搜索

[17150] 2021-08-14_记录某次域控中毒事件应急响应

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2021-08-14_记录某次域控中毒事件应急响应 记 录 某 次 域 控 " 中 毒 " 事 件 应 急 响 应 原 创   Q S _ 永 夏   F r e e B u f   2 0 2 1 - 0 8 - 1 4 1 . 1   情 况 简 介 情 况 简 介 上 午 接 到 用 户 反 映 域 控 服 务 器 被 态 势 感 知 设 备 监 测 到 存 在 恶 意 域 名 解 析 行 为 ， 且 被 态 势 感 知 定 义 为 已 失 陷 并 感 染 病 毒 对 外 传 播 。 现 场 登 录 域 控 服 务 器 进 行 排 查 未 发 现 可 疑 进 程 以 及 恶 意 文 件 ， 结 合 态 势 感 知 告 警 内 容 以 及 与 用 户 和 态 势 感 知 厂 商 进 行 沟 通 得 知 域 控 服 务 器 对 终 端 P C 提 供 D N S 解 析 服 务 ， 由 于 本 地 域 控 服 务 器 无 恶 意 域 名 的 解 析 缓 存 ， 故 会 向 上 级 域 控 服 务 器 进 行 D N S 查 询 ， 确 定 本 次 态 势 感 知 告 警 非 域 控 服 务 器 自 身 中 毒 ， 而 是 内 网 终 端 P C 发 起 的 恶 意 域 名 查 询 行 为 通 过 域 控 发 出 D N S 解 析 请 求 过 程 中 被 态 势 感 知 捕 捉 并 告 警 。 企 业 安 全 不 能 百 分 百 相 信 安 全 设 备 的 告 警 。 实 际 运 维 过 程 中 ， 目 前 还 是 需 要 人 员 对 安 全 产 品 的 告 警 进 行 研 判 。 1 . 2   分 析 结 论 分 析 结 论 通 过 查 看 态 势 感 知 告 警 日 志 和 审 计 日 志 ， 发 现 域 控 服 务 器 所 有 异 常 行 为 均 为 D N S 解 析 行 为 ， 同 时 也 发 现 大 量 终 端 存 在 恶 意 扫 描 和 漏 洞 利 用 行 为 。 通 过 登 录 域 控 服 务 器 ， 针 对 服 务 器 进 程 、 网 络 、 注 册 表 、 文 件 进 行 实 时 监 控 检 查 未 发 现 异 常 行 为 。 通 过 与 态 势 感 知 厂 商 进 行 沟 通 ， 态 势 感 知 对 D N S 域 控 服 务 器 或 D N S 代 理 服 务 器 的 D N S 解 析 行 为 会 产 生 误 判 。 本 次 域 控 服 务 器 未 发 现 感 染 病 毒 ， 但 内 网 终 端 存 在 病 毒 横 行 传 播 行 为 ， 需 要 进 一 步 进 行 全 面 查 杀 和 补 丁 加 固 。 1 . 3   应 急 处 置 应 急 处 置 本 次 域 控 服 务 器 中 毒 事 件 应 为 态 势 感 知 误 判 ， 根 据 态 势 感 知 审 计 日 志 判 断 内 网 终 端 应 存 在 病 毒 横 行 传 播 行 为 ， 但 由 于 日 志 中 大 量 攻 击 源 I P 为 外 地 ， 无 法 及 时 进 行 检 查 核 实 。 梳 理 出 态 势 感 知 审 计 日 志 记 录 的 攻 击 源 I P 清 单 后 续 统 一 进 行 杀 毒 重 装 系 统 等 处 置 手 段 。 1 . 4   安 全 建 议 安 全 建 议 内 网 P C 终 端 安 装 杀 毒 软 件 ， 全 网 进 行 杀 毒 处 理 或 重 装 系 统 。 如 业 务 无 需 使 用 S M B 协 议 ， 建 议 在 交 换 机 中 关 闭 1 3 7 、 1 3 9 、 4 4 5 端 口 或 在 本 机 防 火 墙 中 关 闭 相 关 端 口 ， 如 需 使 用 建 议 及 时 安 装 补 丁 程 序 （ 打 补 丁 存 在 风 险 ， 请 做 好 备 份 后 进 行 ） ， 防 止 病 毒 利 用 系 统 漏 洞 反 复 感 染 。 提 高 系 统 登 录 账 号 口 令 复 杂 度 ， 防 止 病 毒 利 用 弱 口 令 进 行 传 播 。 2 . 1   态 势 感 知 平 台 告 警 分 析 态 势 感 知 平 台 告 警 分 析 登 录 态 势 感 知 平 台 ， 平 台 告 警 内 容 为 域 控 服 务 器 多 次 “ 访 问 ” 恶 意 软 件 域 名 ， 风 险 等 级 为 已 失 陷 。
点 击 详 情 发 现 域 控 服 务 器 攻 击 的 目 的 地 址 均 为 1 0 . x x . 1 0 1 . 1 1 6 ， 经 过 用 户 确 认 ， 该 地 址 为 总 局 域 控 服 务 器 ， 同 时 也 是 总 局 D N S 服 务 器 。 若 本 地 域 控 服 务 器 中 毒 ， 攻 击 的 目 的 地 址 肯 定 不 止 一 个 （ 病 毒 需 要 对 多 个 目 标 进 行 扫 描 ， 从 而 找 到 存 在 漏 洞 的 主 机 进 行 感 染 ） 。 继 续 查 看 攻 击 日 志 详 情 ， 发 现 域 控 服 务 器 “ 攻 击 ” 的 目 的 端 口 均 为 5 3 ， 使 用 的 是 U D P 协 议 ， 可 以 很 明 显 的 看 出 是 本 地 域 控 服 务 器 在 向 总 局 域 控 发 起 D N S 查 询 。 日 志 中 只 有 D N S 查 询 行 为 ， 可 以 判 断 域 控 服 务 器 并 未 失 陷 ， 仅 是 为 中 毒 终 端 转 发 D N S 请 求 。
查 看 域 控 服 务 器 被 攻 击 的 情 况 ， 可 以 看 出 内 网 存 在 大 量 利 用 系 统 漏 洞 和 口 令 爆 破 的 异 常 行 为 ， 此 行 为 表 示 内 网 存 在 僵 尸 网 络 在 对 内 网 主 机 进 行 横 向 传 播 感 染 ， 其 中 包 含 利 用 域 控 服 务 器 5 3 端 口 的 恶 意 域 名 解 析 的 异 常 行 为 。 2 . 2   域 控 服 务 器 安 全 检 查 域 控 服 务 器 安 全 检 查 登 录 域 控 服 务 器 进 行 排 查 ， 重 点 检 查 网 络 行 为 、 进 程 行 为 、 注 册 表 行 为 以 及 文 件 行 为 。 检 查 网 络 连 接 ， 未 发 现 异 常 T C P 连 接 。
使 用 系 统 行 为 实 时 监 控 工 具 ， 对 服 务 器 的 进 程 行 为 、 文 件 行 为 、 注 册 表 行 为 进 行 监 控 分 析 ， 未 发 现 异 常 行 为 。 在 域 控 服 务 器 上 抓 包 未 发 现 可 疑 流 量 。 （ 该 步 骤 需 慎 重 ， 一 般 域 控 服 务 器 流 量 巨 大 ， 若 机 器 性 能 不 佳 抓 包 时 可 能 会 造 成 机 器 宕 机 ）
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理