搜索

[13913] 2019-03-26_企业安全建设之HIDS（二）：入侵检测&应急响应

文档创建者：s7ckTeam
浏览次数：44
最后更新：2025-01-18
2019-03-26_企业安全建设之HIDS（二）：入侵检测&应急响应 企 业 安 全 建 设 之 H I D S （ 二 ） ： 入 侵 检 测 & 应 急 响 应 罹 ♛ 殇   F r e e B u f   2 0 1 9 - 0 3 - 2 6 0 x 0 1 : 前 言 前 言 W E B 层 的 入 侵 检 测 一 般 会 根 据 层 的 入 侵 检 测 一 般 会 根 据 a g e n t 头 信 息 、 头 信 息 、 P O S T 包 请 求 信 息 基 于 攻 击 特 征 结 合 多 逻 辑 语 句 以 及 响 应 体 检 包 请 求 信 息 基 于 攻 击 特 征 结 合 多 逻 辑 语 句 以 及 响 应 体 检 测 ， 测 ， H I D S 基 于 主 机 层 面 去 检 测 ， 关 于 基 于 主 机 层 面 去 检 测 ， 关 于 H I D S 入 侵 检 测 的 内 容 比 较 多 ， 这 里 根 据 自 己 的 经 验 总 结 通 用 的 应 急 流 入 侵 检 测 的 内 容 比 较 多 ， 这 里 根 据 自 己 的 经 验 总 结 通 用 的 应 急 流 程 ， 应 急 响 应 是 个 体 力 活 ， 但 是 很 有 意 思 ， 攻 防 对 抗 中 ， 谁 更 了 解 这 个 系 统 ， 谁 就 拥 有 主 动 权 。 本 小 白 记 忆 力 程 ， 应 急 响 应 是 个 体 力 活 ， 但 是 很 有 意 思 ， 攻 防 对 抗 中 ， 谁 更 了 解 这 个 系 统 ， 谁 就 拥 有 主 动 权 。 本 小 白 记 忆 力 不 好 ， 特 此 记 录 ， 也 方 便 后 期 自 己 应 急 和 升 华 。 不 好 ， 特 此 记 录 ， 也 方 便 后 期 自 己 应 急 和 升 华 。 前 序 文 章 ： 企 业 安 全 建 设 之 H I D S 那 基 于 主 机 层 的 应 急 响 应 和 入 侵 检 测 还 是 又 很 多 相 同 的 地 方 的 ， 那 区 别 点 又 在 哪 ？ 一 ． 一 ． L i n u x 应 急 响 应 或 入 侵 检 测 的 检 查 项 目 获 取 了 什 么 信 息 ？ 目 的 又 是 什 么 ？ 应 急 响 应 或 入 侵 检 测 的 检 查 项 目 获 取 了 什 么 信 息 ？ 目 的 又 是 什 么 ？ 1 . 快 照 信 息 ： H I D S 可 以 获 取 服 务 器 的 当 前 运 行 情 况 的 信 息 ， 基 础 信 息 ， 日 志 信 息 ， 便 于 安 全 监 控 和 后 期 取 证 或 深 入 分 析 ； 2 . 异 常 检 查 ： 初 筛 作 用 ， 初 步 做 些 排 查 和 异 常 检 查 ， 若 发 现 异 常 ， 人 工 入 侵 分 析 ； 3 . 入 侵 检 测 ： 如   r k m o d   等 后 门 特 征 检 查 ， 包 括 历 史 曾 经 发 现 过 的 后 门 检 查 ； 二 ． 二 ．   入 侵 检 测 和 入 侵 检 测 和 L i n u x 应 急 检 查 为 对 应 关 系 ， 二 者 关 注 什 么 地 方 和 区 别 是 什 么 ？ 应 急 检 查 为 对 应 关 系 ， 二 者 关 注 什 么 地 方 和 区 别 是 什 么 ？ 1 . 应 急 响 应 人 工 肉 眼 看 ， 适 用 于 经 验 分 析 ； 2 . 入 侵 检 测 使 用 分 析 脚 本 以 及 大 数 据 自 动 化 处 理 和 判 断 ， 适 用 于 全 面 分 析 和 大 规 模 的 数 据 分 析 ； 3 . 入 侵 检 测 一 般 回 存 储 到   E S   的   索 引 中 ， 使 用   常 见 的 安 全 架 构 S O C 分 析 工 具 来 处 理 ， 也 作 为 学 习 数 据 。 0 x 0 2 : 排 查 流 程 排 查 流 程 一 ： 基 础 信 息 一 ： 基 础 信 息 （ （ 1 ） 系 统 版 本 、 主 机 名 、 内 核 版 本 收 集 分 析 项 ： 最 基 本 的 提 权 方 式 ， 查 看 内 核 版 本 ， 搜 索 对 应 的 ） 系 统 版 本 、 主 机 名 、 内 核 版 本 收 集 分 析 项 ： 最 基 本 的 提 权 方 式 ， 查 看 内 核 版 本 ， 搜 索 对 应 的 e x p 进 行 提 权 进 行 提 权 （ （ 2 ） 系 统 运 行 时 间 ） 系 统 运 行 时 间 分 析 方 法 ： 系 统 当 前 已 经 运 行 时 间 、 时 区 等 信 息 ， 在 海 量 的 日 志 里 ， 在 排 除 一 些 正 常 业 务 的 日 志 后 ， 以 时 间 / I P 为 准 线 是 一 个 比 较 不 错 的 主 线 。 （ （ 3 ） 网 卡 配 置 ） 网 卡 配 置 分 析 方 法 ： 判 断 网 卡 是 否 为 混 杂 模 式 来 确 定 机 器 是 否 在 嗅 探 流 量 。 u n a m e   - a u p t i m e t i m e d a t e c t l i p   l i n k   s h o w   |   g r e p   P R O M I S C
（ （ 4 ） 路 由 信 息 ） 路 由 信 息 分 析 方 法 ： 查 找 通 过 同 一 个 路 由 表 进 出 。 （ （ 5 ） ） a r p 信 息 信 息 分 析 方 法 ： 1 . 服 务 器 上 a r p   记 录 应 该 是 只 有 实 际 建 立 过 连 接 的   I P   才 有   a r p ， 可 以 聚 类 检 查 是 否 有 超 同 组 业 务 以 外 的   a r p   地 址 。 2 . m c 地 址 对 应 的   i p   应 该 是 固 定 的 ， 可 以 检 查 是 否 有   m a c 和   I P   不 一 致 的 ， 如 有 就 是 有   a r p   欺 骗 （ （ 6 ） 登 录 用 户 ） 登 录 用 户 分 析 项 ： 有 无 爆 破 以 及 爆 破 痕 迹 ， 有 无 异 常 登 录 痕 迹 分 析 方 法 ： 1 . 