搜索

[13599] 2018-12-31_应急响应的整体思路和基本流程

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2018-12-31_应急响应的整体思路和基本流程 应 急 响 应 的 整 体 思 路 和 基 本 流 程 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 8 - 1 2 - 3 1 2 0 1 8   年 信 息 安 全 事 件 频 发 ， 信 息 安 全 的 技 能 、 人 才 需 求 大 增 。 现 在 ， 不 管 是 普 通 的 企 业 ， 还 是 专 业 的 安 全 厂 年 信 息 安 全 事 件 频 发 ， 信 息 安 全 的 技 能 、 人 才 需 求 大 增 。 现 在 ， 不 管 是 普 通 的 企 业 ， 还 是 专 业 的 安 全 厂 商 ， 都 不 可 避 免 的 需 要 掌 握 和 运 用 好 信 息 安 全 的 知 识 、 技 能 ， 以 便 在 需 要 的 时 候 ， 能 够 御 敌 千 里 。 所 谓 养 兵 千 商 ， 都 不 可 避 免 的 需 要 掌 握 和 运 用 好 信 息 安 全 的 知 识 、 技 能 ， 以 便 在 需 要 的 时 候 ， 能 够 御 敌 千 里 。 所 谓 养 兵 千 日 ， 用 兵 一 时 ， 拥 有 一 支 完 善 的 团 队 或 完 整 的 流 程 ， 可 以 保 障 企 业 在 出 现 重 大 安 全 事 件 时 ， 能 有 条 不 紊 的 进 行 日 ， 用 兵 一 时 ， 拥 有 一 支 完 善 的 团 队 或 完 整 的 流 程 ， 可 以 保 障 企 业 在 出 现 重 大 安 全 事 件 时 ， 能 有 条 不 紊 的 进 行 处 置 ， 及 时 把 破 坏 范 围 缩 小 。 处 置 ， 及 时 把 破 坏 范 围 缩 小 。 深 信 服 E D R 安 全 团 队 ， 全 年 参 与 了 各 种 重 大 流 行 病 毒 和 安 全 事 件 的 应 急 响 应 ， 在 此 ， 我 们 将 团 队 一 整 年 的 思 考 和 所 形 成 的 流 程 ， 共 享 出 来 ， 期 望 能 给 未 来 即 将 从 事 ， 或 者 长 期 从 事 应 急 响 应 、 安 全 研 究 的 人 ， 一 些 启 迪 。 我 们 大 致 从 八 个 方 面 阐 述 ， 分 别 是 ： 应 急 响 应 的 整 体 思 路 、 应 急 响 应 的 基 本 流 程 、 应 急 工 具 集 简 介 、 系 统 日 志 及 日 志 分 析 、 威 胁 情 报 的 作 用 、 常 见 病 毒 及 分 类 、 理 解 漏 洞 和 补 丁 、 技 能 提 升 建 议 。 一 、 应 急 响 应 的 整 体 思 路 一 、 应 急 响 应 的 整 体 思 路 应 急 响 应 的 整 体 思 路 ， 就 是 上 层 有 指 导 性 原 则 和 思 想 ， 下 层 有 技 能 、 知 识 点 与 工 具 ， 共 同 推 进 和 保 障 应 急 响 应 流 程 的 全 生 命 周 期 。 原 则 和 指 导 性 思 路 原 则 和 指 导 性 思 路 3 W 1 H 原 则 ： 原 则 ： 3 W 即 W h o 、 W h a t 、 W h y ， 1 H 即 H o w ， 做 应 急 响 应 要 带 着 疑 问 来 做 事 ， 一 定 要 收 集 清 楚 这 些 信 息 。 网 络 拓 扑 是 怎 么 样 的 ？ 需 求 是 啥 ？ 发 生 了 什 么 事 ？ 你 能 做 什 么 ？ 用 户 用 了 什 么 产 品 ？ 产 品 版 本 多 少 ？ 病 毒 库 版 本 多 少 ？ 多 少 主 机 中 了 ？ 主 机 是 普 通 P C 还 是 服 务 器 ？ 服 务 器 是 做 什 么 的 ？ … … 信 息 收 集 越 多 ， 对 应 急 响 应 越 有 利 。 易 失 性 原 则 ： 易 失 性 原 则 ： 做 应 急 响 应 免 不 了 要 做 信 息 收 集 和 取 证 的 ， 但 这 里 是 有 一 定 的 先 后 顺 序 的 ， 即 最 容 易 丢 失 的 据 ， 应 该 最 先 收 集 ， 其 它 的 依 次 类 推 。 要 素 原 则 ： 要 素 原 则 ： 做 应 急 响 应 ， 主 要 是 抓 关 键 证 据 ， 即 要 素 ， 这 些 要 素 包 括 样 本 、 流 量 、 日 志 、 进 程 及 模 块 、 内 存 、 启 动 项 。
