防守工作组指导监控分析组和判断处置组在攻防演攻击者的网络攻击，实时监控目标系统的攻击；网络安全事件立即通知防守总部，实时掌握演练，分析判断安全事件，形成分析处置报告。4.2.17×24小时监测预警。监控分析小组通过业务系统访问日志和网站安全监控、网络安全管理中心、网络安全情况感知等通知预警平台，实现网站安全的集中监控。指派云专人对被监控网站的安全事件进行实时判断和验证，发生安全事件时立即向现场判断处置组报告。所有监控任务分配给人，监控的安全事件必须保留事件记录，详细记录系统备份和故障，并进行初步诊断。4.2.2技术分析。在攻防演练中，网络攻击的数量呈指数级增长。然而，基于黑白名单、签名和规则的传统安全威胁发现方法已经无法应对演练中升级的有针对性的网络威胁。因此，当互联网安全监控平台和安全情况感知监控安全事件时，监控分析小组必须立即进行安全事件分析，定位问题并追溯源头。确定非误报后，将详细的攻击路径、攻击路径、攻击IP反馈研判处置组和防守工作组进行报告。结合故障描述和诊断，定位安全问题后，根据情况配合输出解决方案，反馈研判处置组。不能定位分析的问题，直接反馈给防守工作组。4.2.3专家研判与实时攻击对抗。攻防演练中最大的安全风险来自攻击者的攻击，针对性和持续性的攻击。早期发现和遏制有针对性的持续攻击是规避外部风险的有效手段。演练期间也是非法黑客组织的活跃期。黑客组织可能伪装成攻击队攻击防守单位，监控分析组和判断处置组需要实时判断安全事件，根据事件特点，在入侵防御系统中，Web应用防火墙等安全设备，增加相应的防护策略，对非法攻击事件进行实时攻击对抗。4.2.4.应急响应和业务恢复。快速应急响应成功的关键是根据预设过程有序解决已发生的安全事件，确保安全事件造成的损害最小化，降低应急响应中的风险。接到监控分析组的预警报告后，可以直接处理直接定位的问题(可用性等)。)，并在处理前进行数据备份和处理方法论证。对于不能直接定位的问题，与监控分析小组进行详细分析，得到详细分析结果，制定相应的解决方案，在处理前进行数据备份和处理方法论证；风险处置必须报告防御工作组，统一论证。

防守单位总结了整个演练的防守工作，分别制定了技术和制度层面的有效、前瞻性的信息安全建设计划。4.3.1输出成果文档。根据攻防演练的防守情况，及时输出防守报告、应急记录、安全漏洞跟踪等成果文件。4.3.2工作总结。演练结束后，总结了安全效果和成果、工作中存在的问题和改进计划、业务和系统遗留的风险和持续控制计划，总结了后期安全建设工作的最佳实践。4.3.3安全规划建议。根据攻防演练的最佳实践、国家有关法律法规和行业发展趋势，制定科学有效的信息安全建设规划，建立安全风险评估行业安全监测预警体系。结论是，演练只在正式开始前两天发布通知，这是对防守组织的考验，最终有序完成防守任务，与定期演绎密切相关。由于时间有限，演练前没有进行模拟攻防。后来由于没有进行模拟，部分涉及白名单的业务受到短期影响。演练前的工作与网络运营商的日常主要工作相对应。可以看出，演练前的准备工作非常丰富。只有充分准备，才能轻松应对演练（面对真正的攻击）。同时需要注意的是，集中时间和力量的持续攻防演练给各方带来了巨大的压力。作为防守方的组织者，不仅要注意网络安全防守的监控和处置状态，还要注意技术人员在高强度工作状态下的身心状态。积极做好各方面的后勤保障，调整技术人员状态，保持在较高水平，最终取得防守方的胜利。