企业该如何去面对网络安全事件（1）

　　2、事件分类

　　当确认已经发现攻击事件后，就应当立即对已经出现了的攻击事件做出严重程度的判断，以明确攻击事件到达了什么地步，以便决定下一步采取什么样的应对措施。例如，如果攻击事件是涉及到服务器中的一些机密数据，这肯定是非常严重的攻击事件，就应当立即断开受到攻击的服务器的网络连接，并将其隔离，以防止事态进一步的恶化及影响网络中其它重要主机。

　　对攻击事件进行分类，一直以来，都是没有一个统一的标准的，各安全厂商都有他自己的一套分类方法，因此，你也可以自行对攻击事件的严重程度进行分类。一般来说，可以通过确认攻击事件发展到了什么地步，以及造成了什么样的后果来进行分类，这样就可以将攻击事件分为以下几个类别：

　　(1)、试探性事件;

　　(2)、一般性事件;

　　(3)、控制系统事件;

　　(4)、拒绝服务事件;

　　(5)、得到机密数据事件。

　　对网络中的主机进行试探性扫描，都可以认为是试探性质的事件，这些都是攻击者为了确认网络中是否有可以被攻击的主机，而进行的最基本的工作。当攻击者确认了要攻击的目标后，他就会进一步地对攻击目标进行更加详细，更加有目的的扫描，这时，所使用的扫描方式就会更加先进和不可识别性，例如半连接式扫描及FIN方式扫描等，这种扫描完成后，就可以找到一些是否可以利用的漏洞信息，由于现在的一些整合性防火墙和IDS也能够识别这些方式的扫描，因此，如果在日志文件中找到了与此相应的记录，就表明攻击已经发展到了一般性事件的地步了。当攻击者得到可以利用的漏洞信息后，他就会利用各种手段对攻击目标进行渗透，这时，如果你没有及时发现，渗透的成功性是非常大的，网络中已经存在有太多的这类渗透工具，使用这些工具进行渗透工作是轻而易举的事，在渗透成功后，攻击者就会想法提高自己在攻击目标系统中的权限，并安装后门，以便能随心所欲地控制已经渗透了的目标，此时，就已经发展到了控制系统的地步。到这里，如果你还没有发现攻击行为，那么，你所保护的机密资料将有可能被攻击者完全得到，事态的严重性就可想而知了。攻击者在控制了攻击目标后，有时也不一定能够得到机密数据，由此而产生一些报复性行为，例如进行一些DOS或DDOS攻击等，让其他正常用户也不能够访问，或者，攻击者控制系统的目的，就是为了对其它系统进行DOS或DDOS攻击。

　　此时的你，就应该从日志文件的记录项中，迅速对攻击事件发展到了哪种地步做出明确的判断，并及时上报小组领导，以及通报给其他小组成员，以便整个小组中的所有成员能够明确此次攻击事件的严重程度，然后决定采取什么样的应对方法来进行响应，以防止事态向更加严重的程度发展，或者尽量减小损失，及时修补漏洞，恢复网络系统正常运行，并尽快收集好所有的证据，以此来找到攻击者。