避 害 原 则 ： 避 害 原 则 ： 做 应 急 响 应 ， 要 做 到 趋 利 避 害 ， 不 能 问 题 还 没 有 解 决 ， 反 而 引 入 了 新 的 问 题 。 譬 如 ， 自 己 使 用 的 工 具 被 感 染 而 不 知 情 ； 给 用 户 使 用 不 恰 当 的 工 具 或 软 件 造 成 客 户 主 机 出 现 问 题 ； 给 别 人 发 样 本 ， 不 加 密 ， 不 压 缩 ， 导 致 别 人 误 点 中 毒 ， 最 极 端 的 场 景 就 是 给 别 人 发 勒 索 样 本 不 加 密 压 缩 ， 导 致 别 人 误 点 中 毒 。 技 能 、 知 识 点 与 工 具 技 能 、 知 识 点 与 工 具 应 急 工 具 集 ： 应 急 工 具 集 ： 应 急 响 应 必 要 的 一 套 工 具 集 合 ， 可 协 助 应 急 人 员 做 分 析 ， 提 高 效 率 。 日 志 分 析 ： 日 志 分 析 ： 能 对 日 志 进 行 分 析 ， 包 括 但 不 限 于 系 统 日 志 （ W i n d o w s / L i n u x 等 ） 、 应 用 日 志 、 安 全 设 备 日 志 （ 防 火 墙 、 防 病 毒 、 态 势 感 知 等 ） 。 病 毒 、 态 势 感 知 等 ） 。 威 胁 情 报 ： 威 胁 情 报 ： 安 全 事 件 可 能 不 是 孤 立 的 ， 安 全 站 点 或 搜 索 站 点 能 找 到 安 全 事 件 的 关 联 信 息 。 漏 洞 补 丁 知 识 ： 漏 洞 补 丁 知 识 ： 知 道 漏 洞 与 补 丁 的 关 系 ， 它 们 在 应 急 响 应 中 的 角 色 ， 了 解 常 见 漏 洞 及 补 丁 。 常 见 病 毒 及 分 类 ： 常 见 病 毒 及 分 类 ： 知 道 病 毒 大 致 的 分 类 以 及 常 见 的 病 毒 。 样 本 分 析 ： 样 本 分 析 ： 至 少 能 对 样 本 进 行 一 次 简 单 动 态 的 分 析 。 操 作 系 统 知 识 ： 操 作 系 统 知 识 ： 至 少 对 W i n d o w s 系 统 和 L i n u x 系 统 的 有 一 定 的 知 识 储 备 ， 知 道 其 基 础 的 工 作 原 理 。 二 、 应 急 响 应 的 基 本 流 程 二 、 应 急 响 应 的 基 本 流 程 应 急 响 应 大 致 可 以 分 为 五 个 部 分 ， 其 基 本 流 程 包 括 收 集 信 息 、 判 断 类 型 、 深 入 分 析 、 清 理 处 置 、 产 出 报 告 。               收 集 信 息 ： 收 集 信 息 ： 收 集 客 户 信 息 和 中 毒 主 机 信 息 ， 包 括 样 本 。 判 断 类 型 ： 判 断 类 型 ： 判 断 是 否 是 安 全 事 件 ， 何 种 安 全 事 件 ， 勒 索 、 挖 矿 、 断 网 、 D o S 等 等 。 深 入 分 析 ： 深 入 分 析 ： 日 志 分 析 、 进 程 分 析 、 启 动 项 分 析 、 样 本 分 析 。 清 理 处 置 ： 清 理 处 置 ： 直 接 杀 掉 进 程 ， 删 除 文 件 ， 打 补 丁 ， 抑 或 是 修 复 文 件 。 产 出 报 告 ： 产 出 报 告 ： 整 理 并 输 出 完 整 的 安 全 事 件 报 告 。
