處理惡意軟件爆發
由於攻擊者的動機是基於經濟掠奪，他們的攻擊形式也不只是騷擾或破壞活動而已。惡意軟件攻擊已經變得更複雜，甚至成為機構一項嚴重的隱憂。大規模惡意軟件攻擊， 經常是指惡意軟件爆發，會導致機構廣泛的損害與崩潰，這是需要很長的復原時間與努力。 因此採取適當的預防步驟是很重要的，例如裝設保護與偵測工具，以保衛機構不受到惡意軟件的攻擊。
然而，在資訊保安世界裡並沒有所謂的「防彈保護」。 機構發展功能強大的資訊保安事故處理程序尤其重要， 如此一來行政人員才更能夠以更具組織化，更方便及更有效的方式做足準備，好處理惡意軟件的爆發。
如 公司保安事故處理部份中所定義的，一個事故應變程序應該有三個階段：「規劃和準備」，「應變」及「事後跟進」。 本篇列舉「應變」及「事後跟進」階段的步驟，這對於完善處理惡意軟件爆發是很重要的。 關於「規劃和準備」階段更多的資訊，請參閱上述的「公司保安事故處理」部份。
「應變」階段包括下列五個步驟：
確認惡意軟件爆發是否已經發生。
這個步驟的目標是要確定是否已經發生惡意軟件爆發。惡意軟件爆發的典型徵兆包含下列的一些或全部狀況：
若發現上述的任何一項徵兆，資訊科技人員應該立即檢查並驗證所有可疑活動，以便確定爆發是否發生。一旦確認這是惡意軟件引致的違反保安事件，蒐集關於該惡意軟件的資訊是很重要的，因為這是遏制與杜絕程序所必需的。
若這種惡意軟件已經從抗惡意軟件偵測軟件的覆檢以及防火牆與路由器記錄檔檢查中得知存在一段時間，就可以從抗惡意軟件經銷商網站獲得該惡意軟件的資訊。下列問題能夠幫助辨別惡意軟件的特徵：
執行初步評估
一旦一項爆發已經辨別出來，資訊科技人員應該評估爆發的範圍、損害及衝擊，以便做有效處理。
記錄所有採取的措施
資訊科技人員應該記錄所有處理爆發的採取措施以及任何反應的結果。這些記錄有助確認和評估事故，為檢控提供證據，並為及後的事故處理階段提供有用的資料。整個保安事故應變過程都應保留記錄。
事故應變的第二階段是通知適當的人員，並根據既定的升級處理程序將事故提升到適當的級別。升級處理程序所提供的資訊應該要清楚，簡要，準確並符合事實。提供不準確的、誤導的或不完整的資訊可能會延誤應變程序或甚至可能使情況惡化。務必緊記，關於事故的資訊應該只在需要知道的基礎上被揭露。
惡意軟件事故應變的第三階段是遏制。下列事項是遏制階段所應該執行的活動：
清楚確認受感染系統總是遏制的第一步驟。不幸地，基於目前資訊科技環境的動態特性，這也是非常複雜的程序。下列的建議可以在管理環境中協助確認受感染的系統：
遏制爆發可以有好幾種方式進行；以下是一般常見策略：
像抗惡意軟件偵測工具， IDS與 IPS等自動化工具可以遏制惡意軟件的散播。 倘使現存的抗惡意軟件保護系統無法偵測到惡意軟件，甚至應用最新定義檔也無效時， 就應該尋找抗惡意軟件供應商的支援， 以建立可以涵蓋惡意軟件的新定義檔。
立刻切斷受感染系統與整個網絡的連接，可以有效遏制惡意軟件爆發。 可以透過在網絡裝置上加上接達控制，或實體地切斷網絡導線中斷網絡的連接。 某些情況下，為了遏制惡意軟件散播到機構的其他區域，暫時將網絡段從主幹網絡上切斷是必要的。 無論如何，遏制策略將一定會影響該網絡與其他未受感染系統的作業。
惡意軟件會透過網絡服務，如可分享的網絡磁碟等來散播。 暫時性地堵截或甚至關閉被惡意軟件利用的網絡服務可協助遏制事故。
惡意軟件會透過攻擊具漏洞的網絡服務而散播。 比方像安裝保安修補程式在具漏洞的系統上，來處理甚至已遭惡意軟件盤剝的漏洞，消除繁殖的管道， 進而遏制惡意軟件的散播。此外，某些如可分享網絡磁碟喪失接達控制等錯誤配置，也會被惡意軟件利用。 矯正任何的錯誤配置可以遏制惡意軟件的散播。
像在一個小型遠端分部辦公室或非管理辦公室環境中，可處理爆發的技術支援人員是有限的， 用戶參與的效果在這個時候對於遏制程序就十分顯著。 當系統確定遭到感染時，應提供用戶如何確認感染以及該採取什麼步驟的清楚指示， 例如在受感染系統上執行抗惡意軟件移除工具。
在這個階段保存所有已採取行動的記錄是很重要的，因為某些遏制步驟需要對網絡基建與系統的配置或設定作暫時性修改。 這些修改在事故之後需要移除。
最重要，是要瞭解停止了惡意軟件的進一步感染並不代表防止了受感染系統被進一步的損害。 例如，停用網絡連接可以遏制感染，然而，惡意軟件仍可刪除受感染系統上的檔案。 因此，要盡快地或與遏制程序同步進行完整的杜絕程序。
杜絕惡意軟件爆發應從所有受感染的系統與媒體上移除惡意軟件，並且矯正感染的結果。 在執行杜絕程序之前，建議先蒐集所有必要資訊，包括可能必須在刪除程序裡刪除或重設所有的記錄檔， 然而這對於事後跟進調查是有幫助的。
杜絕的基本方法，一般是使用抗惡意軟件掃描軟件以及移除工具。 然而，在某些情況下，重新安裝受感染系統是必要的。 例如，當惡意軟件已在受感染系統上植入後門時，為了復原系統的完整性，重新安裝所有受感染的系統會是最值得信賴的行動。 系統重建一般包括下列幾個行動：
這個階段的主要目的是將系統復原至正常運作狀態。很多時候，「杜絕」及「復原」階段都是不能分割，因為受感染的系統的功能及其資料已在「杜絕」階段中被恢復。 除了復原受感染系統，移除所有暫時性的遏制措施，例如被暫時中斷的網絡接連，是復原程序中另一個主要部分。
在移除遏制措施前，其中的一項重要工作是進行生產前保安評估，以確已沒有系統受到感染，並確定感染的根源已被刪除。
在恢復系統操作前，應事先通知所有相關人士。在受控制的情況下，資訊科技人員應該按照需求的緩急次序逐步恢復功能／服務，例如可優先恢復最重要的服務或以大多數人為對象的服務。 復原中止服務之後，其中的一項重要工作是檢驗復原操作是否成功，系統是否已恢復正常操作。 另外還可以實施額外的監視措施，以觀察相關網絡區段有否任何可疑的活動。
「事後跟進」階段
受感染的系統恢復正常操作並不代表惡意軟件爆發處理程序的結束。 採取必要的跟進行動十分重要。 跟進行動包括評估事故所造成的破壞、系統改良以防止再度發生事故、保安政策和程序更新及為日後的檢控進行個案調查。這個階段的行動包括下列事項：
