程序员经验分享-hwhale

应急响应全流程

2023-11-15

一、根据情报先判断出需要出应急的是什么事件类型。

常见事件类型：
  • 大规模沦陷
  • 情况类型
  • 情况内容
  • 挖矿病毒
  • 勒索病毒
  • 无文件落地
  • 不死（顽固）马
  • 钓鱼
  • 数据劫持

二、保持第一现场

第一现场包含：
  • 第一发现人
  • 第一情报
  • 失陷主体、群体
  • 主体、群体行为
  • 失陷环境

三、阻断

所谓阻断只有三步：

  • 关站；
  • 关服务；
  • 拔网线（网卡禁用）。

四、痕迹分析

分析三大件：日志、流量、样本。
  • 日志主要注意的是：时间、动作、结果；这个行为什么时候开始、什么时候结束，这个动作是登陆、退出、修改等、造成的结果是登陆成功、失败、上传、下载了文件、执行了代码等。
  • 流量主要注意的是：状态码、交互过程、数据合理性；每一次交互的状态码，交互过程中是否符合该种协议的正确交互过程，每个字段的填充、每次流量的渲染是否正常。
  • 样本主要注意的是：启动方式、伪装方式、作用；根据启动方式去选择沙箱或者分析工具；伪装方式判断是否加壳做免杀和打开方式；根据作用去判断受害范围。

1、系统基本信息

重点关注：
  • 系统内是否有非法账户；
  • 系统中是否含有异常服务程序；
  • 系统是否存在部分文件被篡改，或发现有新的文件；
  • 系统安全日志中的非正常登陆情况；
  • 网站日志中是否有非授权地址访问管理页面记录；
  • 根据进程、连接等信息关联的程序，查看木马活动信息；
  • 假如系统的命令（例如netstat ls 等）被替换，为了进一步排查，需要下载一新的或者从其他未感染的主机拷贝新的命令；
  • 发现可疑可执行的木马文件，不要急于删除，先打包备份一份；
  • 发现可疑的木马文件，使用文本工具对其内容进行分析，包括回连IP 地址、加密方式、关键字（以便扩大 整个目录的文件特征提取）等。

2、异常连接排查

Windows
排查异常连接
命令
查看目前的网络连接，
定位可疑的ESTABLISHED 进程
netstat -ano | findstr ESTABLISHED
查看端口对应的PID
netstat -ano | findstr <PORT>
查看连接或侦听端口涉及的可执行程序
（需要管理员权限）

 
netstat -nb

eg:查看连接或侦听端口涉及的可执行程序 （需要管理员权限）

Linux

排查异常连接
命令
列出所有打开了网络套接字的进程
lsof -i
lsof -i | grep -E "LISTEN|ESTABLISHED
出所有打开的端口及连接状态
netstat -anptul
netstat -ano

eg:出所有打开的端口及连接状态

3、异常进程排查

Windows

排查异常进程
命令
查看所有进程(任务管理器）
taskmgr
查看运行在本地或远程计算机上的所有进程
tasklist
tasklist | findstr <KEY_WORDS>
查看进程的完整命令
wmic process | findstr "cmd.exe"
查看进程详细信息
msinfo32/软件环境/正在运行任务
关闭进程
wmic process where processid=<PID> delete
eg: 查看所有进程(任务管理器）
Linux
排查异常进程
命令
查找进程PID
netstat -anptl
lsof -i:<PID>
通过PID 查找文件
cd /proc/<PID>
ls -ail
ls -ail | grep exe
查看各进程占用的系统资源
top
bpytop
查看当前进程信息
ps aux
实现某个进程的精确查找
ps -ef | grep <KEY_WORDS>
结束进程
kill -9 <PID>
查看进程树
pstree -p
查找关键字
find / -name <KEY_WORDS>

eg:查看各进程占用的系统资源

4、异常账号排查

Windows
排查异常账号
命令
查看当前的账户和用户组
lusrmgr.msc
查看当前账户情况
net user
net user aa$
查看当前组的情况
net localgroup administrators
查看当前系统会话
* 是否有人使用远程终端登陆服务器
query user
踢掉用户
logoff <USERID>
eg: 查看当前的账户和用户组
Linux

 

