搜索

[14174] 2019-05-31_应急响应处置流程Windows篇

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-05-31_应急响应处置流程Windows篇 应 急 响 应 处 置 流 程 W i n d o w s 篇 P i n k W o l f   F r e e B u f   2 0 1 9 - 0 5 - 3 1 文 档 在 自 己 的 文 件 夹 静 静 的 躺 了 快 半 年 了 ， 好 吧 ， 先 把 应 急 响 应 流 程 步 骤 （ 乙 方 视 角 ） 和 文 档 在 自 己 的 文 件 夹 静 静 的 躺 了 快 半 年 了 ， 好 吧 ， 先 把 应 急 响 应 流 程 步 骤 （ 乙 方 视 角 ） 和 w i n d o w s 拆 出 来 ， 在 拆 出 来 ， 在 进 行 应 急 响 应 事 件 处 置 时 需 严 格 遵 守 公 司 的 应 急 响 应 制 度 。 进 行 应 急 响 应 事 件 处 置 时 需 严 格 遵 守 公 司 的 应 急 响 应 制 度 。 一 、 一 、 服 务 流 程 服 务 流 程 沟 通 确 认 安 全 事 件 沟 通 确 认 安 全 事 件 在 与 客 户 第 一 次 沟 通 时 ， 应 及 时 提 醒 客 户 对 受 害 机 器 及 时 进 行 断 网 隔 离 操 作 。 已 知 的 安 全 事 件 包 括 但 不 限 于 如 下 ： 1 .   恶 意 代 码 威 胁 ， 即 僵 尸 网 络 、 恶 意 木 马 、 蠕 虫 病 毒 、 勒 索 病 毒 等 恶 意 代 码 导 致 的 安 全 事 件 2 .   高 级 持 续 性 威 胁 ( A P T ) 攻 击 事 件 ， 即 具 有 潜 伏 性 、 隐 蔽 性 、 目 的 性 、 持 续 性 等 特 点 的 安 全 事 件 3 .   非 法 入 侵 事 件 ， 包 括 但 不 限 于 业 务 系 统 受 到 入 侵 致 使 数 据 泄 露 、 丢 失 等 ； 外 网 网 站 被 入 侵 ， 导 致 网 站 被 恶 意 篡 改 植 入 暗 链 或 出 现 其 他 非 法 的 宣 传 标 语 ； 服 务 器 被 入 侵 导 致 受 到 勒 索 攻 击 等 安 全 事 件 4 .   漏 洞 事 件 ， 即 0 d a y 公 布 ； 在 野 漏 洞 发 现 ； 已 知 漏 洞 被 发 现 受 到 通 报 等 安 全 事 件 5 .   数 据 泄 露 事 件 ， 即 重 要 数 据 因 受 到 了 入 侵 导 致 的 泄 露 ； 应 用 配 置 不 当 导 致 的 泄 露 ； 员 工 误 操 作 导 致 的 泄 露 ； 内 鬼 泄 露 等 安 全 事 件 6 .   分 布 式 拒 绝 服 务 攻 击 （ D D O S ） 事 件 ， 即 网 站 受 到 了 各 类 D O S 攻 击 ， 包 括 但 不 限 于 C C 攻 击 、 洪 水 攻 击 、 流 量 放 大 攻 击 等 安 全 事 件 7 .   流 量 劫 持 ， D N S 劫 持 、 H T T P 劫 持 8 .   其 他 归 于 网 络 安 全 的 事 件 注 意 事 项 ： 一 定 要 亲 自 确 认 ， 切 不 可 盲 目 相 信 他 人 所 述 。 确 认 后 ， 应 尽 量 收 集 与 本 次 安 全 事 件 相 关 的 信 息 ， 例 如 什 麽 时 候 发 现 的 攻 击 ， 之 前 有 无 出 现 过 安 全 事 件 等 。 在 确 认 安 全 事 件 后 明 确 应 急 目 的 ： 1 .   病 毒 、 后 门 清 除 工 作 2 .   协 助 业 务 系 统 安 全 的 恢 复 上 线 3 .   攻 击 溯 源 工 作 。 （ 仅 溯 源 至 攻 击 者 的 攻 击 切 入 点 ） 现 场 保 护 现 场 保 护 在 与 客 户 沟 通 时 ， 应 提 醒 客 户 注 意 保 护 现 场 ， 千 万 不 要 直 接 重 装 系 统 ， 以 方 便 后 续 的 溯 源 工 作 及 可 能 存 在 的 电 子 取 证 工 作 。 在 处 置 受 害 机 器 时 ， 应 尽 量 保 持 受 害 机 器 的 原 样 ， 如 虚 拟 机 处 置 时 ， 可 以 让 客 户 进 行 快 照 存 储 。 了 解 客 户 网 络 状 况 了 解 客 户 网 络 状 况