勒 索 和 挖 矿 事 件 ， 可 以 占 比 5 0 % 以 上 ， 而 且 这 两 种 安 全 事 件 业 务 特 征 极 其 鲜 明 ， 因 此 可 以 单 独 提 流 程 出 来 处 置 。 信 息 收 集 表 信 息 收 集 表 客 户 名 称 客 户 名 称 什 么 区 域 的 什 么 客 户 什 么 区 域 的 什 么 客 户 感 染 主 机 数 感 染 了 多 数 台 主 机 补 丁 情 况 打 了 哪 些 补 丁 ， 是 否 存 在 补 丁 漏 打 中 毒 现 象 勒 索 / 挖 矿 / D o S / 僵 尸 网 络 / 后 门 / 木 马 帐 号 密 码 确 认 是 否 有 弱 密 码 对 外 开 发 端 口 对 外 开 发 了 哪 些 端 口 开 启 的 服 务 开 启 了 哪 些 服 务 操 作 系 统 版 本 操 作 系 统 版 本 信 息 客 户 需 求 确 认 客 户 具 体 需 求 取 证 要 素 ： 取 证 要 素 ： 取 证 并 非 毫 无 头 绪 的 ， 病 毒 本 身 必 然 有 网 络 行 为 ， 内 存 必 然 有 其 二 进 制 代 码 ， 它 要 么 是 单 独 的 进 程 模 块 ， 要 么 是 进 程 的 d l l / s o 模 块 ， 通 常 ， 为 了 保 活 ， 它 极 可 能 还 有 自 己 的 启 动 项 、 网 络 心 跳 包 。 总 之 ， 可 以 归 结 为 如 下 4 点 要 素 ： 流 量 、 内 存 、 模 块 、 启 动 项 。 流 量 、 内 存 、 模 块 、 启 动 项 。 流 量 分 析 可 以 使 用 W i r e s h a r k ， 主 要 分 析 下 当 前 主 机 访 问 了 哪 些 域 名 、 U R L 、 服 务 ， 或 者 有 哪 些 外 网 I P 在 访 问 本 地 主 机 的 哪 些 端 口 、 服 务 和 目 录 ， 又 使 用 了 何 种 协 议 等 等 。 例 如 ， 使 用 W i r e s h a r k 观 察 到 ， 主 机 访 问 了 s j b 5 5 5 . 3 3 2 2 . o r g 这 种 动 态 域 名 ， 即 可 粗 略 猜 测 这 是 一 个 C & C 服 务 器 （ 如 何 判 断 一 个 域 名 是 可 疑 域 名 ， 可 以 参 考 后 文 ） 。
有 时 候 ， 可 以 根 据 网 络 协 议 来 直 接 过 滤 分 析 流 量 。 譬 如 ， 目 前 I R C 协 议 已 经 很 少 被 使 用 了 ， 但 利 用 I R C 建 立 僵 尸 网 络 通 道 的 现 象 仍 比 较 普 遍 。 使 用 W i r e s h a r k ， 直 接 在 过 滤 条 件 里 输 入 “ i r c ” ， 回 车 看 是 否 有 相 关 流 量 。 如 下 图 ， 刚 好 看 到 有 相 关 的 I R C 协 议 流 量 ， 这 便 是 可 疑 的 。 W i r e s h a r k 执 行 下 “ F o l l o w   T C P   S t r e a m ” 操 作 ， 查 看 到 当 前 B o t n e t 主 机 正 在 加 入 一 个 I R C 频 道 。 另 外 ， 也 可 以 从 目 的 I P 下 手 ， 可 查 到 这 是 一 个 恶 意 I R C 僵 尸 网 络 服 务 器 。 网 络 流 量 这 块 ， 如 果 具 体 到 对 应 建 立 的 连 接 ， 也 可 使 用 T C P V i e w 工 具 进 行 查 看 。 如 下 ， 我 们 使 用 T C P V i e w 查 到 了 2 条 连 接 ： c h e n y u - 5 7 0 6 8 a 5 3 . l o c a l d o m a i n . 2 6 7 1 - >   1 7 0 . 1 7 8 . 1 9 1 . 1 9 1 : 6 6 6 7 c h e n y u - 5 7 0 6 8 a 5 3 . l o c a l d o m a i n . 2 6 7 4 - >   a m s t e r d a m . n l . e u . u n d e r n e t . o r g . 6 6 6 7
