網路安全事件回應：定義與最佳實務

網路安全事件正變得越來越頻繁且複雜。無論您投入多少努力來保護組織免於網路安全事件，您都不可能達到 100% 安全。根據 IBM，識別資料外洩的平均時間為 194 天，而 2024 年資料外洩的平均成本為 488 萬美元。因此，組織應保持警覺並做好準備。

網路安全事件回應是一種策略性方法，用於識別事件並在其造成過多損害之前將影響降至最低。然而，只有在正確執行時才有幫助。因此，在這篇文章中，我們將定義 網路安全事件回應、其生命週期、事件回應的挑戰，以及為了有效進行事件回應而應遵循的最佳實務。

什麼是網路安全事件回應？

網路安全事件回應，在網路安全產業中通常稱為事件回應，是一套用於偵測、管理及緩解網路安全事件的系統化流程。它涵蓋從偵測與調查事件到從事件影響中復原的所有內容。網路安全事件回應的目標是

• 快速偵測事件，
• 徹底調查事件，
• 控制並將事件影響降至最低，
• 減輕損害，並且
• 並以高效率且具成本效益的方式恢復原狀。

為了達成這一點，組織應採取周密規劃的方法。接下來，讓我們看看事件回應的樣貌。

事件回應生命週期概覽

資安事件會帶來多種風險與潛在影響，對組織而言可能造成災難性的後果。在處理資安事件時，時間至關重要。因此，組織需要以策略性的方式處理事件。事件回應生命週期可作為組織規劃與準備處理事件的參考架構。它涵蓋事件回應的不同階段，並強調每個階段中需要完成的任務。雖然有些組織可能已針對事件回應採用客製化的方法，但資安事件回應主要包含六個階段。

NIST（美國國家標準與技術研究院）事件回應的 6 個步驟是什麼？

根據美國國家標準與技術研究院，事件回應的六個步驟如下：

1. 準備

準備是事件回應生命週期中的第一個也是最重要的階段，因為它為所有後續階段奠定基礎。

它始於了解組織面臨的不同威脅及其影響。接著，您會制定事件回應計畫 (IRP) 與處理事件的標準作業程序 (SOP)，以及一份詳細計畫，內容包括每位個人與團隊的角色與責任、事件發生時應採取的步驟、應通知哪些團隊與利害關係人及透過哪些管道、應使用哪些工具、報告指引，以及升級處理架構。

準備工作的另一部分，是確保參與事件回應的人員已接受訓練，能夠處理不同類型的事件，並使用其所採用的工具與技術。安全團隊應建立並設定用於偵測、調查、遏制、備份與復原的工具。定期測試所有實作，以確保其能如預期運作。定期檢視事件回應計畫，以確保其符合最新法規，並能因應持續演變的威脅。

2. 偵測與分析

此階段包括偵測事件、判定其為真陽性還是假陽性，以及了解其影響。當偵測系統經過適當設定時，事件會觸發警示，而第一線回應人員（通常是分析師）會收到通知。

並非所有警示都是事件，它們可能是假陽性。因此，分析師會檢視警示，以深入了解觸發警示的活動。他們會查看入侵指標 (IOCs)、威脅情報，以及來自 SIEM、IDS 和 EDR 等安全工具的資料，以判斷警示是否確實對應某個事件。如果是假陽性，分析師會將其發現、結論及調查流程加入系統、報告或文件中，以改善未來的偵測機制並減少假陽性。如果事件是真陽性，分析師則會判定其影響的程度與範圍，並通知必要的利害關係人。

3. 控制

一旦安全團隊確認事件為真陽性，他們就會採取措施來控制影響並防止進一步擴散。您可以透過封鎖網路流量、將系統與網際網路及其他內部系統中斷連線、停用不必要及受影響的服務與軟體，以及 將網路實體隔離 以進一步調查，來控制受影響的系統。如果帳戶遭到入侵，安全團隊會停用該帳戶。

控制主要有兩種類型：

1. 立即控制：阻止攻擊並防止其擴散（例如，中斷網際網路連線、隔離系統）。
2. 長期控制：系統性地保護環境並防止進一步損害（例如，將系統移至安全環境、更新存取控制和防火牆規則）。

在控制階段，請盡可能保留更多證據以供進一步調查。如果受影響系統中沒有敏感資料，您可能會想刪除所有內容，重新格式化並重設系統。然而，強烈不建議這麼做，因為這可能讓事件再次發生。事件回應的一個目標是緩解安全漏洞，以確保其不會再次遭到利用。因此，保留證據至關重要。

4. 根除

在控制事件之後，應專注於識別並根除其原因。這可能包括移除malware、更新安全軟體，例如 EDR 和反惡意軟體、更新存取控制、套用修補程式、修復弱點，以及強化並加固組織的基礎架構與網路。此階段的目標是確保任何類型的感染都已清除，且環境中不再殘留威脅。當確認威脅已被根除後，請驗證並測試新增的安全措施，以確認不存在缺口。此階段也會蒐集證據，以更深入了解事件並為更安全的未來進行規劃。

