应急响应服务

安全合规

阿里云安全管家的应急响应服务依托阿里巴巴多年累积的安全攻防实战技术和管理经验，并遵循国家信息安全事件响应处理标准。在安全事件发生后，我们提供专业的7×24小时远程紧急响应处理服务，按照预防、情报收集、遏制、根除和恢复的标准流程操作，确保企业用户能够迅速响应并有效处理信息安全事件，尽快恢复正常业务运作。

此外，我们的应急响应服务不仅限于事件处理，还包括事后规划与设计云端安全管理方案。这有助于企业从源头上遏制未来安全事件的发生，减少对业务的影响，进一步强化企业的安全防护体系。

服务内容

阿里云安全事件应急响应服务为远程交付模式。本服务提供应急响应报告，包括提供修复建议、指导用户进行安全加固，防止再次被入侵。具体服务内容包括：

• 排查主机是否被黑客入侵。

• 处理进行中的攻击，阻止黑客进一步攻击。

• 查找和清理挖矿程序、病毒、蠕虫、木马等恶意程序。

• 查找和清理Web站点中的WebShell、暗链、挂马页面等。

• 处理因入侵导致的异常，帮助用户快速恢复业务。

• 分析黑客入侵手法，尽可能定位入侵原因。

• 分析黑客入侵后的行为，判断入侵造成的影响。

服务流程

1. 用户购买应急响应服务。

   当您的业务系统发生突发安全事件，您可以访问应急响应服务售卖页，购买需要的应急响应服务，并在5个自然日内提供需要进行应急响应的资产清单。

   重要

   为避免进一步的损失，建议您自行对被攻击的资产进行数据备份。

2. 阿里云进行安全事件处理。

   1. 阿里云的安全工程师将会与您对接，了解安全事件的具体详情，对安全事件进行确认和定性。

   2. 如果在响应过程中，安全工程师发现黑客正在攻击或存在进一步破坏系统的行为，安全工程师将采取抑制手段，以降低安全事件损害。

      常见的抑制手段包括：断开网络连接、关闭特定业务服务、关闭操作系统等。

   3. 对安全事件进行分析后，安全工程师将进一步处理安全事件。

      安全事件处理一般包含：

      • 清理系统中存在木马、病毒、恶意代码程序。

      • 清理Web站点中存在的木马、暗链、挂马页面。

      • 恢复被黑客篡改的系统配置，删除黑客创建的后门账号。

      • 删除异常系统服务、清理异常进程。

      • 在排查问题后，恢复正常的业务服务。

   4. 从网络流量、系统日志、Web日志记录、应用日志、数据库日志，结合安全产品数据，分析黑客入侵手法，调查造成安全事件的原因，确定安全事件的威胁和破坏的严重程度。

      说明

      部分安全事件中，如果黑客清理了日志或者系统未保留相关日志，可能会导致无法定位入侵原因。

   5. 事件处理完毕后，安全工程师输出《阿里云安全事件应急响应报告》，详细阐述安全事件的现象、处理过程，处理结果、事件原因分析，并给出相应的安全建议。

3. 用户在获取报告后对报告内容进行确认，也可以对服务过程问题向阿里云提出反馈或投诉。

购买应急响应服务

1. 访问应急响应服务售卖页。

2. 在售卖页选择需要购买的服务规格、购买数量等信息。

   选中服务规格后，系统自动显示该服务规格的服务内容。请仔细查阅服务内容，并选购合适的规格。

   详细规格参数说明，请参见开通安全管家服务。

   重要

   购买前，您必须单击创建服务关联角色，完成对应服务关联角色的授权操作。

3. 单击立即购买并完成支付。

下载应急响应服务报告

1. 登录安全管家控制台。

2. 在左侧导航栏，选择服务报告 > 应急响应。

3. 在应急响应页面，找到目标服务报告，在操作列单击下载。