安全事件分类
安全事件分类是指根据事件的性质、影响范围和严重程度，将安全事件划分为不同类别，以便采取针对性的响应措施。

1. 事件分类基础

   • 为何分类：不同事件需不同处置流程。例如，病毒爆发与数据泄露的响应方式不同。
   • 常见类别：
     • 恶意软件事件（如勒索软件、木马）
     • 入侵攻击事件（如漏洞利用、未授权访问）
     • 数据安全事件（如数据泄露、篡改）
     • 滥用行为事件（如权限滥用、资源违规使用）
     • 其他事件（如物理安全事件、自然灾害影响）。

2. 分类关键维度

   • 影响范围：区分单主机受影响、部门内蔓延或全网扩散。
   • 严重程度：参考行业标准（如GB/T 20986-2007），分为：
     • 特别重大事件（导致系统瘫痪或核心数据泄露）
     • 重大事件（业务功能严重受损）
     • 较大事件（局部影响，可快速恢复）
     • 一般事件（轻微影响）。

3. 分类实操步骤

   • 信息收集：从日志、告警、用户报告中提取关键信息，如攻击IP、受影响主机数量。
   • 初步分析：
     • 判断攻击入口点（如钓鱼邮件、漏洞利用）。
     • 评估数据或系统完整性是否受损。
   • 归类定级：结合业务关键性，确定事件类别与等级。例如：
     • 财务服务器遭勒索软件加密 → 恶意软件类，重大事件。
     • 内部员工误发客户邮件 → 数据安全类，较大事件。

4. 分类与后续响应关联

   • 不同类别对应不同应急预案。例如：
     • 恶意软件事件：立即隔离主机，启动杀毒流程。
     • 数据泄露事件：封锁泄露渠道，通知合规部门。
   • 事件等级决定响应层级：重大事件需启动最高级别应急小组。

后续步骤可延伸至事件响应流程启动或事件溯源分析，可根据需求选择讲解方向。