CompTIA SY0-701: 事件响应、取证与评估 — 学习指南
属于 CompTIA Security+ SY0-701 — 学习指南. 使用经过验证的答案练习： CompTIA 考试中心, 或参加限时模拟考试： ExamRoll.io.
安全事件是不可避免的。事件响应这门学科旨在将一个混乱且具有破坏性的事件，转变为一个结构化、有文档记录的流程，从而限制损害、保全证据、恢复运营并产生持久的改进。取证技术提供了调查方法，使根因分析成为可能，并为法律诉讼提供支持。漏洞管理则通过系统地发现和修复事件所利用的弱点，形成闭环。
漏洞扫描与 CVSS 优先级排序
Nessus、Qualys 和 Rapid7 InsightVM 等漏洞扫描器会枚举主机、探测服务，并将其发现与 CVE 数据库进行匹配，以生成一份按优先级排序的弱点列表。认证扫描——即扫描器使用有效凭证登录目标——产生的结果远比非认证扫描完整，后者只能评估外部可见的服务。一个常见的失败是只运行非认证扫描，并得出系统“干净”的结论，而实际上扫描器根本无法看到其内部情况。
优先级排序以通用漏洞评分系统 (CVSS) 为基础，目前版本为 3.1/4.0。CVSS 根据基础指标（攻击向量、攻击复杂度、所需权限、用户交互、范围以及 CIA 影响三元组）得出一个 0.0–10.0 的分数，并可选择性地使用时间指标和环境指标进行修正。一个 CVSS 9.8 的漏洞，如果具有网络攻击向量且无需身份验证（例如，CVE-2021-44228 Log4Shell），就需要进行紧急修补；而一个位于隔离管理主机上的、可本地利用的 5.4 级别问题则可以稍后处理。成熟的安全计划会使用 EPSS（漏洞利用预测评分系统）和 CISA 的已知被利用漏洞 (KEV) 目录来补充 CVSS，以便在理论严重性之外，权衡真实世界中的利用可能性。
渗透测试与交战规则
渗透测试超越了扫描的范畴，它通过主动利用弱点来展示其影响。测试任务分为黑盒（无任何先验知识）、白盒（拥有完整的文档和源代码访问权限）或灰盒（拥有部分知识，通常模拟内部人员或被攻陷的用户）。静态应用安全测试 (SAST) 在不执行代码的情况下分析源代码，捕获诸如 SQL 注入漏洞和不安全的反序列化模式等缺陷。而动态应用安全测试 (DAST) 则通过运行应用程序来识别运行时问题，例如身份验证绕过和会话处理缺陷。这两种方法单独使用都不足够——SAST 会遗漏运行时和环境问题，而 DAST 则会错过它未遍历到的代码路径。
交战规则 (RoE) 文件是一份具有约束力的文档，它定义了范围（IP 范围、域名、应用程序）、允许的技术、测试窗口、紧急联系人、已发现敏感数据的处理方式以及法律授权。没有签署的 RoE 和工作说明书，测试活动在法律上与犯罪入侵无异。RoE 通常禁止破坏性行为、对生产环境进行 DoS 测试以及未经明确授权的社会工程学攻击。
事件响应生命周期
NIST SP 800-61 生命周期提供了标准的结构：
准备 在任何事件发生前建立响应能力：组建 CSIRT、定义角色和职责、部署检测工具（SIEM、EDR、NDR）、维护应急预案（runbook）、储备装有写保护器和镜像硬盘的应急工具包（jump kit），以及进行桌面演练。审查角色和职责是一项准备活动，而不是在危机中临时决定的事情。
识别 （检测与分析）确认一个事件确实是安全事件。分析师对警报进行分类、关联指标、确定范围并划分严重性等级。此处的精确性可以防止警报疲劳和过早升级。
遏制 限制损害。短期遏制可能包括通过禁用交换机端口或应用 EDR 网络隔离来隔离一台主机；长期遏制可能涉及在调查进行的同时重建受影响的网段。遏制决策需要在保全证据和持续损害之间取得平衡——拔掉电源线会破坏易失性内存，但能阻止正在进行的数据外泄。
根除 清除攻击者和根源：删除恶意软件、禁用被攻陷的账户、修补被利用的漏洞，以及轮换可能已泄露的凭证和密钥。
恢复 将系统恢复到生产状态，验证其完整性，监控复发现象，并分阶段将服务重新上线。直到确信威胁无法立即通过同一途径卷土重来，恢复才算完成。
经验教训 产出事后报告、更新的应急预案和控制措施的改进。这个阶段是组织将事件转化为持久能力的地方——跳过它将保证同一事件再次发生。
数字取证：保全、获取与分析
取证的可靠性建立在一个原则之上，即证据的收集方式必须能够保全其完整性和可采纳性。保全始于怀疑事件发生的那一刻：冻结日志、暂停自动化清理任务，并向保管人发出法律保留通知。获取是实际获得取证镜像的阶段，通常使用 dd、FTK Imager 或 EnCase 等工具对存储介质进行逐位复制，并使用 WinPmem 或 LiME 等工具进行内存捕获。每次获取操作都必须附带一个在镜像制作完成后立即计算的加密哈希值 (SHA-256)：
# Create forensic image and compute hash simultaneously
dd if=/dev/sda bs=4M | tee disk.img | sha256sum > disk.img.sha256
# Verify integrity after transfer
sha256sum -c disk.img.sha256
监管链文档记录了每一个接触过证据的人员、时间以及原因。监管链中的任何缺失都可能导致证据在法律诉讼中不被采纳，并对民事诉讼造成不利影响。易失性顺序决定了获取的次序：首先是 CPU 寄存器和缓存，然后是 RAM，接着是交换空间，最后是磁盘——因为断电时，易失性更高的数据会首先丢失。
分析阶段旨在检查各种痕迹：浏览器历史记录、预取文件、注册表配置单元（特别是 NTUSER.DAT、SYSTEM 和 SOFTWARE）、事件日志、$MFT 条目以及网络捕获数据。时间线分析通过关联来自不同来源的事件，以重建攻击者的活动轨迹。像 Autopsy、Volatility（用于内存分析）和 Wireshark（用于网络捕获分析）等工具是取证工具箱中的标配。
实践场景：内部威胁的取证调查
一家制药公司的 DLP 系统标记了一起异常活动：一位高级研究员在其辞职前一天，从其工作站向个人云存储账户传输了大量文件。安全团队在该工作站被重装镜像之前，保全了其镜像，同时捕获了磁盘和内存数据。对 $MFT 的取证分析显示，在 90 分钟的窗口期内有 14,200 个文件被访问——这一模式与正常工作行为不符。浏览器历史记录显示了登录个人 Dropbox 账户的认证信息。对注册表 USBSTOR 键的分析发现，三天前曾连接过一个 USB 驱动器，其序列号未在公司资产清单中注册。内存镜像中包含了与被窃取目录一致的文件列表片段。这个证据包——包含经过验证的哈希值的磁盘镜像、监管链文档以及相互佐证的内存痕迹——足以支持民事诉讼并移交执法部门处理。
← 安全运营、监控与检测 · 所有领域 · 应用与 Web 安全 →
练习这些题目 → · 在 ExamRoll.io 上限时练习 →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
通过考试 →