怎样高效开展网络安全事件调查

网络安全事件调查是现代企业网络安全体系建设的关键组成部分。为了防止网络攻击，仅仅关注于安全工具的应用效果远远不够，因为安全事件一直都在发生。安全团队只有充分了解攻击者的行踪和攻击路径，才能更好地防范更多攻击时间的发生。

现如今，企业的数字化发展，会遇到各种类型的网络安全事件，尽管没必要对所有的事件都需要开展全面调查，但是在高强度对抗中所产生的安全事件就需要企业安全调查人员去深入调查分析。

安全事件调查与传统的威胁检测都需要依赖强大的威胁情报库和发现规则，但最大的区别在于，威胁检测是为了及时发现异常情况并发出警报，而事件调查则是对所发现的异常行为进行全面的调查分析，并进行相应的抑制和修复。

进行网络安全事件调查，可以帮助确定攻击者的身份、目的和技术手段。通过追溯攻击源，可以追踪攻击者并采取必要的法律行动，以确保公正和法律的约束力。

可以帮助确认受影响的系统、网络和数据，并及时采取措施保护数据和资产的安全。通过详细分析和了解网络安全事件的性质和攻击方式，组织可以对未来类似的攻击进行预防和改进。

调查结果可以提供许多有价值的见解，从而加强安全措施、修改策略和加固防御。例如调查人员可以对恶意软件代码进行逆向工程，以收集能表明黑客来源的宝贵数据。在典型的事件调查场景中，可以用数据收集和分析周期来表示调查工作的进展情况，每次新的迭代后，企业就会对下一步的网络安全建设有更准确的理解。

很多人认为网络安全事件调查看上去并不复杂，只要收集有关企业IT系统的运行数据，然后分析其中的异常情况即可。然而，这项看似简单的工作背后隐藏着很多不确定因素。在网络安全事件调查中，需要采取合法合规的调查手段，使用合适的技术和工具，此外还需要配置一些非专业性技能，例如分析能力、沟通能力和团队协作能力等，才能保证调查结果的有效性和合规性。

以勒索软件攻击事件调查为例，这已经成为企业组织普遍面临的安全风险。然而，很多企业在开展勒索攻击事件调查时，会将工作的重点放在了如何解密和恢复数据，这是非常错误的。

企业应该充分了解系统是如何被勒索软件入侵，全面调查包括网络钓鱼、软件漏洞、弱密码和恶意内部人员等各种威胁产生的路径，这样才可能彻底清除勒索攻击者对自身业务系统的非法控制，并从根本上防止此类事件的再次发生。

那么，网络安全事件调查要注意那些事项呢?

网络安全事件调查通常分为收集线索、数据分析和报告总结等阶段.

首先，收集证据是非常关键的准备工作。只有获取到足够的攻击证据，才能更准确地分析攻击者的行踪和攻击路径。包括网络日志、系统日志、事件日志、网络流量信息、可疑文件等。

所收集的安全事件信息数量和质量将决定事件调查的结果，帮助分析师准确了解他们面临威胁的程度与可能后果。

当安全事件调查流程启动后，安全分析师要尽可能全面了解事件相关信息，这需要他们在日常工作中充分熟悉自身的角色和职责。快速变化的IT环境经常需要分析师实时同步更新自己的技能组合，比如了解云计算、大数据等。在安全事件调查时，分析师应能够迅速识别其负责的所有资产运行状态，并积极参与到漏洞管理和扫描发现过程。

在许多情况下，分析师可能会面临信息不全、时间不足以及缺少权限等不利因素，并让调查工作陷入混乱、恐慌的状态中。

在这种情况下，训练有素的事件调查团队必须清楚地表述其专业知识，获取业务部门的理解和支持，并推动事件调查工作开展下去。

对于参与事件调查的人员，只应该关注并收集完成自己所负责调查任务所必需的数据，通常包括已登录的用户账户、已启动的程序以及程序启动时间。除非特别需要，调查人员不应该收集涉及客户担心被泄露的敏感信息。值得一提的是，调查期间收集的所有信息都按照严格的安全规程妥善存储。在一段指定的时间后，数据被删除。

另外，调查团队的所有人员都没有义务向第三方（包括警方）提供有关被调查事件的信息，因为是否报告这类事件需要由受害企业的管理者和实际受害者来决定。

此外，调查人员的工作和行动不是为了破坏和处罚信息安全部门。在事件发生后解雇可能存在失职行为的安全人员并不一定总是合适的。虽然有时会发生这种情况，但没有一个安全系统是完美无缺的，难免会有漏洞。对安全事件进行问责与安全事件调查并没有关系，这是企业的管理层需要做出的决定。

在调查人员给出的事件调查报告中，应该包含事件过程的完整信息。如果事件因未解决的、原有的和众所周知的漏洞而发生，必须将所发现的漏洞情况完整附在报告中。调查人员不得隐瞒此类信息。