【国信证券&雾帜智能】探索证券行业信息安全事件自动化应急处置预案的最佳实践（一）

前言

近年来，国信证券的信息安全工作以“面向实战”为核心理念，不断建设信息安全纵深防御体系，完善场景化的应急响应预案，同时组建应急响应一、二线队伍，实现了层次化分工的7*24小时应急响应工作机制，应急响应能力取得了长足进步。与此同时，应急响应的工作重心也逐步从“发现”转向“处置”，为了进一步提升应急响应工作的“处置自动化”和“处置标准化”，建设一个面对外部攻击的应急处置作战平台，国信证券联合国内SOAR产品解决方案领导厂商雾帜智能，开展了安全编排与自动化响应系统（SOAR）的建设工作。通过建设该平台，消除了信息安全系统、工具之间的数据壁垒、联动壁垒，通过统一、自动化的剧本编排与调用，将企业内部多年积累的数十个攻击场景的应急处置经验，转换成为标准化、自动化的应急响应处置预案，将应急响应的人力从重复性的沟通及操作中解放出来，实现信息安全工作中团队、工具及流程的高效无缝整合，进而支撑业务持续安全快速发展，夯实金融企业在数字化转型过程中的安全基石。

为了给证券行业建设信息安全自动化应急处置预案平台提供参考，国信证券联合雾帜智能计划通过连载的形式逐步发布多个《证券行业信息安全自动化应急处置预案》，本次发布两个攻击场景的预案：

• 互联网攻击IP自动封禁剧本

• 员工被社工攻击的应急处置预案剧本

【需求背景】

互联网侧的外部资产扫描、漏洞扫描、攻击利用尝试等行为在各类流量侧检测系统上产生大量告警的处置工作，是应急响应工作中比较消耗人力的工作内容。这类告警存在如下特点：

此外，券商的互联网业务系统存在如下特殊性：

【剧本流程描述】

该剧本以带有分类、分级标签的告警为输入，需要提前将各类互联网侧流量类安全告警收集到SOC后，按照告警类型、攻击阶段、危害程度及告警可信度等条件做好分类分级标准化处理。剧本主要分为三个步骤：

基于告警IP地址自身的威胁情报属性和属地等数据信息，同时充分考虑券商互联网业务的特殊性，对于不同业务系统在不同时间段内，将不同类型、级别的告警攻击IP地址进行不同时长的联动封禁，并建立同一IP地址持续触发告警后的封禁时长升级机制、攻击IP地址封禁后关联告警的自动关闭机制、攻击IP超时自动解封机制、自动化封禁IP地址的每日统计分析等机制。

上述的自动化封禁流程能够较大程度的减少值班人员的工作压力，让值班人员将更多精力投入需要研判处置的告警中，但对于剧本未能自动化匹配成功的告警，仍需人工研判和处置，所以还需要提供人工手动封禁攻击IP地址的剧本作为补充。

在发生错误封禁时，提供快速手动解禁IP地址的剧本，方便值班一线和业务部门进行快速恢复。

当然上述的自动化封禁剧本还需要持续的联动封禁告警的回顾及调优工作，这其中既需要对基于威胁情报狩猎的告警规则的持续优化，也需要持续积累自身互联网应用的业务类型、应用特点的知识库，以支撑对于不同的互联网应用采用更精细化的联动封禁策略。此外还要基于所有告警形成攻击IP地址历史攻击行为数据库，沉淀为企业自身的威胁情报，做到出现一个攻击IP地址，即对其“终身”重点监控。

主剧本【互联网攻击IP自动封禁】逻辑图： 

子剧本1【日间值班时间自动化处置】逻辑图：

人工触发【一键解封IP地址】逻辑图：

【思考】

【需求背景】

在券商企业普遍越来越重视信息安全建设的背景下，企业纵深防御体系逐步完善，从互联网侧应用打点再进入内网横向攻击的成本越来越高，对于员工尤其是拥有高权限的运维、开发类员工的社工攻击，成为了攻击者常用的攻击方式，这类攻击本质是员工的信息安全意识和攻击者耐心的较量，因此在实际攻防中常常是企业信息安全工作的阿喀琉斯之踵，其中尤以办公终端失陷以及办公相关密码丢失的危害最大。

【剧本流程描述】

该剧本的入口是监控到某员工疑似遭遇社工攻击（或员工主动上报遭遇社工攻击），在进一步研判确认后可以执行该剧本完成应急处置，通过被社工攻击的员工工号查询出其在企业内部的办公资产及各类办公系统的账号，并以此为出发点进行如下操作：

经过上述一系列处置等价于将该员工“办理离职”，将不能通过该员工任何办公设备、移动设备或办公系统的权限访问到公司的内部系统或网络，从而将该员工被社工攻击的影响降到最低。此外，还要提供快速恢复上述操作的剧本，方便在应急处置结束后快速恢复员工的相关权限。

员工被社工攻击的应急处置预案剧本逻辑图：

【思考】