5. 復原

復原階段的目標是讓受影響的元件恢復到正常運作狀態。這包括從最後已知安全的快照還原備份、驗證元件的完整性，以及還原已停用的軟體、服務和帳戶。某些資料，例如在元件遭入侵後寫入的資料，可能會在復原後遺失，但您可以擷取該資料並將其移轉到乾淨的元件。如果您已實作資料備援，這可能有助於資料復原。在系統移回正式環境後，請監控是否有任何感染跡象。

6. 經驗教訓

最後這個階段可協助組織從事件中學習，並改善其整體安全態勢。記錄前述各階段的所有細節。「好」可作為哪些做法成效良好的證明，而「壞」則指出需要改進的面向。此階段不僅可協助組織從安全角度了解哪些地方可以做得更好，也能幫助個人學習如何更妥善地處理事件回應情境。請運用這些經驗教訓來改善您的事件回應計畫。

以上是事件回應的 6 個主要階段。您會發現，不同組織對網路安全事件回應生命週期的理解與實作方式不同，因此存在不同變體。以下簡要介紹其中 2 種常見變體：

1. 7 階段變體
2. 5 階段變體

什麼是事件回應的 7 階段變體？

7 階段變體與 NIST 事件回應的前 6 個階段相同，但額外增加了一個持續測試與評估的階段。

持續測試與評估

這包括持續測試組織的系統與網路，並對事件回應計畫進行測試。這項工作有助於透過識別安全問題並在事件發生前加以修正，從而保持領先。

什麼是事件回應的 5 階段變體？

5 階段變體以略有不同的方式對各階段進行分類。此處的差異在於它將幾個階段歸為一組，如下所示：

1. 準備
2. 偵測與分析
3. 遏制、根除與復原
4. 經驗教訓
5. 持續測試與評估

這些階段由組織內部團隊，以及組織與其顧問和／或承包商之間共同使用。當事件發生時，還有另一個重要的參與方：監管機構。既然我們已說明什麼是事件回應以及如何執行，接下來讓我們看看其法律與監管層面。

法律與監管考量

法律與監管合規是網路安全事件回應的重要組成部分。組織必須了解其必須遵循哪些法律與法規，才能擁有更佳的安全態勢，並避免高額罰款、聲譽受損及法律訴訟。

法規主要分為三大類：

• 特定產業：這些法規適用於組織所屬的產業。例如，醫療保健組織必須遵循 HIPAA（健康保險可攜性與責任法案）。
• 工具與技術：某些法規可能會依據與組織產品或服務相關的工具與技術而適用。例如，PCI DSS（支付卡產業資料安全標準）適用於處理信用卡資訊的組織。
• 地理區域：這些法規主要適用於依所在地而定的組織或消費者。例如，CCPA（加州消費者隱私法）適用於任何處理加州居民資訊的公司，而 GDPR（一般資料保護規則）適用於處理歐盟居民資訊的公司。

某些法律與法規也規定，在發生事件時應通知哪些監管機構，以及必須在何種時限內通知。請儘早通知主管機關。有時您必須與主管機關合作才能解決事件。透過掌握最新法律與法規，組織可在制定策略性事件回應計畫時納入合規要求。

雖然事件回應生命週期是組織可遵循的絕佳框架，而且網際網路上也有大量相關資訊，但事件回應仍然存在其挑戰。

網路安全事件回應挑戰

網路安全事件回應挑戰可歸類為組織在處理其網路、系統、資料與網路威脅時所面臨的各種問題。它也可能帶來與技術演進及快速更新相關的弱點。主要的網路安全事件回應挑戰包括：

#1. 攻擊的數量與複雜性

網路攻擊的數量與複雜性日益增加。這使得偵測系統難以及時偵測事件。為了跟上腳步，組織必須保持最新狀態並採用現行硬體標準。網路攻擊的快速成長意味著，即使只延遲片刻進行升級，也會讓您的組織暴露於毀滅性威脅之下。攻擊的龐大數量也會產生大量雜訊，進而拖慢偵測與調查。

#2. 進階持續性威脅 (APTs)

APTs 經常使用複雜技術來入侵系統或網路。根據 VMWare 的資料，平均一次 APT 入侵需要 150 天才會被發現。由於 APT 著重於隱匿性以及在網路中的長期存在，在真正出事之前，我們很少會看到明顯的異常行為或異常現象。因此，偵測初始入侵是一項挑戰，因為在分析人員眼中，它可能看起來像是一般活動。

#3. 內部威脅

Insider threats 是最難偵測的威脅之一。員工通常可存取敏感資料與業務關鍵系統。他們也了解內部架構與流程，並可能掌握安全措施相關知識。無論是出於惡意還是無心之失，由內部人員造成的事件都可能難以與正常情況區分，除非它們非常明顯。內部人員也能輕易找出漏洞並加以隱密利用。

