反模式（anti-patterns）在软件工程中大量存在，主要指在实践中经常出现但效率低下或需要优化的设计模式，以及那些不能轻易地解决问题的低效方法。通过对反模式的研究分析，开发者可以在系统开发过程中主动规避，防止在实际产品交付中出现问题。网络安全事件响应是企业不断探索和完善的新领域。在这个过程中，一些组织严重依赖传统流程的模型和经验，却往往忽略了其中存在的许多反模式。为了帮助企业提高网络安全事件的响应效率，本文收集整理了一些在安全事件响应中经常遇到的、应该避免的常见反模式。通过对这些反模式的分析和总结，安全人员可以从错误或失败中吸取教训，避免类似问题再次发生。反模式1：将事件通知安全团队中的每个人每当检测到安全事件时立即通知所有安全人员并不是好的应急响应实践，除非满足以下两个条件：组织中的安全团队很小，可以快速得到通知，需要团队所有能力协同工作；安全事件如此严重，最好让每个人都参与进来；当企业安全团队的规模越来越大时，全面的安全事件通知的做法可能并不理想，因为最终会通知一些与事件无关的人。这可能会加剧安全警报疲劳。当安保人员的注意力总是被无关紧要的事情打扰时，许多严重的安全事件反而会被忽视。优化方案：建立“随叫随到”值班制度，设置针对性报警策略，帮助企业有效分配处置任务，防止事件报警疲劳。反模式二：频繁同步处置信息事件响应者在处理突发安全事件时，往往期望一线处置人员能够不断更新事件动态。当然，更新是好的，因为它可以让更多的人充分了解情况，从而有可能提供更多的建议和解决方案。但是，在处理许多重大安全事件时，如果迫使团队更多地关注发送更新，将无法集中精力解决事件，这可能会影响事件处理的流程和有效性。优化方案：安排专人处理沟通事宜和动态更新，及时与团队同步最新进展。反模式3：讨论决定需要充分讨论。有观点认为，在处理重大安全事件时，需要充分讨论，确保措施的正确性。因此，过程中充满迷茫和恐慌是很正常的。但实践证明，这种认识是不正确的。当许多人一起处理一个事件时，高度协作并让每个人与正在采取的行动保持同步是至关重要的。混乱和恐慌会加剧这种情况，应该通过明确的角色和责任来避免。优化方案：安全团队应该有一个决策领导者来制定决策并授权可能影响结果的更改。响应团队还可以使用在线会议平台来确保有效沟通并防止混乱和恐慌。反模式4：事件发生后评估关键性在事件发生后分析事件的严重性是浪费处理时间。这个时间应该用来彻底解决事件。企业应该提前为各种可能发生的安全事件定义明确的严重程度，因为事件响应、计划和决策都需要根据事件的严重程度进行。理想情况下，规则应该是技术驱动的、清晰的和自动化的，并且每个事件都应该有一个预定义的严重级别。优化方案：定期进行事件响应培训和桌面游戏，帮助团队了解如何更好地处理紧急安全事件。反模式5：没有事件响应关联机制当组织缺乏将安全事件链接到正确响应者的机制时，他们无法在事件发生后第一时间通知正确的响应者。为了找到正确的处理器，企业可能会延误宝贵的事件解决时间。此外，当涉及多个团队时，可能会出现无法通知正确响应者的情况。对于安全事件的解决，每个团队都有一个可识别且易于联系的人是很重要的。优化预案：提前制定清晰、运行良好的响应机制，确保事件警报能够及时通知到正确的响应者，确保信息的顺利传递和处置。反模式6：事后分析不充分事后分析对于安全事件响应非常重要，因为它可以帮助组织从已经发生的安全事件中学习并计划未来的行动。没有事后诸葛亮，企业将无法认识到什么有效以及可以在哪些方面进行改进。事后分析可能因多种原因而失败：一些团队经常因截止日期和意外事件而感到压力。结果，一旦事件得到解决，事后分析就被忽略了；有时事后分析会变成相互指责和问责，只有所有成员开诚布公地讨论问题才能产生好的事后分析；在某些情况下，企业进行事后分析只是出于流程需要，而不是为了找到真正的答案。最佳解决方案：将安全事件的事后分析作为事件响应过程的一部分，并且必须引起所有人的注意。反模式七：固化的处置策略和流程企业会在一些历史处置实践中形成思维定式，并依赖于这些固化的处置策略和流程的延续。然而，安全事件的发生往往是不可预测的，固定的解决方案往往不能有效发挥作用。拥有灵活的政策和流程可以帮助企业适应不断变化的处置需求，并在需要时找到正确、合适的解决方案。优化方案：企业应努力持续应对安全风险的发展变化。另外，不要害怕做出改变。虽然某些流程更改会在短期内影响事件解决流程，但从长远来看，它们会带来更快更好的结果。反模式八：职责分工混乱突发的安全事件往往让安全团队措手不及，安全人员在不知不觉中身兼多职，这只会进一步加剧混乱。在处置压力大的情况下，要求安保人员迅速行动。但是当团队因为角色和职责的混淆而不知道他们需要做什么时，情况会变得更糟。优化方案：提前为安全团队定义正确的角色和职责，如有变动，及时更新同步信息，让所有团队成员知晓。参考链接：https://dzone.com/articles/anti-patterns-in-incident-response-that-you-should