除 r o o t 以 为 U I D 为 0 的 帐 号 （ U I D 为 0 的 帐 号 也 不 一 定 都 是 可 疑 帐 号 ， F r e e b s d 默 认 存 在 t o o r 帐 号 ， 且 u i d 为 0 . （ t o o r   在 B S D 官 网 解 释 为 r o o t 替 代 帐 号 ， 属 于 可 信 帐 号 ） ） 2 . 非 系 统 管 理 员 添 加 的 具 有 s h e l l 权 限 的 帐 号 （ （ 7 ） 具 有 ） 具 有   s h e l l   环 境 的 用 户 环 境 的 用 户 — — 异 常 用 户 异 常 用 户 分 析 方 法 ： 1 . 查 看 当 前 环 境 中 具 有 s h e l l 权 限 的 用 户 ， 分 析 找 出 可 疑 用 户 。 2 . 聚 合 统 计 ， 发 现 未 知 的 异 常 用 户 。 （ （ 8 ） ） s u d o 授 权 信 息 授 权 信 息 — — 异 常 用 户 权 限 异 常 用 户 权 限 分 析 方 法 ： 1 . 排 除 法 ， 过 滤 掉 正 常 用 户 的 s u d o 权 限 ， 找 出 那 些 无 需 密 码 就 可 以 执 行 r o o t 命 令 的 用 户 。 2 . 在 同 类 数 据 中 聚 合 这 些 异 常 权 限 用 户 ， 统 计 可 控 的 服 务 器 范 围 （ （ 9 ） 登 录 信 息 ） 登 录 信 息 分 析 项 ： （ a ） l a s t （ 数 据 源 为 / v a r / l o g / w t m p ， w t m p 文 件 中 保 存 的 是 登 录 过 本 系 统 的 用 户 的 信 息 ） ， 统 计 系 统 所 有 用 户 的 登 录 时 间 和 信 息 ， 包 括 系 统 曾 经 进 行 过 重 启 操 作 的 重 启 时 间 信 息 ， 获 取 用 户 成 功 登 陆 的 时 间 点 和 在 线 时 长 1 . 用 排 除 法 ， 去 掉 正 常 登 录   I P ， 找 出 异 常 登 录   I P 。 r o u t e   - n a r p   - a   - n / e t c / p a s s w d a w k   - F :   ' ( $ 3   = =   " 0 " & &   $ 1 ! = " r o o t " )   { p r i n t } '   / e t c / p a s s w d   （ 查 询 u i d 为 0 的 账 号 ） a w k   - F :   ' ( $ 4   = =   " 0 " & &   $ 1 ! = " r o o t "   & &   $ 1 ! = " s y n c "   & & $ 1 ! = " s h u t d o w n "   & &   $ 1 ! = " h a l t "   & & $ 1 ! = " o p e r a t o r " )   { p r i n t } '   / e t c / p a s s w d   （ 查 询 g i d 为 0 的 账 号 ） a w k   - F :   ' { i f ( $ 7 ! ~ " n o l o g i n " & &   $ 7 ! ~ " s h u t d o w n "   & &   $ 7 ! ~ " h a l t " & & $ 7 ! ~ " f a l s e "   & &   $ 7 ! ~ " s y n c " )   p r i n t } ' / e t c / p a s s w d c a t   / e t c / s u d o e r s   |   g r e p   - E v " ^ $ | # "
2 . 分 析 同 一 类 业 务 的 登 录   I P ， 看 是 否 有 超 范 围 的 登 录 。 3 . 单 个 主 机 上 等 于 用 户 统 计 分 析 ， 查 看 数 据 少 的 用 户 是 否 为 异 常 用 户 4 . 同 一 类 数 据 登 录 用 户 进 行 聚 合 统 计 排 序 ， 查 看 数 据 少 的 用 户 是 否 为 异 常 用 户 5 . l a s t 登 录 用 户 和 i p 是 否 是 不 常 用 用 户 和 i p ， 以 及 i p 是 否 属 于 公 网 i p （ b ） l a s t l o g   系 统 中 所 有 用 户 最 近 一 次 登 录 信 息 （ 源 为 / v a r / l o g / u t m p 文 件 ） 1 . 排 查 一 般 不 可 登 录 的 用 户 是 否 曾 经 登 陆 过 ， 以 及 登 录 方 式 和 登 录 I P 。 2 . 同 类 业 务 登 录 用 户 聚 合 排 序 ( 登 录 用 户 I P 聚 合 排 序 ) ， 来 排 查 恶 意 用 户 控 制 的 主 机 数 量 （ c ）   l a s t b （ 数 据 源 为 / v a r / l o g / b t m p ）   用 于 显 示 用 户 错 误 的 登 录 列 表 ； 1 . 用 排 除 法 ， 去 掉 正 常 登 录 错 误   I P ， 找 出 异 常 登 录 错 误 I P 。 2 . 分 析 同 一 类 业 务 的 登 录 错 误   I P ， 看 是 否 有 超 范 围 的 登 录 。 3 . 同 一 类 数 据 登 录 用 户 进 行 聚 合 统 计 排 序 ， 查 看 登 录 错 误 过 多 I P 是 否 存 在 登 录 成 功 情 况 。 （ （ 1 0 ） 系 统 敏 感 文 件 ） 系 统 敏 感 文 件 / 目 录 目 录 分 析 方 法 ： 毋 庸 置 疑 ， 无 论 是 w e s h e l l ， 还 是 后 门 总 会 对 系 统 文 件 做 修 改 的 ， 分 析 有 无 可 疑 文 件 、 系 统 新 增 文 件 1 . 查 找 2 4 小 时 内 被 修 改 的 p h p 文 件 — — f i n d   . /   - m t i m e   0 - n a m e ” * . p h p ” ` 2 . 查 找 7 2 小 时 内 新 增 的 文 件 — — f i n d   /   - c t i m e   2 3 . 查 找 7 7 7 的 权 限 的 文 件 — — f i n d   /   * . j s p   - p e r m 4 7 7 7 4 . 查 找 以 . 开 头 的 隐 藏 文 件 — — l s   - a r   | g r e p ” ^ . ” T M P 敏 感 目 录 敏 感 目 录 最 近 刚 爆 发 的 W a t c h D o g s M i n e r 挖 矿 蠕 虫 表 现 为 / t m p 临 时 目 录 存 在 w a t c h d o g s 文 件 ， 出 现 了 c r o n t a b 任 务 异 常 、 网 络 异 常 、 系 统 文 件 被 删 除 、 C P U 异 常 卡 顿 等 情 况 P s ： / v a r / l o g / w t m p   文 件 结 构 和 / v a r / r u n / u t m p   文 件 结 构 一 样 ， 都 是 引 用 / u s r / i n c l u d e / b i t s / u t m p . h 中 的 s t r u c t   u t m p ；