对 客 户 的 网 络 拓 扑 应 尽 早 进 行 了 解 ， 特 别 是 网 络 的 进 出 口 、 负 载 均 衡 、 防 火 墙 、 D N S 服 务 器 。 确 定 事 件 影 响 确 定 事 件 影 响 * * 确 定 工 作 方 向 确 定 工 作 方 向 * *   确 立 工 作 目 标 确 立 工 作 目 标 明 确 现 场 工 作 任 务 归 属 明 确 现 场 工 作 任 务 归 属 无 论 现 场 的 环 境 ， 主 导 本 次 安 全 事 件 ， 合 理 分 配 现 场 工 作 为 应 急 人 员 的 必 备 技 能 。 对 现 场 的 可 能 存 在 的 工 作 应 具 备 清 晰 的 认 知 。 通 常 会 存 在 以 下 工 作 内 容 ： 病 毒 分 析 处 置 、 业 务 恢 复 、 安 全 加 固 、 溯 源 分 析 、 临 时 需 求 处 置 、 产 品 对 接 与 使 用 、 应 急 指 挥 与 协 调 。 二 、 二 、 技 术 部 分 技 术 部 分 1 .   系 统 系 统 1 . 1   W i n d o w s 1 . 1 . 1   熟 悉 现 场 环 境 对 受 害 机 器 进 行 了 解 ， 分 析 可 能 存 在 的 共 同 弱 点 ， 进 而 提 供 溯 源 思 路 。 如 ： 是 否 存 在 弱 口 令 （ 例 如 3 3 8 9 、 F T P 、 中 间 件 、 数 据 库 ） 是 否 存 在 对 外 映 射 的 端 口 ， 或 W E B 应 用 等 1 . 1 . 2   账 号 安 全 风 险 分 析 查 看 当 前 已 登 录 的 账 号 q u e r y   u s e r 使 用 l o g o f f   I D   命 令 注 销 已 登 录 用 户 ， 当 可 疑 账 号 处 于 登 录 状 态 时 ， 也 可 以 使 用 m i m i k a t z 抓 取 密 码 。 查 看 用 户 目 录   是 否 存 在 新 建 用 户 目 录 查 看 对 应 用 户 的 d e s k t o p 与 d o w n l o a d 目 录 下 是 否 存 在 异 常 文 件 ： C : D o c u m e n t s   a n d   S e t t i n g s C : U s e r s
查 看 是 否 存 在 可 疑 账 号 、 新 增 账 号 （ 注 意 G u e s t 用 户 是 否 开 启 ） 。 W i n + R 输 入 l u s r m g r . m s c   n e t   u s e r   u s e r n a m e 查 看 详 细 ： 查 看 是 否 存 在 隐 藏 账 号 、 克 隆 账 号 。 运 行   —   r e g e d i t . e x e 查 看 注 册 表 ：
或 使 用 工 具 P C   h u n t e r 与 D 盾 进 行 排 查 。 建 立 隐 藏 用 户 参 考 链 接 ： h t t p s : / / w w w . c n b l o g s . c o m / l u n a c h y / p / 4 6 0 2 2 2 8 . h t m l 1 . 1 . 3   日 志 风 险 分 析 W i n + R   输 入   e v e n t v w r . m s c 打 开 事 件 查 看 器 ， 注 意 日 志 事 件 是 否 存 在 缺 失 现 象 （ 日 志 出 现 断 点 或 发 现 存 在 清 除 痕 迹 ） 。 日 志 事 件 查 看 器 本 身 支 持 筛 选 功 能 。 也 可 以 导 出 为 C S V   或 者 T X T 使 用 E x c e l 或 者 N o t e p a d 进 行 分 析 使 用 微 软 L o g   P a r s e r 进 行 分 析 （ L o g   P a r s e r U I 封 装 了 语 句 g u i 界 面 ） 运 行   —   % U s e r P r o f i l e % R e c e n t ， 分 析 最 近 打 开 可 疑 文 件 ， 或 根 据 最 近 修 改 时 间 进 行 排 查 查 看 U 盘 使 用 痕 迹 ， 对 比 各 时 间 点 ， 排 查 可 疑 使 用 记 录 * 注 意 采 集 日 志 时 ， 应 注 意 日 志 是 否 存 在 时 间 断 点 、 或 部 分 日 志 丢 失 情 况 1 . 