排查异常账号
命令
查看当前系统正在登陆账户的信息
w
查看当前登陆用户
（tty 本地登陆，pts 远程登录）
who

 查看账号情况
cat /etc/passwd
cat /etc/shadow
查看所有账户最后一次登陆时间
lastlog
查看用户登陆错误的记录
（检查暴力破解）
last
lastb
查看登陆多久，多少用户，负载
uptime

eg:查看当前系统正在登陆账户的信息

 

5、异常文件分析

Windows
分析异常文件
命令
查看文件时间
右键查看文件属性，查看文件时间
查看某个用户相关文件
%UserProfile%\Recent
       根据文件夹内文件列表时间进行排序，查找可疑文件。当然也可以搜索指定日期范围的文件及查看文件时间，创建时间、修改时间、访问时间，黑客通过菜刀类工具改变的是修改时间。所以如果修改时间在创建时间之前明显是可疑文件。
Linux
分析异常文件
命令
分析文件日期
stat <FILE_PATH>
查看最近24 小时内修改过的文件
find ./ -mtime 0
find ./ -mtime 1
find ./ -mtime 0 -o -mtime 1 -o -mtime 2
find ./ -mtime 0 -name "*.php"
按照时间顺序查找敏感目录文件
ls –alht /tmp/
查找特殊权限文件
find / *.jsp -perm 777
find / -perm 777
find / *.sh -perm 777
查找隐藏的文件
ls -ar | grep "^\."
查看拥有不可修改权限的文件
（不可修改，不能删除，只能追加）
lsattr <FILENAME>
查看SSH 公钥
ls -alh ~/.ssh

eg:查找隐藏的文件

五、清除日志

情况
做法
常态
* 全盘重装
* 数据迁移、系统盘重装
* 杀进程、删文件、清除账号等
攻防演习
（对抗）
* 存在不死马、内存马、顽固马、APT 等威胁
* 修复漏洞、打补丁
* 恢复生产，保障业务正常
* 取证、溯源

六、总结报告

分析事件原因
  • 攻击来源：IP 等信息
  • 攻击行为分析：方式（攻击手法与漏洞利用）、路径（攻击途径）等信息。
输出应急报告
  • 时间
  • 报告人
  • 项目
  • 应急前症状
  • 应急措施
  • 领导确认签字
  • ...

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

网络安全

网络

网络协议

tcpip

信息与通信

应急响应全流程 的相关文章

  • STM32HAL库微秒延时(μs)

    STM32HAL库微秒延时 s 单片机 STM32F407ZET6 软件版本 STM32CubeMX 4 20 1 单片机固件包 STM32Cube FW F4 V1 15 0 本代码是我于2019年8月参加全国大学生电子设计竞赛前做赛前准

随机推荐

  • IPC-核间通讯

    1 IPC通讯是AUTOSAR体系结构中的核心组成部分 它使得不同的软件组件可以相互通信 协同工作 从而实现整车系统的功能 IPC可以理解为核间通讯 就是一个芯片有多个核 现在想让多核之间通信 达到下面几个目的 数据共享 不同的软件组件之间

  • mysqld: Can‘t read dir of ‘/etc/mysql/conf.d/‘ (Errcode: 13 - Permission denied)

    在安装docker mysql 5 7版本时 出现错误 mysqld Can t read dir of etc mysql conf d Errcode 13 Permission denied mysqld ERROR Fatal er

  • matlab方差分析

    一 单因素方差分析 1 各组数据长度相等 p anoval x x每一列为一个单独的样本值 返回的P是一个概率 p gt 0 05 故接受H0 即数据之间没有显著差异 0 01

  • C# new与malloc

    目录 C new与malloc C new与malloc的区别 C new关键字底层做的操作 C new与malloc new关键字 new关键字在C 中用于实例化对象 并为其分配内存 它是面向对象编程的基本操作之一 使用new关键字可以在

  • kafka报错：creating broker listeners from xxx unable to parse xxx:9092 to a broker endpoint

    1 美图 2 背景 kafka报错 creating broker listeners from xxx unable to parse xxx 9092 to a broker endpoint 具体报错内容如下 这个是你的地址域名写错了

  • sql monitor简介

    Sql monitor 简介 11g 之后的版本 oracle 提供了一种实时 sql 监控工具 即 sql monitor 默认情况下 当 sql 开启并行 或者 sql 的单词执行时间超过 5 秒钟 sql monitor 就会自动触发

  • iOS开发Swift-15-沙盒sandbox,JSON编码和Codable协议,本地数据存储,SQLite增删改查,视图按照数据排序-待办事项App进阶版...

