关于UNC5807（Salt Typhoon）及电信行业渗透活动的公开威胁分析，2024—2025年（Google Cloud Security Blog）.
- Unit 42 (Palo Alto Networks), Active Exploitation of Microsoft SharePoint Vulnerabilities, 2025年.
- Viettel Cyber Security, ToolShell - A Critical SharePoint Vulnerability Chain under Active Exploitation, 2025年7月.
- Andres Freund于oss-security邮件列表披露XZ Utils后门, Openwall oss-security, 2024年3月29日（CVE-2024-3094）.
- Anderson, J.P., Computer Security Threat Monitoring and Surveillance, 1980.（IDS概念源头）
- Denning, D.E., "An Intrusion-Detection Model", IEEE Transactions on Software Engineering, SE-13(2), 1987.
- Hutchins, E.M., Cloppert, M.J., Amin, R.M., Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains, 2011.
- Bianco, D., The Pyramid of Pain, 2013.
- Caltagirone, S., Pendergast, A., Betz, C., The Diamond Model of Intrusion Analysis, 2013.
- GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求；GB/T 20986-2023 信息安全技术 网络安全事件分类分级指南.
- 《中华人民共和国网络安全法》（2017年施行）；《数据安全法》《个人信息保护法》（2021年施行）；《关键信息基础设施安全保护条例》（2021年施行）；《国家网络安全事件应急预案》（2017年发布）.
- SigmaHQ, Sigma Generic Signature Format for SIEM Systems.
- Red Canary, Atomic Red Team; MITRE, CALDERA 对抗仿真框架.
- Thinkst, Canarytokens 金丝雀令牌（欺骗式检测工具）.
- IBM Security, Cost of a Data Breach Report 2025, 2025年.
- European Union, NIS2 Directive (EU) 2022/2555, 2022年发布.
- 荷兰国家警察/欧洲刑警组织等, No More Ransom Project.
使用说明：威胁情报具有强时效性，引用时请核对各来源最新版本；文中涉及的具体产品与工具仅作公开文献示例，不构成任何商业推荐。机构归属表述均为"某机构公开评估"的转述，不代表本学院立场。凡涉及具体百分比数据（如M-Trends 2026各项），均以原始报告口径为准。