（ （ 1 1 ） 异 常 访 问 目 标 ） 异 常 访 问 目 标 分 析 方 法 ： 分 析 r o o t 用 户 登 录 时 源 I P 地 址 ， 这 里 的 是 主 动 S S H   外 联   I P 。 1 . 获 取   / r o o t / . s s h / k n o w n _ h o s t s 文 件 得 到 r o o t 用   户 登 录 时 源 I P 地 址 2 . 通 过 白 名 单 过 滤 ， 判 断 是 否 有 异 常 s s h   登 录 ； 3 . 通 过 同 类 型 业 务 聚 类 ， 判 断 是 否 有 超 范 围 访 问 。 其 他 用 户 登 录 时 源 I P 地 址 分 析 方 法 ： 这 里 的 是 主 动 S S H   外 联   I P 。 1 . 通 过 遍 历   / h o m e / 目 录 下 的 用 户 目 录 ， 获 取   / h o m e / * / . s s h / k n o w n _ h o s t s 文 件 得 到 该 用 户 登 录 时 源 I P 地 址 2 . 通 过 白 名 单 过 滤 ， 判 断 是 否 有 异 常 s s h   登 录 ； 3 . 通 过 同 类 型 业 务 聚 类 ， 判 断 是 否 有 超 范 围 访 问 。 （ （ 1 2 ） 异 常 公 钥 用 户 ） 异 常 公 钥 用 户 分 析 方 法 ： 分 析 异 常 r o o t 用 户 公 钥 登 录 时 公 钥 信 息 1 . 获 取   / r o o t / . s s h / a u t h o r i z e d _ k e y s 文 件 得 到 r o o t 用 户 公 钥 登 录 时 公 钥 信 息 2 . 根 据 白 名 单 过 滤 r o o t 下 公 钥 用 户 ， 查 找 异 常 的 用 户 。 a w k   ' { p r i n t $ 1 } '   / r o o t / . s s h / k n o w n _ h o s t s f o r   f i l e   i n   / h o m e / * d o                     i f   [   - d   $ f i l e ]                     t h e n                               e c h o   - e " $ f i l e "   > >   $   S S H K N O W N _ H O S T S                           a w k   ' { p r i n t   $ 1 } ' / $ f i l e / . s s h / k n o w n _ h o s t s > > $   S S H K N O W N _ H O S T S         f i d o n e
3 . 在 同 类 数 据 中 聚 合 统 计 ， 找 到 超 过 范 围 的 异 常 公 钥 用 户 。 其 他 用 户 公 钥 登 录 时 公 钥 信 息 分 析 方 法 ： 1 . 通 过 遍 历   / h o m e / 目 录 下 的 用 户 目 录 ， 获 取   / h o m e / * / . s s h / a u t h o r i z e d _ k e y s 文 件 得 到 该 用 户 公 钥 登 录 时 公 钥 信 息 2 . 根 据 白 名 单 过 滤 公 钥 用 户 ， 查 找 异 常 的 用 户 。 3 . 找 出 超 过 范 围 的 异 常 公 钥 用 户 。 （ （ 1 3 ） 防 火 墙 配 置 信 息 ） 防 火 墙 配 置 信 息 分 析 方 法 ： 排 查 对 已 受 访 问 控 制 的 服 务 和 系 统 是 否 有 不 规 范 的 防 火 墙 信 息 （ （ 1 4 ） 系 统 中 ） 系 统 中 r p m 包 校 验 包 校 验 分 析 方 法 ： - V 校 验 r p m 包 中 的 文 件 有 无 修 改 ， 没 有 提 示 即 没 有 修 改 ， 主 要 验 证 8 个 信 息 二 ： 异 常 检 测 二 ： 异 常 检 测 （ （ 1 ） 开 机 启 动 项 ） 开 机 启 动 项 / e t c / i n i t . d 是   / e t c / r c . d / i n i t . d   的 软 链 接 ， 测 试 新 装 的 l i n u x 系 统 必 须 开 启 的 服 务 ， 其 他 根 据 自 己 的 工 作 业 务 需 求 s s d 、 r s y s l o g 、 n e t w o r k 、 c r o n d （ （ 2 ） ） / e t c / r c . l o c a l   脚 本 内 容 脚 本 内 容 — — 异 常 自 动 执 行 脚 本 异 常 自 动 执 行 脚 本 分 析 方 法 ： 1 . 基 于 白 名 单 过 滤 ， 查 找 异 常 的 执 行 命 令 2 . 基 于 已 知 的 特 征 做 数 量 统 计 或 异 常 行 为 分 析 。 