#4. 零時差

安全工具無法及時有效偵測零時差漏洞，因為可用於偵測與緩解它們的資訊有限。事件回應團隊可能會發現，要了解這些威脅的影響以及如何有效遏制它們具有挑戰性。由於缺乏明顯線索，事件回應團隊可能需要更多時間來回應並遏制此類事件，這會造成高度的損害風險。

#5. 資源限制

高品質的事件回應需要熟練的專業人員、工具，以及專責團隊／個人。因此，對許多公司而言，事件回應對組織來說是一項昂貴的投入，未必負擔得起。沒有任何公司希望資源限制導致其出現安全弱點與不佳的事件回應，因此都會盡其所能。不幸的是，有時這仍然不夠，公司有時仍必須面對事件造成的重大損害。

#6. 團隊與部門間的協調

事件回應不是單一個人或單一團隊的工作。來自不同團隊的各類利害關係人在成功且有效的事件回應中扮演重要角色。然而，溝通與協作可能具有挑戰性，尤其是在不同利害關係人的優先事項與思維模式有所差異時。

事件回應和其他流程一樣會面臨挑戰。透過遵循一些最佳實務，您可以克服這些挑戰，並充分發揮事件回應的效益。

網路安全事件回應最佳實務

以下是適用於組織的最佳網路安全事件回應措施：

#1. 完善的事件回應計畫 (IRP)

一套全面的事件回應計畫是有效事件回應的關鍵。請務必在建立計畫之前，充分了解您的事件回應計畫所需的內容。進行弱點與風險評估，了解影響您組織的威脅類型，並研究可用於緩解這些威脅的工具與技術。事件回應計畫應該詳細且全面。清楚說明每位個人與團隊的角色與責任、SOP，以及溝通與升級通報流程。定期測試並視需要更新事件回應計畫。

#2. 專責事件回應團隊 (IRT)

雖然事件回應是協作性的工作，但事件回應團隊 (IRT)是主要回應者。有些組織可能會將事件回應職責指派給主要處理其他專案的現有員工。這並不理想，因為這些成員的優先事項與專業能力可能會影響事件回應的品質。企業應建立一支專責的事件回應團隊，並指派明確的角色與職責（例如：事件經理、團隊主管、安全分析師）。受過訓練的事件回應專家將協助您讓事件回應更及時且更有效。

#3. 主動式威脅狩獵

如果你等到事件發生後才著手處理，那就已經太晚了。組織應投入心力避免事件發生，而不只是對事件做出回應。你可以透過主動式威脅狩獵來達成，這表示主動在組織中搜尋威脅並加以緩解。

#4. 持續監控與偵測

任何組織都持續面臨威脅。世界各地的威脅行為者不斷嘗試利用安全弱點，而你永遠無法知道你的哪一個弱點何時會被利用。因此，你應持續監控流量，並部署偵測系統以捕捉任何可疑活動。你也應定期評估你的監控與偵測方法，並定期升級，以跟上威脅行為者的腳步。

#5. 善用威脅情報

網路威脅情報 (CTI)蒐集與已知攻擊模式相關的資料。它可協助你掌握最新的威脅、弱點、IOC、戰術、技術與程序 TTPs（威脅行為者的戰術、技術與程序）。將這些情報整合至你的監控與偵測系統中，有助於更早識別事件。

#6. 意識提升與訓練

網路安全領域每天都有新變化。因此，員工需要持續了解最新的工具、技術、弱點與緩解策略。您應鼓勵您的資安專業人員閱讀網路安全新聞與分析文章、參加網路安全課程，並取得認證。資訊分享、訓練與實作演練都很重要。認知與訓練不僅適用於資安專業人員；對所有員工而言，基礎知識都至關重要。員工應知道如何識別可疑活動、應向誰通報，以及應採取（或不應採取）哪些行動來處理相關情況。

#7. 定期測試與演練

定期針對事件回應的不同面向進行測試與演練。使用各種情境，評估團隊如何回應，並找出可改進之處。這有助於提升事件回應團隊的技能並改善協作。

#8. 作業手冊與自動化

由於事件回應包含時間敏感的環節，因此應使用作業手冊（說明如何處理事件的文件）與自動化。這些做法可協助你加快事件回應速度。當自動化處理重複性且明確定義的任務時，事件回應人員便可專注於更複雜的工作。

#9. 法規遵循

確認你需要遵循哪些法律與法規，並確保確實遵循。這不僅有助於避免罰款與法律行動，也能讓你改善安全態勢。應由法規遵循主管或法規遵循團隊定期審查與稽核你的遵循情況。

這些最佳實務可協助你克服挑戰並最佳化事件回應流程。

在建立或改造事件回應策略時，你可能會有一些疑問。以下章節涵蓋有關網路安全事件回應最常見的問題與解答。

總結

網路安全事件回應規劃為未來的防禦奠定基礎，且是每個組織中的關鍵組成部分。安全領導者絕不應假設類似事件不會再次發生。透過持續改進並強化你的事件回應策略來建立韌性非常重要。像 SentinelOne 這樣的平台在這方面非常有幫助。