1. 安全事件响应预案启动与角色分配演练
演练背景与启动条件
某企业终端防护平台在 09:12 连续触发 3 条勒索软件告警：文件扩展名批量变为 .locked、卷影副本被删除、多个共享目录出现加密写入。值班安全工程师需在 10 分钟内完成预案启动、事件分级、角色分配与首次通报。
本演练采用企业《信息安全事件应急预案》中的分级标准：Ⅰ级（特别重大）影响核心生产系统或数据泄露超 10 万条；Ⅱ级（重大）影响重要业务系统或 2 个以上部门；Ⅲ级（较大）影响单部门或非核心系统；Ⅳ级（一般）单终端且可快速隔离。本次告警涉及文件服务器与 2 个部门共享盘，判定为 Ⅱ级。
启动记录与任务清单
首次通报完成后，事件指挥官需填写《安全事件响应启动记录表》，并同步生成任务清单。以下为本次演练的示例记录（数据为教学假设，非真实运行结果）：
| 字段 | 内容 |
|---|---|
| 事件编号 | IR-2025-001 |
| 事件名称 | 文件服务器勒索软件加密事件 |
| 发现时间 | 2025-01-15 09:12 |
| 事件级别 | Ⅱ级（重大） |
| 影响范围 | 文件服务器 1 台、部门共享盘 2 个、终端 3 台 |
| 启动时间 | 2025-01-15 09:18 |
| 事件指挥官 | 张工（安全运营负责人） |
| 首次通报时间 | 2025-01-15 09:24 |
| 下次通报时间 | 2025-01-15 10:00 |
任务清单按角色分派，每项任务需明确负责人、截止时间和验收标准：
| 任务 | 负责人 | 截止时间 | 验收标准 |
|---|---|---|---|
| 隔离受影响终端与共享盘 | IT 处置组 | 09:30 | 网络断开，终端无法访问共享 |
| 提取勒索样本与加密日志 | 安全分析组 | 09:45 | 样本哈希、加密时间线记录完整 |
| 确认备份可用性 | IT 处置组 | 09:50 | 最近备份可恢复，恢复点 ≤ 24h |
| 评估数据泄露与合规影响 | 法务与合规组 | 10:00 | 出具初步合规影响说明 |
| 准备第二次通报材料 | 事件指挥官 | 10:00 | 包含处置进展与下一步计划 |
演练要点：启动记录与任务清单必须在首次通报后 5 分钟内完成分发，确保所有角色明确自身职责与时间节点。若 10 分钟内无法完成分级，应先按 Ⅱ 级启动，后续根据调查结果调整级别。
常见问题：角色分配时容易出现“一人多角”导致职责冲突。建议事件指挥官与安全分析组负责人由不同人员担任，避免决策与执行混同。首次通报内容应避免过度承诺恢复时间，只通报已确认事实与下一步动作。