配 置 文 件 会 在 用 户 登 陆 之 前 读 取 ， 这 个 文 件 中 写 入 了 什 么 命 令 ， 在 每 次 系 统 启 动 时 都 会 执 行 一 次 ， 默 认 内 容 为 a w k   ' { p r i n t   $ 1 , $ 3 } '   / r o o t / . s s h / a u t h o r i z e d _ k e y s f o r   f i l e   i n   / h o m e / * d o         i f   [   - d   $ f i l e   ]         t h e n                 e c h o   - e " $ f i l e "   > >   $   S S H K N O W N _ K E Y S                 a w k ' { p r i n t   $ 1 , $ 3 } '   / $ f i l e / . s s h / a u t h o r i z e d _ k e y s   > >   $   S S H K N O W N _ K E Y S         f i d o n e i p t a b l e s   - L - n v r p m   - a V c a t   / e t c / r c . l o c a l   |   g r e p   - E v " ^ # $ | ^ # " t o u c h  
（ （ 3 ） 计 划 任 务 ） 计 划 任 务 分 析 方 法 ： 1 . 通 过 关 键 字 发 现 r o o t 的 恶 意 计 划 任 务 ， 如 （ 反 弹 命 令 ） 2 . 白 名 单 过 滤 找 到 异 常 的 计 划 任 务 p s ： 为 系 统 执 行 计 划 ， 为 以 帐 号 来 区 分 每 个 用 户 的 执 行 任 务 （ （ 4 ） ） / e t c / c r o n . d   计 划 任 务 内 容 计 划 任 务 内 容 — — e t c 下 异 常 计 划 任 务 下 异 常 计 划 任 务 分 析 方 法 ： 1 . 白 名 单 过 滤 找 到 异 常 的 计 划 任 务 2 . 关 注 挖 矿 等 计 划 任 务 （ （ 5 ） 用 户 定 义 的 自 启 动 项 ） 用 户 定 义 的 自 启 动 项 分 析 方 法 ： 1 . 白 名 单 过 滤 发 现 异 常 启 动 项 。 2 . 统 计 分 析 ， 查 找 未 知 的 异 常 自 启 服 务 （ （ 6 ） 系 统 自 启 动 项 ） 系 统 自 启 动 项 分 析 方 法 ： 1 . 白 名 单 过 滤 发 现 异 常 启 动 项 。 系 统 启 动 项 参 考 接 （ （ 7 ） 系 统 内 核 模 块 运 行 时 的 文 件 信 息 ） 系 统 内 核 模 块 运 行 时 的 文 件 信 息 分 析 方 法 ： 1 . 根 据 文 件 夹 时 间 戳 ， 再 白 名 单 过 滤 找 到 未 知 的 恶 意 内 核 模 块 2 . 根 据 安 全 报 告 / 威 胁 情 况 分 析 有 无 恶 意 的 内 核 模 块 默 认 系 统 内 核 模 块 文 件 信 息 |   模 块 模 块   |   模 块 模 块   |   模 块 模 块   |   模 块 模 块   | |   8 2 5 0   |   g f 1 2 8 m u l   |   m o u s e d e v   |   s n d   | |   a b l k _ h e l p e r   |   g h a s h _ c l m u l n i _ i n t e l   m p t b a s e   |   s n d _ a c 9 7 _ c o d e c   | |   a c 9 7 _ b u s   |   g l u e _ h e l p e r   |   m p t s c s i h   |   s n d _ e n s 1 3 7 1   | |   a c p i   |   h i d   |   m p t s p i   |   s n d _ p c m   | / v a r / l o c k / s u b s y s / l o c a l c r o n t a b   - l   或 者   c r o n t a b - c   / v a r / s p o o l / c r o n /   - l / e t c / c r o n t a b / v a r / s p o o l / c r o n / f i n d   / e t c / c r o n . d /   | x a r g s   g r e p   - E v   " ^ # " c h k c o n f i g   - - l i s t s y s t e m c t l   l i s t - u n i t - f i l e s   |   g r e p   e n a b l e d l s   - a l t   / s y s / m o d u l e
|   a c p i p h p   |   h i d _ a p p l e   |   n e t p o l l   |   s n d _ r a w m i d i   | |   a e s n i _ i n t e l   |   h i d _ m a g i c m o u s e   |   n f _ c o n n t r a c k   |   s n d _ s e q   | |   a t a _ g e n e r i c   |   h i d _ n t r i g   |   n f _ c o n n t r a c k _ i p v 4   s n d _ s e q _ d e v i c e   | |   a t a _ p i i x   |   i 2 c _ p i i x 4   |   n f _ c o n n t r a c k _ i p v 6   s n d _ s e q _ m i d i   | |   b a t t e r y   |   i 8 0 4 2   |   n f _ d e f r a g _ i p v 4   |   s n d _ s e q _ m i d i _ e v e n t   | |   b i n f m t _ m i s c   |   i n t e l _ i d l e   |   n f _ d e f r a g _ i p v 6   |   s n d _ t i m e r   | |   b l o c k   |   