当 我 们 分 析 病 毒 进 程 遇 到 困 难 的 时 候 ， 其 内 存 便 是 我 们 查 找 问 题 的 最 后 一 道 防 线 。 以 某 L i n u x 服 务 器 应 急 事 件 为 例 子 ， 如 下 图 ， 我 们 找 到 三 个 病 毒 进 程 [ k s o f t i r q d / 7 ] 的 父 子 关 系 ， 可 以 看 到 ， 1 1 2 7 5 拉 起 了 1 1 2 7 6 和 1 1 2 7 7 ， 但 1 1 2 7 5 是 1 号 进 程 拉 起 来 的 ， 即 i n i t 是 其 父 进 程 。 这 意 味 着 ， 实 际 的 父 进 程 （ 原 始 病 毒 文 件 ） 在 当 前 状 态 下 是 追 查 不 到 的 了 。 进 程 树 已 经 追 踪 不 到 父 进 程 了 ， 能 下 手 的 地 方 不 多 。 如 反 汇 编 [ k s o f t i r q d / 7 ] 对 应 的 病 毒 文 件 ， 则 对 于 一 次 应 急 响 应 事 件 来 说 ， 时 间 是 仓 促 的 （ 不 够 ） 。 但 简 单 这 样 想 ， 即 不 管 病 毒 文 件 做 了 何 种 混 淆 、 何 种 加 壳 ， 在 最 终 运 行 于 内 存 之 上 的 代 码 上 ， 终 归 是 原 始 代 码 ， 至 少 堆 栈 就 有 不 少 信 息 。 L i n u x 环 境 下 d u m p 内 存 ， 可 以 使 用 系 统 自 带 的 g d b ， 键 入 命 令   g d b   a t t a c h   1 1 2 7 5 ， a t t a c h 到 病 毒 进 程 1 1 2 7 5 ， 在 g d b 环 境 下 ， 使 用 d u m p   b i n a r y   m e m o r y   f i l e   s t a r t a d d r   e n d a d d r 将 1 1 2 7 5 有 效 内 存 空 间 d u m p 下 来 。 譬 如 ： f i l e 为 输 出 文 件 ， 可 以 指 定 为   1 1 2 7 5 . d u m p ， s t a r t a d d r 是 起 始 地 址 ， e n d a d d r 是 终 止 地 址 ， 例   d u m p   b i n a r y   m e m o r y / t m p / 1 1 2 7 5 . d u m p   0 x 1 3 8 3 8 0 0 0   0 x 1 3 8 3 9 0 0 0   （ 这 里 仅 仅 只 是 举 例 ， 实 际 地 址 在 g d b 中 获 取 ） 对 于 内 存 文 件 1 1 2 7 5 . d u m p ， 采 用 命 令   s t r i n g s   - n 8   1 1 2 7 5 . d u m p ， 获 取 长 度 8 及 以 上 的 字 符 串 内 容 ， 我 们 发 现 有 如 下 一 行 ： 这 是 在 病 毒 运 行 内 存 里 面 发 现 的 ， 要 么 是 病 毒 配 置 文 件 ， 要 么 是 原 始 病 毒 文 件 。 我 们   c d   / e t c / s e c u r i t y   并 使 用   l s   - a l 查 看 内 容 如 下 ： / e t c / s e c u r i t y / n t p s . c o n f
可 以 看 到 ， n t p s . c o n f 并 非 一 个 配 置 文 件 ， 它 是 可 执 行 的 （ 使 用 f i l e 命 令 可 以 知 道 这 是 个 E L F 可 执 行 文 件 ） ， 文 件 修 改 时 间 应 该 是 伪 造 的 。   三 、 应 急 工 具 集 简 介 三 、 应 急 工 具 集 简 介 工 欲 善 其 事 ， 必 先 利 其 器 ， 所 谓 巧 妇 难 为 无 米 之 炊 ， 其 实 应 急 响 应 亦 是 如 此 。 应 急 响 应 和 安 全 研 究 人 员 ， 必 须 事 先 就 备 好 完 整 一 套 的 工 具 集 ， 随 时 可 以 取 用 。 应 急 工 具 类 型 应 急 工 具 类 型 流 量 分 析 工 具 ： 流 量 分 析 工 具 ： 常 用 的 流 量 分 析 工 具 是 W i r e s h a r k 、 T C P V i e w ， 也 可 以 使 用 科 来 网 络 分 析 工 具 ， L i n u x 下 对 t c p d u m p 比 较 熟 悉 的 ， 也 可 以 使 用 t c p d u m p 。 