一 概述

（一） 目的

本预案主要是为进一步规范对网站故障和安全事件的处理方法和处理程序，提高对网站故障和安全事件的反应速度。

（二） 基本原则

1加强日常维护

主机管理员每天对服务器进行日巡查，检查服务器主机的指示灯状态。系统管理员每周对用户账号的使用进行以下检查：

（1）成功登录系统的用户账号记录；

（2）登录失败的用户账号记录及IP地址；

（3）关注系统更新，在确认不会对现有系统造成影响的前提下，及时给系统漏洞打补丁。

2做好备份工作

服务器操作系统的备份采用完全备份策略，系统管理员负责每季度对操作系统进行一次完整备份，备份采用多卷光盘，至少保存两份拷贝。

在下列情况下必须进行一次备份：

（1）在系统刚完成初次安装后；

（2）在对系统进行升级完毕投入使用前；

（3）对系统升级完毕投入使用后；

（4）在系统发生故障，对系统进行维修前；

（5）安装完新的应用系统后。

（三） 适用范围

本预案适用于本单位网站系统发生故障或遭受攻击的情况下的应急响应工作。

（四） 启动条件

本预案的启动条件为：发现有网站故障或遭受攻击。

二 应急响应流程

网站应急响应流程主要分为：分析确认、启动应急运行，故障修复、恢复运行、详细备案。

（一） 分析确认：网站故障可分为4类：主机设备不可用、软件系统不可用、遭受黑客攻击、网页被篡改。分析判断网站故障属于哪一类。

（二） 启动应急运行：切换网站到应急运行状态。避免停止服务。

1对于主机设备不可用、启动备用服务器。

2对于软件系统不可用、停止故障网站应用，启动备份网站内容。

3遭受黑客攻击、网页被篡改，停止故障网站应用，启动备份网站内容。

（三） 故障修复：确认故障原因后，迅速制定故障修复方案，判断故障的严重程度和恢复时间。对于故障原因为主机设备不可用，在1小时内能修复的，联系设备服务商协同修复如果发生故障的服务器在2小时内不能修复，启用备用服务器。对于故障原因为软件系统不可用，在1小时内能修复的，安全管理员协同系统管理员、数据库管理员进行系统修复；如果发生故障的服务器在2小时内不能修复，启用备用服务器。

对于故障原因为遭受黑客攻击，采用以下步骤处理：

1首先告知网络与信息安全管理员、相应的主机系统管理员和应用软件系统管理员。网络与信息安全管理员、主机系统管理员、应用软件系统管理员应详细记录有关现象和显示器上出现的信息，将被攻击的服务器等设备从网络中隔离出来，保护现场。

2网络与信息安全管理员负责分析攻击现象，提供解决方法，主机系统管理员和应用软件系统管理员负责被攻击或破坏系统的恢复与重建工作。

3适时解除被攻击设备的隔离。

4由网络与信息安全管理员牵头，会同主机系统管理员和应用软件系统管理员共同追查黑客攻击来源。

5网络与信息安全管理员、主机系统管理员和应用软件系统管理员会商后，将有关情况汇报。

6如认为事态严重，则立即向公安部门或上级机关报警。

对于故障原因为网页被篡改采用以下步骤处理：

1将出现网页被篡改的页面抓屏，保存所抓取的屏幕信息。

2打印屏幕信息后修复网页内容、删除网站上的非法言论。

3网页修复后，对网站全部内容进行一次查看，确保没有被篡改的或非法的言论后解除站点服务器的隔离。

4会同网络与信息安全管理员共同追查非法篡改、非法言论来源，尽可能确定信息发布者。

（四） 恢复运行：在确认故障排除之后，可恢复系统运行，如果启动了备用服务器，应将服务器切换到原来的数据库服务器。

（五） 详细备案：系统恢复运行后，网络与信息安全管理员应会同站点管理员将本次网站故障的处置过程，包括故障发生时的现象、处理过程及所采取的技术手段、结果等做出详细的文字记录。

三 演练及维护

为了提高应急处理的速度，提高应急响应工作组成员对蠕虫处理的熟练程度，应定期对预案进行演练，本预案演练的重点包括：

（一） 假设数据库服务器出现故障的情况下，在模拟或备用系统演练对主机操作系统的恢复、数据库的恢复、网页内容的恢复，应保证恢复既可迅速完成，尽可能的不影响业务。

（二）数据库服务器是关键服务器，它要求中断服务不能超过1小时，如发生故障不能2小时内恢复的情况下，启动备用网站服务器，故障排除后应将数据库服务器切换到原来的服务器，对服务器的隔离切换是演练的重点之一，应确保操作无误。

响应演练完成后，应对预案进行评估，应根据网站技术的发展和系统的变化及时对预案进行修订，修订后的预案经评审通过后发布生效。

四 保障措施

为了确保网站安全事件处理工作的顺利开展，以下几点应给予充分保障：

（一）加强日常监控，系统管理员每天对服务器的运行进行日巡查，每周对用户账号的使用进行检查，每月对主机系统进行一次安全检查，每半年进行一次全面健康检查；

（二）加强系统和数据备份，服务器操作系统的备份采用完全备份策略，系统管理员负责每季度对操作系统进行一次完整备份；

（三）确保和网站开发商沟通渠道的畅通，在本单位应急处理过程中遇到困难或问题时能及时获得网站开发商的技术支援。

天津海运职业学院 现代教育技术中心

2010-09