i n t e l _ i s h t p   |   n f i t   |   s o u n d c o r e   | |   b r i d g e   |   i o s f _ m b i   |   n f _ n a t   |   s p u r i o u s   | |   c d r o m   |   i p 6 t a b l e _ f i l t e r   |   n f _ n a t _ i p v 4   |   s r _ m o d   | |   c o n f i g f s   |   i p 6 t a b l e _ m a n g l e   |   n f _ n a t _ i p v 6   |   s t p   | |   c p u i d l e   |   i p 6 t a b l e _ n a t   |   n f n e t l i n k   |   s u s p e n d   | |   c r c 3 2 c _ i n t e l   |   i p 6 t a b l e _ r a w   |   n f _ r e j e c t _ i p v 4   |   s y s c o p y a r e a   | |   c r c 3 2 _ p c l m u l   |   i p 6 _ t a b l e s   |   n f _ r e j e c t _ i p v 6   |   s y s f i l l r e c t   | |   c r c _ t 1 0 d i f   |   i p 6 t a b l e _ s e c u r i t y   p a r p o r t   |   s y s i m g b l t   | |   c r c t 1 0 d i f _ c o m m o n   |   i p 6 t _ R E J E C T   |   p a r p o r t _ p c   |   s y s r q   | |   c r c t 1 0 d i f _ g e n e r i c   |   i p 6 t _ r p f i l t e r   |   p a t a _ a c p i   |   t c p _ c u b i c   | |   c r c t 1 0 d i f _ p c l m u l   |   i p _ s e t   |   p c i e _ a s p m   |   t h e r m a l   | |   c r y p t d   |   i p t a b l e _ f i l t e r   |   p c i e h p   |   t p m   | |   d e b u g _ c o r e   |   i p t a b l e _ m a n g l e   |   p c i _ h o t p l u g   |   t p m _ t i s   | |   d m _ l o g   |   i p t a b l e _ n a t   |   p c i _ s l o t   |   t p m _ t i s _ c o r e   | |   d m _ m i r r o r   |   i p t a b l e _ r a w   |   p c m c i a _ c o r e   |   t t m   | |   d m _ m o d   |   i p _ t a b l e s   |   p c s p k r   |   u h c i _ h c d   | |   d m _ r e g i o n _ h a s h   |   i p t a b l e _ s e c u r i t y   |   p p d e v   |   u s b c o r e   | |   d r m   |   i p t _ R E J E C T   |   p r i n t k   |   u s b h i d   | |   d r m _ k m s _ h e l p e r   |   i p v 6   |   p r o c e s s o r   |   u v _ n m i   | |   d r m _ p a n e l _ o r i e n t a t i o n _ q u i r k s   j o y d e v   |   p s m o u s e   |   v m d   | |   d y n a m i c _ d e b u g   |   k d b _ m a i n   |   p s t o r e   |   v m w _ b a l l o o n   | |   e 1 0 0 0   |   k e r n e l   |   r c u p d a t e   |   v m w g f x   | |   e b t a b l e _ b r o u t e   |   k e y b o a r d   |   r c u t r e e   |   v m w _ v m c i   | |   e b t a b l e _ f i l t e r   |   k g d b o c   |   r n g _ c o r e   |   v t   | |   e b t a b l e _ n a t   |   k g d b t s   |   s c s i _ d h _ a l u a   |   w a t c h d o g   | |   e b t a b l e s   |   l i b a t a   |   s c s i _ d h _ r d a c   |   w o r k q u e u e   | |   e d a c _ c o r e   |   l i b c r c 3 2 c   |   s c s i _ m o d   |   x f s   | |   e f i _ p s t o r e   |   l i b n v d i m m   |   s c s i _ t r a n s p o r t _ s p i   x h c i _ h c d   | |   e f i v a r s   |   l l c   |   s d _ m o d   |   x t _ c o n n t r a c k   | |   e h c i _ h c d   |   l r w   |   s e r i o _ r a w   |   x z _ d e c   | |   f b _ s y s _ f o p s   |   m d _ m o d   |   s g   |   z s w a p   | |   f i r m w a r e _ c l a s s   |   m o d u l e   |   s h p c h p   | （ （ 8 ） 内 核 模 块 ） 内 核 模 块 分 析 方 法 ： 1 . 