    1 在待办事项App中 寻找沙盒路径 TodosTableVC Delegate import UIKit UITableViewDelegate extension TodosTableVC 当用户点击cell的时候调用 override

  • 只要以查询数据的前三行如何处理

    select m name m numbs from select name count name as numbs from kh hbrc info t where t tpr fl 软件技术 and t xzzhw 软件部 group

  • 动态代理详解

    想要更加透彻的理解动态代理 首先要熟悉下静态代理 一 静态代理 总结来说 目标类和代理类实现了相同的接口 在代理类中依赖了目标类 代理类的方法中调用了目标类的方法 并做了一些增强性的工作 1 实现静态代理 demo 要求 在某个类执行类中的

  • C/C++通过网卡名称获取ipv4地址

    通过网卡名称获取对应的IP地址 1 通过网卡名称获取对应的IP地址 1 通过网卡名称获取对应的IP地址 include

  • 华为机试：字符串加密

    一 题目 描述 有一种技巧可以对数据进行加密 它使用一个单词作为它的密匙 下面是它的工作原理 首先 选择一个单词作为密匙 如TRAILBLAZERS 如果单词中包含有重复的字母 只保留第1个 其余几个丢弃 现在 修改过的那个单词属于字母表的

  • Fedora12 Linux启动过程

    1 加载BIOS BIOS Basic Input Output System 是固化到计算机内主板上一个ROM芯片上的程序 保存CPU相关信息 设备启动顺序信息 硬盘信息 内存信息等等 打开计算机电源第一项工作即加载BIOS 进行POST

  • vim插件2--autocomplpop

    vim插件2 autocomplpop 功能 自动打开弹出菜单 以便于文字或单词补全 使用本插件后 vim会自动打开弹出菜单并显示相应补全项 它在输入字符或插入模式下移动光标时完成 不会阻止继续输入字符 AutoComplPop Autom

  • Spring实践（二）AOP的底层实现机制

    上一篇通过模拟spring的IOC 机制来理解控制反转 依赖注入 本篇同样模拟一下spring的第二大特性AOP Aspect Oriented Programming 本篇将介绍如下内容 1 AOP的应用场景 2 生成一个简单的工程案例

  • Devops理论与基础

    目录 文章目录 目录 1 什么是DevOps 2 什么是CI CD 1 一家软件公司 2 软件开发过程 3 传统应用发布模式 4 持续集成 CI 5 持续部署 CD 6 CI CD带来的好处 7 CI CD管道的阶段 3 DevSecOps

  • 如何寻找数据集？

    如何寻找数据集 除了医疗领域之外 其他领域的数据集有时也很难获取 这就需要我们掌握一些常见的数据集搜集方法和常用资源 最近 Medium 上的一位博主介绍了多个常用的数据集获取来源 1 Awesome Data 这是一个 GitHub 存储

  • git拉取的小程序代码，编译显示[ app.json 文件内容错误] app.json: app.json 未找到 怎么办？

    项目运行到微信开发者工具时 出现如此报错 解决方案 1 项目导入方式不正确 应该导入应该导入unpackage dist dev mp weixin打开项目 而不是直接打开项目文件夹 2 应该注意将项目的AppId 换成有自己开发权限的id

  • 蓝牙解析(part7):BLE的连接

    转自Wowo大神的http www wowotech net bluetooth ble connection html 1 前言 了解蓝牙的人都知道 在经典蓝牙中 保持连接 Connection 是一个相当消耗资源 power和带宽 的过

  • 动态BGP与静态BGP的区别

    动态BGP与静态BGP的区别 1 静态BGP功能简单 其带宽功能 可以实现多网接入 但路径上只有通向几大运营商的固定的几条路径 当某个运营商方向 的某个路由节点出现故障时 会导致某个运营商方向不能正常通信 造成单点故障 影响范围是 某个运营

  • 应急响应全流程

    一 根据情报先判断出需要出应急的是什么事件类型 常见事件类型 大规模沦陷 情况类型 情况内容 挖矿病毒 勒索病毒 无文件落地 不死 顽固 马 钓鱼 数据劫持 二 保持第一现场 第一现场包含 第一发现人 第一情报 失陷主体 群体 主体 群体行

热门标签