# 恢复
<a name="recovery"></a>

 恢复是指将系统恢复到已知安全状态的流程，在此期间，需要在恢复之前确认备份是否安全或未受事件影响，然后进行测试以确认系统在恢复后正常运行，以及解决与安全事件相关的漏洞。

 恢复顺序取决于组织的要求。作为恢复流程的一部分，需要进行业务影响分析，至少确定：
+  业务或依赖项的优先级 
+  恢复计划 
+  身份验证和授权 

 《NIST SP 800-61 计算机安全事件处理指南》提供了几个系统恢复步骤，包括：
+  从纯净备份恢复系统。
  +  在将备份恢复到系统之前，需确认是否对备份进行评估，排除感染情况，防止安全事件卷土重来。

     作为灾难恢复测试的一部分，应定期评估备份，以确认备份机制是否正常运行以及数据完整性是否符合恢复点目标。
  +  如果可能，请使用在根本原因分析中确定的第一个事件时间戳之前的备份。
+  从头开始重建系统，包括使用自动化工具从可信来源重新部署（有时需要在新 AWS 账户中进行）。
+  将受损文件替换为纯净版本。

   执行此操作时应格外小心。必须完全确定要恢复的文件处于已知安全状态，且未受事件影响 
+  安装补丁。
+  更改密码。
  +  这包括可能已被滥用的 IAM 主体的密码。
  +  如果可能，建议采用适用于 IAM 主体和联合身份验证的角色，作为最低权限策略的一部分。
+  加强网络周边安全（防火墙规则集、周边路由器访问控制列表）。

 资源恢复后，必须总结经验教训，以更新事件响应策略、程序和指南。

 总之，必须实施恢复已知安全运营的恢复流程。恢复可能需要很长时间，并且需要密切结合遏制策略，以平衡业务影响和再次感染的风险。恢复程序应当包括恢复资源和服务、IAM 主体的步骤，以及对账户进行安全审查以评估残余风险的步骤。