白 名 单 过 滤 ， 查 找 异 常 的 内 核 模 块 。 2 . 相 同 类 型 统 计 分 析 ， 发 现 被 植 入 的 未 知 的 内 核 模 块 3 . 不 断 的 根 据 业 务 扩 充 白 名 单 排 查 系 统 常 见 白 名 单
（ （ 9 ） 运 行 进 程 ） 运 行 进 程 分 析 方 法 ： 1 . 根 据 白 名 单 过 滤 发 现 父 进 程 为 1 的 异 常 进 程 。 2 . 根 据 c p u 使 用 率 发 现 挖 矿 进 程 。 3 . 根 据 进 程 运 行 时 间 来 发 现 异 常 进 程 。 4 . 查 找 无 父 进 程 的 孤 立 进 程 5 . 通 过 对 比 两 种 方 式 获 取 的 进 程 数 是 否 相 等 来 判 断 是 否 有 正 在 运 行 的 进 程 被 隐 藏 6 . 通 过 r o o t k i t 分 析 工 具 ， 如 c h k p r o c ， c h k r o o t k i t ， r o o t k i t   h u n t e r 案 例 ： 隐 藏 进 程 参 考 链 接 （ a ） 强 行 将 进 程   p i d   变 为   0 ， 这 种 方 法 存 在 破 绽 因 此 不 予 考 虑 。 （ b ） 系 统 启 动 时 会 依 据   / e t c / f s t a b   文 件 内 容 来 挂 载 分 区 ， 在   p r o c   分 区 挂 载 参 数 中 加 入   h i d e p i d = 2   参 数 后 ， 登 陆 系 统 的 用 户 只 能 查 看 到 当 前 用 户 启 动 的 进 程 的 信 息 。 也 就 是 说 ，   t o m c a t   用 户 只 能 看 到 属 于   t o m c a t   用 户 进 程 的 信 息 。 （ c ） p s 命 令 和 t o p 命 令 从 / p r o c 文 件 系 统 中 读 取 进 程 信 息 并 显 示 出 来 。 因 此 ， 如 果 一 个 进 程 的 进 程 号 没 有 在 / p r o c 文 件 系 统 中 反 映 出 来 ， 则 这 个 进 程 被 “ 隐 藏 ” 了 ， “ 隐 藏 ” 进 程 在 p s 或 t o p 命 令 的 输 出 不 出 现 （ （ 1 0 ） 网 络 连 接 信 息 ） 网 络 连 接 信 息 分 析 方 法 ： 1 . 发 现 异 常 监 听 端 口 进 程 ， 异 常 的 连 接 通 信 。 2 . 与 后 面 的 l s o f 输 出 结 果 做 对 比 来 发 现 异 常 端 口 和 连 接 ( 命 令 替 换 或 者 r o o t k i t 过 滤 不 完 全 ) 。 3 . 同 类 数 据 中 聚 合 统 计 ， 如 ： p n a m e , d s t _ i p , d s t _ p o r t , s r c _ p o r t 发 现 其 恶 意 控 制 范 围 （ （ 1 1 ） ） n e t s t a t 输 出 输 出 s o c k e t s 信 息 信 息 分 析 方 法 ： 1 . 通 过 白 名 单 过 滤 来 发 现 具 有 s o c k e t 连 接 的 进 程 信 息 （ （ 1 2 ） ） l s o f 获 取 网 络 连 接 信 息 获 取 网 络 连 接 信 息 分 析 方 法 ： 1 . 与 上 面 n e t s t a t 获 取 的 数 据 进 行 对 比 分 析 发 现 异 常 端 口 和 连 接 p s ： l s m o d   | . / b u s y b o x   g r e p   - E v " M o d u l e | n f n e t l i n k _ q u e u e | n f n e t l i n k _ l o g | n f n e t l i n k | b l u e t o o t h | r f k i l l | f u s e | x t _ C H E C K S U M | i p t _ M A S Q U E R A D E | n f _ n a t _ m a s q u e r a d e _ i p v 4 | t u n | b i n f m t _ m i s c | i p 6 t _ r p f i l t e r | i p 6 t _ R E J E C T | i p t _ R E J E C T | x t _ c o n n t r a c k | e b t a b l e _ n a t | e b t a b l e _ b r o u t e | b r i d g e | s t p | l l c | e b t a b l e _ f i l t e r | e b t a b l e s | i p 6 t a b l e _ n a t | n f _ c o n n t r a c k _ i p v 6 | n f _ d e f r a g _ i p v 6 | n f _ n a t _ i p v 6 | i p 6 t a b l e _ m a n g l e | i p 6 t a b l e _ s e c u r i t y | i p 6 t a b l e _ r a w | i p 6 t a b l e _ f i l t e r | i p 6 _ t a b l e s | i p t a b l e _ n a t | n f _ c o n n t r a c k _ i p v 4 | n f _ d e f r a g _ i p v 4 | n f _ n a t _ i p v 4 | n f _ n a t | n f _ c o n n t r a c k | i p t a b l e _ m a n g l e | i p t a b l e _ s e c u r i t y | i p t a b l e _ r a w | i p t a b l e _ f i l t e r | d m _ m i r r o r | d m _ r e g i o n _ h a s h | d m _ l o g | d m _ m o d | i n t e l _ p o w e r c l a m p | c o r e t e m p | k v m _ i n t e l | k v m | c r c 3 2 _ p c l m u l | g h a s h _ c l m u l n i _ i n t e l | a e s n i _ i n t e l | l r w | g f 1 2 8 m u l | g l u e _ h e l p e r | a b l k _ h e l p e r | c r y p t d | i T C O _ w d t | i 7 c o r e _ e d a c | i T C O _ v e n d o r _ s u p p o r t | l p c _ i c h | e d a c _ c o r e | s g | m f d _ c o r e | i o a t d m a | i p m i _ d e v i n t f | s h p c h p | i p m i _ s s i f | d c d b a s | p c s p k r | d c a | i p m i _ s i | i p m i _ m s g h a n d l e r | a c p i _ p o w e r _ m e t e r | n f s d | a u t h _ r p c g s s | n f s _ a c l | l o c k d | g r a c e | s u n r p c | i p _ t a b l e s | x f s | l i b c r c 3 2 c | s d _ m o d | c r c _ t 1 0 d i f | c r c t 1 0 d i f _ g e n e r i c | m g a g 2 0 0 | s y s c o p y a r e a | s y s f i l l r e c t | s y s i m g b l t | i 2 c _ a l g o _ b i t | d r m _ k m s _ h e l p e r | t t m | c r c t 1 0 d i f _ p c l m u l | c r c t 1 0 d i f _ c o m m o n | c r c 3 2 c _ i n t e l | d r m | s e r i o _ r a w | m e g a r a i d _ s a s | i 2 c _ c o r e | b n x 2 | s n d _ s e q _ m i d i | s n d _ e n s 1 3 7 1 | s n d _ r a w m i d i | s n d _ a c 9 7 _ c o d e c | a c 9 7 _ b u s | s n d _ s e q | p p d e v | s o u n d c o r e | v m w _ b a l l o o n | p a r p o r t _ p c | p a r p o r t | v m w _ v m c i | i 2 c _ p i i x 4 | s r _ m o d | a t a _ g e n e r i c | p a t a _ a c p i | v m w g f x | a h c i | l i b a h c i | a t a _ p i i x | m p t s p i | s c s i _ t r a n s p o r t _ s p i | m p t s c s i h | m p t b a s e | l i b a t a | e 1 0 0 0 | s n d _ p a g e _ a l l o c | x t _ s t a t e | v m w a r e _ b a l l o o n | e x t 4 | m b c a c h e | j b d 2 " p s   a u x f w w n e t s t a t   - a n t u p n e t s t a t   - p l a n t u x l s o f   - n P i   |   g r e p   - v " 1 2 7 . 0 . 0 . 1 "   | g r e p   - v   " : : 1 "
1 . n e t s t a t 无 权 限 控 制 ， l s o f 有 权 限 控 制 ， 只 能 看 到 本 用 户 2 . l o s f 能 看 到 p i d 和 用 户 ， 可 以 找 到 哪 个 进 程 占 用 了 这 个 端 口 （ （ 1 3 ） 进 程 文 件 ） 进 程 文 件 分 析 方 法 ： 1 . 通 过 白 名 单 过 滤 来 发 现 异 常 进 程 。 2 . 发 现 已 处 于 d e l e t e d 状 态 的 异 常 进 程 （ （ 1 4 ） 进 程 文 件 ） 进 程 文 件 M D 5 计 算 计 算 分 析 方 法 ： 1 . 根 据 版 本 ， 和 已 知 M D 5 值 作 对 比 判 断 文 件 是 否 被 替 换 。 