如何做好网络攻击事件证据收集

网络攻击事件证据是企业应对网络安全事件时应该所注意的一项步骤，通过网络攻击事件证据不仅是为了找到攻击者，而且企业数据一旦遭到泄露我们还应当通过法律武器将不法分子绳之以法。所以网络攻击事件证据就显得尤为重要了。

攻击事件证据收集

为了能为析攻击产生的原因及攻击所产生的破坏，也为了能找到攻击者，并提供将他绳之以法的证据，就应该在恢复已被攻击的系统正常之前，将这些能提供证据的数据全部收集起来，妥善保存。

至于如何收集，这要视你所要收集的证据的多少及大小，以及收集的速度要求来定。

如果只收集少量的数据，你可以通过简单的复制方法将这些数据保存到另外一些安全的存储媒介当中;如果要收集的数据数量多且体积大，而且要求在极少的时间来完成，你就可以通过一些专业的软件来进行收集。

对于这些收集的数据保存到什么样的存储媒介之中，也得根据所要收集的数据要求来定的，还得看你现在所拥有的存储媒介有哪些，一般保存到光盘或磁带当中为好。

具体收集哪些数据，你可以将你认为能够成为网络攻击事件证据的数据全部都收集起来，也可以只收集其中最重要的部分，下面是一些应该收集的数据列表：

(1)、操作系统事件日志;

(2)、操作系统审计日志;

(3)、网络应用程序日志;

(4)、防火墙日志;

(5)、入侵检测日志;

(6)、受损系统及软件镜像。

在进行这一步之前，如果你的首要任务是将网络或系统恢复正常，为了防止在恢复系统备份时将这些证据文件丢失，或者你只是想为这些攻击留个纪念，你应当先使用一些系统镜像软件将整个系统做一个镜像保存后，再进行恢复工作。

收集的数据不仅是作为指证攻击者的证据，而且，在事件响应完成后，还应将它们统计建档，并上报给相关领导及其它合作机构，例如安全软件提供商，合作伙伴，以及当地的法律机构，同时也可以作为事后分析学习之用。

因此，这个事件响应操作步骤也是必不可少的，收集到的网络攻击事件证据也应当保存完整。

【编辑推荐】

1. 企业网络安全事件识别与分类
2. 企业网络安全事件识别与分类
3. 企业网络防护应注意的四个基本点
4. 企业如何对员工进行网络安全培训
5. 企业如何在复杂环境中降低安全风险