搜索

[15534] 2020-06-25_入门级应急响应小贴士

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2020-06-25_入门级应急响应小贴士 入 门 级 应 急 响 应 小 贴 士 原 创   3 u n s h i n e   F r e e B u f   2 0 2 0 - 0 6 - 2 5 本 篇 主 要 说 明 一 下 遇 到 拒 绝 服 务 攻 击 、 本 篇 主 要 说 明 一 下 遇 到 拒 绝 服 务 攻 击 、 D N S 劫 持 、 劫 持 、 I O C 告 警 以 及 告 警 以 及 A P T 事 件 的 常 规 处 理 方 式 。 事 件 的 常 规 处 理 方 式 。 拒 绝 服 务 攻 击 拒 绝 服 务 攻 击 拒 绝 服 务 攻 击 分 为 两 种 ， D D O S 攻 击 和 D O S 攻 击 。 D D O S 攻 击 也 称 为 分 布 式 拒 绝 服 务 攻 击 ， 英 文 全 称 D i s t r i b u t e d   d e n i a l   o f   s e r v i c e   a t t a c k ， 与 D O S 攻 击 存 在 较 大 区 别 。 D O S 攻 击 可 以 理 解 为 使 用 单 台 主 机 利 用 目 标 系 统 应 用 层 或 系 统 层 的 漏 洞 ， 使 其 无 法 正 常 提 供 服 务 ， 而 D D O S 攻 击 一 般 都 是 通 过 黑 客 控 制 的 大 量 的 肉 鸡 ， 结 合 反 射 放 大 等 攻 击 对 目 标 进 行 大 量 流 量 攻 击 ， 使 其 无 法 提 供 服 务 。 先 讨 论 D D O S 攻 击 ， 这 类 攻 击 通 常 在 防 火 墙 等 网 络 设 备 能 看 到 目 标 短 时 间 内 遭 受 了 大 量 的 流 量 攻 击 ， 最 明 显 的 表 现 为 网 站 外 网 无 法 正 常 访 问 或 访 问 速 度 非 常 卡 顿 ， 而 内 网 则 正 常 访 问 没 有 问 题 ， 此 时 基 本 可 以 断 定 为 目 标 遭 受 D D O S 攻 击 。 这 类 攻 击 没 有 特 别 好 的 处 理 方 式 ， 仅 给 出 网 上 常 用 的 处 理 建 议 ： 1 、 特 征 丢 弃 ， 根 据 数 据 包 的 特 征 或 访 问 行 为 进 行 丢 弃 ， 如 基 于 P a y l o a d 特 征 、 发 包 行 为 特 征 等 。 2 、 限 速 ， 对 流 量 ／ 访 问 的 速 率 进 行 限 流 。 3 、 限 源 ， 即 对 源 I P 或 协 议 进 行 限 制 。 还 是 建 议 部 署 安 全 设 备 或 上 云 来 防 止 遭 受 D D O S 攻 击 。 D O S 攻 击 一 般 都 是 由 于 系 统 或 应 用 漏 洞 导 致 ， 最 应 用 层 最 常 见 的 有 a p a c h e 的 s l o w l o r i s   A t t a c k ， 也 是 a w v s 最 容 易 扫 出 来 的 问 题 ， m s f 中 自 带 有 相 关 的 扫 描 脚 本 。 除 此 之 外 ， 部 分 D O S 攻 击 利 用 系 统 漏 洞 使 服 务 器 无 法 正 常 运 行 ， 如 经 典 的 M S 1 2 0 2 0 ， 可 以 使 任 意 开 放 了 R D P 服 务 并 且 没 有 打 对 应 补 丁 主 机 蓝 屏 重 启 ， 从 而 导 致 无 法 正 常 提 供 服 务 。
