sentinel, Lab
场景 2 — 阶段一：演练前备战
资产梳理与暴露面收敛
- 目标系统资产清点：演练范围内的全部系统 / IP / 域名，资产归属 / 责任人 / 业务等级
- 互联网暴露面排查：外部可达的端口 / 服务 / 接口，非必要暴露面关闭 / 收敛
- 供应链通道审查：供应商 VPN / 远程维护通道，演练期间暂停或加强管控
- 第三方组件排查：开源组件漏洞扫描，已知漏洞紧急修复
风险排查与紧急加固
| 优先级 | 项目 | 说明 |
|---|---|---|
| 🔴 | 高危漏洞修复 | 已知 RCE / SQLi / 文件上传漏洞 |
| 🔴 | 弱口令清除 | 全量系统弱口令扫描 |
| 🟠 | 权限收敛 | 最小权限原则核查 |
| 🟠 | 日志完善 | 确保日志集中存储 ≥ 6 个月 |
| 🟡 | 安全设备策略检查 | WAF / IDS / EDR 规则更新 |
防守团队组织
| 角色 | 人数 | 职责 |
|---|---|---|
| 指挥组 | 1-2 | 总指挥 + 副指挥，全局决策 / 资源调度 / 对外协调 |
| 监控组 | 3-5 | 7×24 实时监控告警，初筛 / 分流 / 一级研判 |
| 分析组 | 2-3 | 深度研判 / 攻击溯源，攻击确认 / 影响评估 |
| 处置组 | 2-3 | 应急处置 / 封堵加固，主机隔离 / IP 封禁 |
| 情报组 | 1-2 | 威胁情报收集 / IOC 共享，红队 TTP 分析 |
备战就绪检查清单
- 资产清单完成且责任人明确
- 互联网暴露面已收敛
- 高危漏洞已修复 / 缓解
- 弱口令已清除
- 日志采集完整性验证通过
- 安全设备规则更新且运行正常
- 值班排班表已确认
- 通讯群组 / 作战室已建立
- 应急处置 SOP 已下发
- 备份数据完整性验证