导入
简介：应对网络攻击
了解如何应对安全威胁的概览。
“事情本身并不重要，重要的是你如何应对所发生的事情。” ——艾伦·格拉斯哥
始终保持准备状态
安全事件的发生不是“是否”的问题，而是“何时”发生的问题。这只是时间早晚的事。即使某个组织至今幸运地未遭遇重大安全事件，也应假设此类事件终将发生，并以此为前提做好充分准备。这种思维方式有助于确保各项应对措施落实到位。
安全威胁的严重程度
在信息安全问题中，与告警（Alert）或事件（Event）相比，安全事故（Incident）是最严重的类型。其严重程度排序如下：
- 告警（Alert）
- 事件（Event）
- 事故（Incident）
正确地从告警升级为事件
某些告警情况足够严重时，会被提升为安全事件。这一升级不应轻率进行。典型的安全事故需要整个团队集中精力立即响应并修复损害，过程可能持续数小时甚至数天。宣布进入事故状态前，应获得管理层的预先批准，并具备可用的应急响应计划，以高效、有效地处理问题。
正确地从事件升级为事故
某些安全事件若足够严重，将被进一步升级为安全事故。这一决策必须慎重，因为一旦确认为安全事故，通常需要全体团队投入资源来遏制损害，并将系统恢复至事件发生前的状态（该过程可能耗时数小时乃至数天）。宣布安全事故应事先取得领导层批准，并确保已有响应计划，以便有效且高效地应对问题。
本章内容概要
本章重点介绍安全事件与事故的响应及修复措施。如果安全团队始终假设严重安全事件终将发生，就能在真正面对时从容应对。相反，若认为组织不会遭受攻击，则只会产生虚假的安全感，最终必然导致失败。
本章不涉及成熟度等级相关内容。