Windows Enterprise Incident Response（Windows 企业突发事件响应）

本课程为期 24 小时，旨在讲授应对当今网络威胁所需的基本调查技术。这门快节奏的课程建立在一系列动手实验的基础上，重点涵盖定向攻击的各个阶段、证据来源和分析原则。讲授的技能示例包括如何对系统进行快速分类以确定其是否遭到入侵、发现初始攻击途径的证据、识别驻留机制以及调查整个企业中的突发事件。

虽然本课程的重点是分析基于 Windows 的系统和服务器，但涵盖的技术和调查过程也适用于所有系统和应用。本课程详细讨论了基于端点、网络和文件的取证证据收集的常见形式和它们的局限性，以及攻击者如何在遭入侵的 Windows 环境中移动。本课程还探讨了丰富调查过程并增强企业安全计划的信息管理。相关讨论主题包括对安全事件的遏制和补救，以及短期行动与提高组织弹性的长期策略之间的联系。

完成本课程后，学员应该能够：

• 确定当前趋势和针对各种环境的常见攻击途径，从而分析不断变化的威胁形势。
• 在调查期间，将收集到的证据与相关威胁相关联，并将调查结果与行业标准的突发事件响应框架相对应。
• 在发生安全事件时，有效执行突发事件响应流程的关键阶段。
• 在突发事件发生之前，确定沟通途径、团队职责和需要提高可见性的领域。
• 实施各种检测方法，准确限定安全事件的范围，并利用可用的证据来源进行全面的取证分析。
• 隔离遭入侵的系统，并设计和实施相关策略，以遏制和消除企业网络中的威胁。
• 根据事件后分析制定切实可行的建议，以提升组织的整体安全状况。

突发事件响应团队成员、威胁猎手和信息安全专业人员。具备进行取证分析、网络流量分析、日志分析、安全评估和渗透测试或安全架构和系统管理的背景。学员必须对 Windows 操作系统、文件系统、注册表以及命令行的使用有实际的了解。熟悉 Active Directory 和基本的 Windows 安全控制以及常用的网络协议会有好处。

讲师主导的线下培训或线上培训。

• 3 天（线下授课）
• 4 天（线上授课）

参与者需要一台笔记本电脑，该笔记本电脑安装了所选择的最新浏览器并能够连接到互联网。