缺乏應急預案是網絡安全建設的「阿喀琉斯之踝」。本文依據國家標準 (GB/T 39786、GB/Z 20986) 及行業最佳實踐，提供標準化應急預案框架，涵蓋事件分類、組織體系、處置流程、專項劇本、責任獎懲，可直接落地適配。

一、網絡安全事件分類分級 (三類四級)

按性質分類

• 攻擊類： 惡意代碼 (病毒/蠕蟲/木馬/勒索/挖礦)、非法入侵 (Web滲透/系統漏洞/弱口令/供應鏈/社工)、拒絕服務 (DoS/DDoS/CC/反射放大)、APT 定向攻擊、數據竊取/破壞/勒索、挖礦/僵尸網絡/C2 通信。
• 故障類： 硬件故障 (電源/風扇/硬盤/內存/CPU/主板/線纜/光模塊)、軟件故障 (OS/中間件/數據庫/應用/補丁/配置/升級/兼容性)、人為誤操作 (誤刪/誤配/誤關/誤升級/誤發布)、容量耗盡 (帶寬/存儲/計算/連接數/許可證)。
• 災害類： 自然災害 (火災/水災/地震/雷擊/台風/暴雨/高溫/低溫)、人為破壞 (盜竊/破壞/恐襲/暴力/斷纜/斷電)、供應中斷 (電力/制冷/網絡/燃氣/水/人員/物流)。

按嚴重程度分級 (參考 GB/T 39786)

二、應急聯動組織體系

領導小組 (決策層)

單位主要負責人任組長，分管領導任副組長，成員：網信/保密/保衛/法務/IT/業務/人力/財務/辦公室負責人。職權：啟動/終止應急響應、重大決策/資源調度/對外通報/責任追究。

工作組 (執行層)

• 技術處置組： 网管/安全/開發/廠商工程師，負責溯源/取證/阻斷/清理/恢復/加固/驗證。
• 監測預警組： SOC/值班人員/廠商威脅情報，負責 7×24 監測/研判/預警/情報共享。
• 協調保障組： 行政/財務/人力/後勤/法務/宣傳，負責資金/物資/人員/法律/輿情/溝通協調。
• 業務應急組： 業務部門/客服/運營，負責降級/切換/通知用戶/業務連續性/損失評估。

專家組 (諮詢層)

內部資深專家 + 外部專家庫 (廠商/研究院/高校/安全服務商/律所/公關)，提供技術鑒定/法律合規/輿情研判/決策建議。

三、通用應急處置流程 (PDCA 閉環)

1. 發現/接報： 監測告警/用戶投訴/內部發現/外部通報/媒體輿情/上級下發。
2. 研判/分級： 技術處置組初步定性分級，上報領導小組確認啟動對應級別預案。
3. 響應/處置： 依據專項劇本執行：阻斷攻擊路徑 → 隔離受影響系統 → 保全證據 (鏡像/日志/流量/內存) → 清理惡意代碼/後門/異常賬號 → 修復漏洞/配置 → 恢復業務驗證 → 持續監測防反彈。
4. 通報/報告： 按分級時限上報，填寫標準報告單 (時間/地點/類型/等級/影響/損失/措施/進展/需求)。
5. 恢復/善後： 數據完整性校驗/業務功能驗證/性能基線對比/用戶通知/信譽修復/保單理賠/法律應訴/檔案歸檔。
6. 複盤/改進： 根因分析 (5Why/魚骨圖) → 整改措施 (技術/管理/流程/人員/物理/法律) → 責任人/期限/驗收標準 → 知識庫更新/預案修訂/演練計劃調整 → 追責問責/表彰獎勵。

四、專項處置劇本 (節選高頻兩類)

4.1 病毒/勒索軟體爆發處置劇本

1. 立即斷網隔離 (物理拔網線/關閉交換機端口/防火牆策略/微隔離標籤)，防止橫向擴散。
2. 識別病毒家族/變種/傳播向量/加密算法/解密工具可用性 (No More Ransom/廠商解密工具)。
3. 關鍵數據離線備份 (僅備份業務數據，不備份可執行文件/腳本/臨時文件)，哈希驗證完整性。
4. 全網殺毒：EDR/XDR 推送專殺腳本/策略/特徵庫，終端/服務器/郵件/文件共享/雲主機/容器全覆蓋。
5. 升級判斷：無法清除/2h 内業務未恢復/4h 内辦公未恢復/跨網段擴散/核心數據加密/涉及關鍵基礎設施 → 立即上報上級/公安/監管/啟動更高級別響應。
6. 系統重建：必要時重裝 OS/應用/數據庫，從乾淨鏡像/備份恢復，驗證無殘留再上線。
7. 溯源分析：初始入口 (釣魚/漏洞/供應鏈/弱口令/內部/供應商)、攻擊路徑/橫向移動/數據外洩/持久化手段/ATT&CK 映射。
8. 加固提升：補丁/配置/策略/權限/網段/監控/預案/演練/培訓/保險/供應鏈全鏈條整改。

4.2 網頁非法篡改/掛馬/暗鏈處置劇本

1. 發現即報：值班 → 信息安全負責人 → 區公安網監/政府信息科 (緊急先斷網後補報)。
2. 現場保全：信息安全負責人趕赴現場，截圖/錄像/下載日志/審計日志/流量包/內存鏡像/磁盤鏡像，鏈路完整性哈希。
3. 公安介入：網監 2h 內到場，提取證據、溯源攻擊者、定性定責、取證鑒定。
4. 技術恢復：從乾淨備份/版本庫恢復網頁文件/數據庫/配置，驗證無後門/無異常腳本/無隱藏目錄/無異常計劃任務。
5. 加固溯源：Web 目錄權限最小化 (不可寫/不可執行)、WAF 規則更新/虛擬補丁、文件完整性監控 (FIM/Tripwire/AIDE)、Webshell 掃描/行為分析、源碼審計/依賴掃描/容器鏡像掃描。

五、責任追究與激勵機制

• 領導負責制： 一把手負總責，分管領導直管，層層簽訂責任書。
• 責任追究： 遲報/謊報/瞞報/漏報/處置不力/整改不力 → 通報批評/誡勸/記過/降級/撤職/移交司法 (構成犯罪)。依據：《網絡安全法》第 59/60/61/63/64/65/66/67/68 條、《刑法》第 285/286/287 條。
• 表彰獎勵： 先進個人/集體：嘉獎/記功/晉升/績效獎金/榮譽稱號/優先評優/敘述機會。

建議：每半年開展一次實戰化應急演練 (紅藍對抗/桌面推演/專項桌面/綜合實戰)，演練結果納入績效考核，以演促練、以練促建、以建促安。