遭 遇 此 类 攻 击 时 ， 我 们 应 当 对 系 统 开 放 的 服 务 一 一 进 行 排 查 ， 如 果 有 相 关 的 网 络 设 备 可 以 对 受 影 响 主 机 进 行 流 量 监 控 ， 确 认 遭 受 攻 击 的 端 口 与 服 务 ， 再 进 行 后 续 分 析 。 D N S 劫 持 劫 持 D N S 劫 持 ， 是 指 通 过 攻 击 域 名 解 析 服 务 器 （ D N S ） 或 伪 造 域 名 解 析 服 务 器 （ D N S ） 的 方 法 ， 把 目 标 网 站 域 名 解 析 到 错 误 的 I P 地 址 从 而 实 现 用 户 无 法 访 问 目 标 网 站 的 目 的 或 者 蓄 意 或 恶 意 要 求 用 户 访 问 指 定 I P 地 址 （ 网 站 ） 的 目 的 。 通 常 来 说 存 在 三 种 情 况 ： 路 由 器 被 入 侵 D N S 服 务 被 入 侵 运 营 商 流 量 劫 持 鉴 于 运 营 商 方 面 有 时 沟 通 无 果 ， 本 文 只 讨 论 前 两 种 情 况 。 D N S 劫 持 应 该 优 先 排 查 好 主 机 方 面 的 问 题 ， 如 D N S 配 置 有 无 问 题 ， 本 地 h o s t s 文 件 是 否 被 篡 改 过 ， 浏 览 器 设 置 是 否 被 改 动 ， 前 两 种 情 况 可 以 直 接 查 看 ， 浏 览 器 设 置 问 题 可 以 使 用 3 6 0 、 火 绒 等 杀 软 直 接 进 行 扫 描 并 修 复 。 路 由 器 被 入 侵 导 致 的 D N S 劫 持 应 该 是 最 常 见 的 场 景 ， 由 于 某 些 路 由 器 可 能 映 射 管 理 端 口 到 外 网 ， 并 且 有 可 能 存 在 弱 口 令 和 R C E 的 问 题 ， 所 以 遇 到 D N S 劫 持 的 情 况 ， 应 当 首 先 更 换 路 由 器 设 备 （ 当 前 ， 肯 定 要 换 不 同 的 款 式 ） ， 然 后 查 看 情 况 是 否 解 决 ， 如 果 解 决 问 题 ， 那 么 针 对 原 路 由 的 口 令 以 及 后 门 R C E 漏 洞 等 进 行 分 析 ， 出 具 相 关 报 告 。 如 果 仍 未 解 决 问 题 ， 那 么 考 虑 D N S 服 务 器 是 否 遭 受 入 侵 。 登 录 D N S 服 务 器 ， 查 看 D N S 配 置 是 否 存 在 问 题 ， 若 发 现 被 恶 意 更 改 ， 则 确 认 该 事 件 是 由 于 D N S 服 务 器 遭 受 入 侵 导 致 ， 需 要 使 用 杀 软 进 行 病 毒 查 杀 扫 描 ， 可 以 参 考 上 篇 文 章 中 的 主 机 处 理 流 程 。
I O C 告 警 告 警 I O C 告 警 事 件 大 多 是 由 内 部 安 全 设 备 发 现 ， 通 常 都 是 由 于 内 网 主 机 非 法 请 求 了 高 危 的 威 胁 情 报 地 址 。 这 类 事 件 首 先 应 该 对 I O C 告 警 进 行 确 认 ， 在 微 步 上 查 询 对 应 I o C ， 如 w w w . i u q e r f s o d p 9 i f j a p o s d f j h g o s u r i j f a e w r w e r g w e a . c o m 看 到 以 上 结 果 ， 基 本 确 认 内 网 是 存 在 W a n n a C r y 蠕 虫 病 毒 ， 有 N T A 的 情 况 下 基 本 能 快 速 定 位 所 有 感 染 主 机 ， 处 理 方 案 参 考 上 篇 文 章 的 勒 索 病 毒 处 理 流 程 。 