面对安全威胁系统何时应该停机

时至今日，企业乃至整个社会对于计算机及业务系统的依赖性已经达到史无前例的程度。与此同时，攻击者们也开始将目标指向企业中的有价值的信息，此类趋势令安全形式更加复杂，并给企业安全团队保障关键系统安全运行及避免系统中断带来了巨大压力。

有时候，无论企业用户如何从安全角度出发进行准备，遭遇的攻击活动始终有可能令业务系统陷入困境，安全团队则往往需要展开激烈讨论、决定是否需要关闭受感染或被攻击者盯上的系统。如何才能科学准确做出停机决策?安全人员需要考量哪些因素?

在本文中，我们将一同探讨一些有可能引发系统停机的常见情况，并研究如何提前为此做好准备。

什么情况下系统应该停机

在面对信息安全事故时将关闭系统作为对策听起来似乎过于极端，但在某些情况下却很可能算是最佳选择。为了权衡是否有必要关闭系统，技术部门必须认真评估停机后可能引发的各类后果。

在某些情况下，全局系统(或者部分系统)受到干扰有可能危及他人生命财产安全或者令企业自身及某些客户遭受严重损失。在这类情况下，系统停机无疑应该成为最优先的应对措施。举例来说，如果攻击者掌握了城市交通灯的控制权，那么立即关闭该系统绝对是最好的选择。大部分司机都能在指示灯失灵时做出正确判断，相比之下听任攻击者掌握交通控制权显然会带来极为可怕的后果。

不过前面举的例子太过极端，大家也很容易做出决策;企业用户所面临的大部分状况都不可能如此激烈。

例如，一套被蠕虫病毒感染了的系统有可能对其它本地系统发起攻击，这时将该系统从网络中移除或者将其关闭能够有效阻止蠕虫向其它系统的扩散。蠕虫病毒在不同系统之间的传播速度非常惊人，因此大家必须尽快做出系统关闭决定。是否最终采取这样的决定还要看业务体系的实际安全性及可用性控制能力，包括是否能将安全问题控制在单一账户内而非使其扩散至整套系统当中。

对于那些不涉及敏感数据而只与可用性要求相关的系统，安全团队做起决策来就要轻松得多：只需要对停机与受感染系统恢复两种方案的综合成本进行汇总，并以数字为依据做出决定即可。举例来说，虽然攻击者暂时只能控制外部网络连接，但及时将其关闭可防止犯罪分子进一步侵袭高价值系统，这样的决策往往是比较激进但最优先的处理方式。

当然，对于某些信息安全事故来说，关闭系统也可能成为最不科学、后果最严重的选项。如果某位攻击者已经突破了一套本地系统，那么系统关闭很可能破坏掉有助于揪出犯罪分子的有价值线索。另外，关闭所有网络连接或者全局网络体系也可能破坏调查工作必要的证据。对于安全人员来说，最好的办法是在系统运行的同时直接拔掉网络连接，这样攻击者将无法继续访问系统。个别企业能够在这样封闭的环境中进行取证，从而防止有价值信息遭到破坏。

系统停机前应做哪些准备

虽然关闭系统是一步釜底抽薪的高招，但企业在实际着手之前也要进行一系列准备工作。

首先，弄清楚系统中保存着哪些数据并分析数据会给业务带来哪些影响。业务影响分析会记录下各个系统对业务流程的重要性、系统的实际作用以及系统中断可能带来的潜在问题。

接下来登场的是业务连续性与灾难恢复计划，这类似于一套事故应急预案，需要在事故发生之前制定完成并进行定期测试。因此一旦系统停机成为最佳选择，大家手头必须保有一套早已制定完善的执行流程。

在关闭系统之前，安全事件响应规程中的重要部分在于获得方方面面的相关授权。在开发业务连续性与灾难恢复计划或者事故应急预案时，我们必须预留与相关人士直接交流的通道，其中包括企业首席信息安全官、首席信息官、咨询服务台、企业老总以及营销部门等，这将有效帮助大家快速做出明智决定、缩短系统关闭的讨论流程。如果系统关闭会立即中止业务流程，企业管理者必须提前得到通知。他们还需要了解系统停机给企业造成的影响，包括对正在进行的事务、潜在运营成本以及管理的影响等。到底哪些人士需要了解哪些信息，则取决于企业的组织结构以及可资调配的资源。

最后，请大家牢记一点：系统停机并不一定能起到促进系统安全的作用，而且也不该被视为安全事故应急预案中的最后处理手段。在关闭系统之后，大家首先要做的是补救由安全引起的后续问题。具体整治工作可能包括系统修复、配置变更或者只允许来自受信连接的访问。这一步骤的处理时间取决于业务影响分析以及业务连续性与灾难恢复规划的处理结果。

如果停机会对系统造成严重影响，那么我们需要尽快组织恢复工作。举例来说，如果某台Web服务器中的Web应用程序受到SQL注入漏洞的影响而必须关闭，那么我们在开发补丁的同时必须对Web应用的防火墙设置或配置进行更改，从而阻止Web服务器运行任何来自该系统的命令。

结论

对于遭受攻击活动困扰的企业来说，最为激烈的反应措施有时候恰恰是最理想、最有效的处理手段。了解特定系统或者网络停机给业务造成的影响，我们才能够了解将资源投入哪些领域能够切实保护系统、关闭系统的决策是否合理。无论特定情况下哪种处理方式最理想，大家都应该保证在计划实际执行前将沟通渠道部署到位。高效的交流机制是将事故负面影响降至最低的重中之重。