4. 应急响应流程框架：NIST SP 800-61、ISO 27035、PDR模型、PDCA循环

在网络安全应急响应领域，成熟的流程框架是确保演练合规化、标准化的基石。本节将深入剖析四大核心框架：NIST SP 800-61、ISO 27035、PDR模型与PDCA循环，帮助学员理解从事件检测到持续改进的全生命周期管理。

4.1 NIST SP 800-61 计算机安全事件处理指南

NIST SP 800-61 是美国国家标准与技术研究院发布的权威指南，将应急响应分为四个核心阶段：准备、检测与分析、遏制根除恢复、事后活动。该框架强调文档化与合规性，是演练设计的首选参考。

阶段	关键活动	合规要点
准备	制定策略、组建团队、部署工具	文档化、权限矩阵、通信计划
检测与分析	告警确认、证据收集、影响评估	链式保管、时间戳、日志保留
遏制、根除与恢复	隔离系统、清除威胁、恢复服务	变更审批、回滚计划、验证测试
事后活动	复盘总结、报告编写、改进措施	经验教训库、指标度量、合规审计

4.2 ISO 27035 信息安全事件管理

ISO 27035 是国际标准化组织发布的事件管理标准，采用PDCA（策划-实施-检查-改进）结构，强调管理体系的持续优化。其核心阶段包括：

• 策划（Plan）：制定事件管理策略、建立响应团队、定义角色与职责。
• 实施（Do）：执行检测、报告、评估与响应活动，记录事件日志。
• 检查（Check）：审计响应过程、评估有效性、识别差距。
• 改进（Act）：更新流程、培训人员、优化工具配置。

4.3 PDR模型：防护-检测-响应

PDR模型是经典的网络安全动态防御模型，强调防护（Protection）、检测（Detection）、响应（Response）三要素的闭环。在演练中，PDR模型帮助团队快速定位薄弱环节：

要素	演练关注点	合规要求
防护	防火墙策略、访问控制、补丁管理	基线合规、最小权限原则
检测	入侵检测、日志分析、异常行为	告警阈值、监控覆盖率
响应	事件分级、遏制策略、恢复流程	SLA达标、证据保全

4.4 PDCA循环在应急响应中的应用

PDCA循环（Plan-Do-Check-Act）是质量管理的基本方法，在应急响应演练中用于实现持续改进。每个演练周期都遵循以下步骤：

1. 计划（Plan）：确定演练目标、范围、场景、评估指标。
2. 执行（Do）：按脚本开展演练，记录过程数据与时间节点。
3. 检查（Check）：对比实际结果与计划目标，分析差距原因。
4. 处理（Act）：制定改进措施，更新预案与工具配置。

4.5 框架对比与选择建议

在实际演练设计中，可根据组织需求选择或融合不同框架：

框架	适用场景	核心优势
NIST SP 800-61	技术型演练、取证导向	阶段清晰，操作性强
ISO 27035	管理体系审计、合规认证	体系完整，持续改进
PDR模型	快速评估、能力摸底	简洁直观，重点突出
PDCA循环	长期改进、质量管控	闭环管理，螺旋上升

实战建议：推荐以NIST SP 800-61为流程骨架，融入ISO 27035的管理体系要求，使用PDR模型进行快速评估，并通过PDCA循环实现演练质量的持续提升。这种融合方式既能满足合规审计要求，又能保障演练的实战效果。