进 程 分 析 工 具 ： 进 程 分 析 工 具 ： 能 对 进 程 相 关 联 信 息 进 行 分 析 的 工 具 ， 主 要 是 P r o c e s s H a c k e r 和 P C   H u n t e r 等 。 启 动 项 分 析 工 具 ： 启 动 项 分 析 工 具 ： 主 要 是 A u t o R u n s 工 具 ， 便 于 定 位 病 毒 启 动 项 。 专 杀 工 具 ： 专 杀 工 具 ： 有 些 流 行 病 毒 家 族 ， 通 常 对 杀 软 有 抑 制 性 ， 或 者 本 身 有 感 染 性 ， 需 要 专 杀 工 具 去 查 杀 和 修 复 正 常 文 件 。
辅 助 工 具 ： 辅 助 工 具 ： W i n H e x 、 文 件 H a s h 工 具 、 E v e r y t h i n g 搜 索 工 具 、 U n l o c k e r 文 件 解 锁 工 具 等 。 内 存 扫 描 工 具 ： 内 存 扫 描 工 具 ： 主 要 是 M e m S c a n n e r 。 四 、 系 统 日 志 及 日 志 分 析 四 、 系 统 日 志 及 日 志 分 析 日 志 类 型 日 志 类 型 W i n d o w s 系 统 日 志 ： 系 统 日 志 ： W i n d o w s 系 统 自 带 的 审 计 日 志 、 操 作 日 志 、 故 障 日 志 。 L i n u x 系 统 日 志 ： 系 统 日 志 ： L i n u x 系 统 自 带 的 审 计 日 志 、 操 作 日 志 、 故 障 日 志 。 应 用 日 志 ： 应 用 日 志 ： 包 括 但 不 限 于 W e b 应 用 等 众 多 繁 杂 的 日 志 。 W i n d o w s 系 统 日 志 系 统 日 志 日 志 路 径 ： C : W i n d o w s S y s t e m 3 2 w i n e v t L o g s 必 看 日 志 ： S e c u r i t y . e v t x 、 S y s t e m . e v t x 、 A p p l i c a t i o n . e v t x

L i n u x 系 统 日 志 系 统 日 志 日 志 路 径 ： / v a r / l o g 必 看 日 志 ： s e c u r e 、 h i s t o r y 多 数 日 志 都 是 可 读 易 懂 的 ， 譬 如 很 容 易 就 能 看 出 来 ， 下 面 这 个 日 志 记 录 了 s s h 爆 破 过 程 。
五 、 威 胁 情 报 的 作 用 五 、 威 胁 情 报 的 作 用 在 安 全 事 件 中 ， 威 胁 情 报 有 时 候 会 给 我 们 提 供 大 量 有 用 的 信 息 ， 甚 至 直 接 推 动 了 安 全 事 件 的 快 速 响 应 。 威 胁 情 报 的 元 素 ， 包 括 但 不 限 于 域 名 、 U R L 、 I P 、 文 件 H a s h 、 文 件 路 径 、 文 件 名 、 数 字 签 名 、 备 案 信 息 、 排 名 信 息 。 威 胁 情 报 的 获 取 源 谷 歌 ： w w w . g o o g l e . c o m 百 度 ： w w w . b a i d u . c o m V i r u s t o t a l ： w w w . v i r u s t o t a l . c o m 微 步 在 线 ： x . t h r e a t b o o k . c n 腾 讯 哈 勃 ： h a b o . q q . c o m V i r s c a n ： v i r u s s c a n . j o t t i . o r g F r e e b u f ： w w w . f r e e b u f . c o m
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理