如 为 其 他 告 警 但 是 确 认 为 恶 意 安 全 事 件 的 ， 也 可 以 通 过 搜 索 引 擎 查 询 对 应 的 分 析 文 章 ， 根 据 病 毒 行 为 作 出 对 应 的 修 复 和 后 续 的 防 护 措 施 。 特 殊 情 况 下 ， 如 果 I o C 告 警 大 概 率 确 认 为 恶 意 ， 但 是 也 无 法 找 到 相 关 文 章 ， 需 要 人 工 进 行 分 析 。 w i n d o w s 下 通 过 n e t s t a t   - a n o 命 令 来 查 看 请 求 对 应 的 I o C 的 P I D ， 然 后 使 用 t a s k l i s t   / s v c | f i n d s t r   “ P I D ” 来 定 位 到 对 应 进 程 。 l i n u x 下 操 作 思 路 与 以 上 类 似 ， 不 多 赘 述 。 另 外 如 进 程 请 求 变 化 太 快 不 好 定 位 ， 推 荐 个 大 佬 写 的 小 工 具 可 以 试 试 。 A P T 事 件 事 件 此 类 事 件 本 人 接 触 的 并 不 多 ， 实 际 遭 遇 目 前 差 不 多 就 两 三 次 的 样 子 。 首 先 明 确 一 下 什 么 样 的 事 件 可 以 被 归 类 为 A P T 事 件 ， 借 鉴 一 下 百 度 百 科 的 说 明 ， A P T 攻 击 的 主 要 特 征 有 针 对 性 强 、 组 织 严 密 、 持 续 时 间 长 、 高 隐 蔽 性 和 间 接 攻 击 。 详 细 可 以 参 考 百 度 百 科 。
简 单 讲 述 一 下 本 人 遭 遇 过 的 一 个 事 件 为 例 ， 接 到 应 急 通 知 ， 某 军 工 相 关 单 位 ， 更 新 了 软 件 后 安 全 设 备 一 直 告 警 。 到 现 场 查 看 ， 杀 软 当 前 更 新 到 最 新 版 本 ， 扫 描 到 的 木 马 日 期 在 两 年 之 前 ， 此 前 一 直 没 有 发 现 （ 环 境 为 内 网 环 境 ， 无 法 连 接 外 网 ， 近 期 才 更 新 了 杀 软 病 毒 库 ） （ 持 续 性 ） ， 说 明 木 马 具 有 一 定 的 免 杀 性 （ 隐 蔽 性 ） ， 考 虑 到 目 标 系 统 在 内 网 （ 间 接 攻 击 ） 并 且 为 敏 感 单 位 （ 针 对 性 ） ， 基 本 确 认 为 A P T 事 件 。 由 于 时 间 太 久 远 ， 网 站 没 有 日 志 记 录 ， 通 过 沟 通 确 认 网 站 使 用 了 某 知 名 O A 系 统 ， 查 看 w e b s h e l l 时 间 与 当 年 该 O A 系 统 爆 出 R C E 漏 洞 时 间 基 本 吻 合 ， 大 致 确 认 是 由 于 该 漏 洞 导 致 的 入 侵 ， 由 此 得 出 结 论 ， 鉴 于 事 件 性 质 ， 后 续 工 作 移 交 了 对 应 部 门 进 行 处 理 。 总 得 来 说 ， 如 果 真 怀 疑 遇 到 了 A P T ， 还 是 建 议 找 专 业 公 司 来 进 行 解 决 。 总 结 总 结 文 章 总 结 了 应 急 过 程 中 常 见 的 情 景 ， 以 及 对 应 的 处 理 方 式 ， 更 偏 向 于 刚 接 触 应 急 的 朋 友 进 行 参 考 ， 文 中 若 有 不 对 还 请 指 正 ， 希 望 本 文 能 有 所 帮 助 。 * 本 文 作 者 ： 本 文 作 者 ： 3 u n s h i n e ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理