2 . M d 5 可 以 d i f f 原 始 文 件 或 者 通 过   V T 跑 一 跑 ， 分 析 有 没 有 已 知 恶 意 程 序 （ （ 1 5 ） 具 有 ） 具 有 S U I D 的 可 执 行 文 件 的 可 执 行 文 件 分 析 方 法 ： 通 过 白 名 单 顾 虑 发 现 可 疑 的 就 有 s u i d 权 限 的 文 件 已 知 可 以 用 来 提 权 的 l i n u x 可 执 行 文 件 有 ： N m a p 、 v i m 、 f i n d 、 b a s h 、 m o r e 、 l e s s 、 n a n o 、 c p 默 认 具 有 S U I D 的 可 执 行 文 件 如 下 ： （ （ 1 6 ） 进 程 中 被 删 除 的 文 件 ） 进 程 中 被 删 除 的 文 件 f i n d   / p r o c   - p a t h   ' / p r o c / s y s / f s ' - p r u n e   - o   - p r i n t   | x a r g s     l s   - a l   |   g r e p ' e x e   - > '   |   s o r t   - u   > t m p . t x t f i n d   / p r o c   - p a t h   ' / p r o c / s y s / f s ' - p r u n e   - o   - p r i n t   | x a r g s   l s   - a l   |   g r e p   " e x e   - > "   | a w k   ' { p r i n t $ 1 1 } ' | s o r t   - u   > >   t m p . t x t f o r   f i l e   i n   $ (   c a t   t m p . t x t ) d o     f = $ (   l s   - t l   $ f i l e | a w k   ' { p r i n t $ 5 } ' )     i f   [   $ f   - l e   5 0 0 0 0 0 0 0   ] ;   t h e n       m d 5 s u m   $ f i l e   > >   e x e . h a s h     f i d o n e d i f f   e x e . h a s h   e x e 1 . h a s h f i n d   /   - u s e r   r o o t   - p e r m   - 4 0 0 0   - p r i n t 2 > / d e v / n u l l
分 析 方 法 ： 1 . 通 过 已 删 除 的 文 件 名 判 断 是 否 为 恶 意 的 进 程 或 者 是 被 注 入 的 恶 意 文 件 。 （ （ 1 7 ） ） r o o t k i t 检 测 （ 难 点 ） 检 测 （ 难 点 ） 分 析 方 法 ： 通 过 判 断   / s y s / m o d u l e / r k m o d   文 件 夹 是 否 存 在 来 判 断 是 否 感 染 已 知 的 r k m o d 三 ： 日 志 异 常 检 测 三 ： 日 志 异 常 检 测 日 志 对 于 安 全 来 说 ， 非 常 重 要 ， 他 记 录 了 系 统 每 天 发 生 的 各 种 各 样 的 事 情 ， 你 可 以 通 过 它 来 检 查 错 误 发 生 的 原 因 ， 或 者 受 到 攻 击 时 攻 击 者 留 下 的 痕 迹 。 日 志 主 要 的 功 能 有 ： 审 计 和 监 测 。 他 还 可 以 实 时 的 监 测 系 统 状 态 ， 监 测 和 追 踪 侵 入 者 等 等 。 在 l i n u x 系 统 中 ， 有 三 个 主 要 的 日 志 子 系 统 ： 连 接 时 间 日 志 — 由 多 个 程 序 执 行 ， 把 纪 录 写 入 到 / v a r / l o g / w t m p 和 / v a r / r u n / u t m p ， l o g i n 等 程 序 更 新 w t m p 和   u t m p 文 件 ， 为 了 能 够 跟 踪 谁 在 何 时 登 录 到 系 统 ； 进 程 统 计 — 由 系 统 内 核 执 行 ， 当 一 个 进 程 终 止 时 ， 为 每 个 进 程 往 进 程 统 计 文 件 （ p a c c t 或 a c c t ） 中 写 一 个 纪 录 ， 进 程 统 计 为 系 统 中 的 基 本 服 务 提 供 命 令 使 用 统 计 ； 错 误 日 志 — 由 s y s l o g d 执 行 ， 用 户 程 序 和 内 核 通 过 s y s l o g 向 文 件 / v a r / l o g / m e s s a g e s 报 告 值 得 注 意 的 事 件 对 日 志 的 理 解 ： 1 . 我 能 从 何 处 得 到 等 多 的 信 息 ； 2 . 怎 样 才 能 确 定 以 上 日 志 所 描 述 内 容 的 真 实 性 3 . 日 志 显 示 的 内 容 会 有 什 么 影 响 4 . 接 下 来 会 发 什 么 ， 后 面 应 该 再 关 注 那 些 其 他 事 件 的 发 生 5 . 我 应 该 怎 么 做 ， 该 有 怎 样 的 紧 急 防 御 措 施 和 应 对 方 案 日 志 关 注 的 内 容 ： 1 . 系 统 状 态 信 息 — — 可 能 影 响 系 统 的 故 障 2 . 攻 击 的 尝 试 何 刺 探 — — 成 功 的 攻 击 3 . 系 统 接 近 某 些 参 数 的 高 值 — — 系 统 容 量 将 要 用 尽 或 者 达 到 某 个 最 高 值 造 成 的 原 因 4 . 系 统 变 更 — — 可 能 导 致 安 全 和 可 用 性 问 题 的 系 统 变 更 5 . 成 功 的 登 录 — — 失 败 的 登 录 6 . 例 行 和 自 动 化 配 置 变 更 — — 安 全 相 关 配 置 变 更 7 . 连 接 建 立 / 终 止 — — 检 测 未 授 权 连 接 l s o f   |   g r e p   D E L i f   [   - d   " / s y s / m o d u l e / r k m o d "   ] ; t h e n           e c h o   - e   " / s y s / m o d u l e / r k m o d     r o o t k i t   k e r n e l   m o d   e x i s t n " > >   $ r o o t k i t _ f i l e       s t a t   / s y s / m o d u l e / r k m o d   > >   $   $ r o o t k i t _ f i l e f i
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理