1 . 4   病 毒 风 险 排 查 使 用 3 6 0 杀 毒 离 线 版 ， 并 下 载 最 新 病 毒 库 下 载 地 址 ： h t t p : / / s d . 3 6 0 . c n / d o w n l o a d _ c e n t e r . h t m l 使 用 其 他 杀 软 ， 并 注 意 客 户 现 场 是 否 存 在 友 商 产 品 。 1 . 1 . 5   异 常 风 险 分 析 1 . 1 . 5 . 1 端 口 状 态 c m d 命 令 n e t s t a t   - a n o n e t s t a t   - a n o   |   f i n d s t r   “ p o r t ” 查 看 端 口 对 应 的 活 动 连 接
t a s k l i t   |   f i n d s t r   “ P I D ”   查 看 相 应 P I D 的 进 程 T C P 端 口 状 态 说 明 h t t p s : / / w w w . c n b l o g s . c o m / j e s s e z e n g / p / 5 6 1 7 1 0 5 . h t m l 工 具 使 用 工 具 使 用 P C   H u n t e r 、 D 盾 1 . 1 . 5 . 2 进 程
运 行   —   m s i n f o 3 2   — 软 件 环 境 — 正 在 运 行 任 务 ， 查 看 详 细 运 行   —   t a s k m g r   任 务 管 理 器 进 行 查 看 ， 可 由 进 程 打 开 相 应 文 件 位 置 ， 及 相 应 服 务 。 排 查 可 疑 进 程 及 子 进 程 （ 多 涉 及 感 染 型 病 毒 ） 观 察 内 容 包 括 ： 没 有 签 名 验 证 信 息 的 进 程 没 有 描 述 信 息 的 进 程 属 主 异 常 的 进 程 路 径 不 合 法 的 进 程 C P U 或 内 存 资 源   长 时 间 或 过 高 占 用 的 进 程 存 在 异 常 活 动 连 接 的 进 程 工 具 使 用 ： 工 具 使 用 ： P C   H u n t e r 、 D 盾 、 P r o c e s s   E x p l o r e r 、 P r o c e s s   H a c k e r 、 A u t o r u n s 1 . 1 . 5 . 3 启 动 项 注 意 当 前 系 统 时 间 是 否 有 问 题 ， 病 毒 可 能 存 在 篡 改 系 统 时 间 ， 或 利 用 系 统 时 间 异 常 的 可 能 性 。 单 击 — 开 始 — 所 有 程 序 — 启 动 输 入 命 令 查 看 启 动 项 w m i c   s t a r t u p   l i s t   f u l l 。
运 行   —   输 入 m s c o n f i g 查 看 是 否 存 在 可 疑 的 启 动 项 目 ： 打 开 注 册 表 ， 查 看 是 否 存 在 可 疑 开 机 启 动 项 ， 特 别 注 意 如 下 三 个 注 册 表 项 ： H K E Y _ C U R R E N T _ U S E R s o f t w a r e m i c o r s o f t w i n d o w s c u r r e n t v e r s i o n r u n H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n o n c e 运 行   —   g p e d i t . m s c 组 策 略 中 查 看 启 动 工 具 使 用 工 具 使 用 : A u t o r u n s 、 P C   H u n t e r 、 3 6 0 安 全 卫 士 1 . 1 . 5 . 4 计 划 任 务 控 制 面 板   —   管 理 工 具   —   任 务 计 划 程 序 或 运 行   —   t a s k s c h d . m s c 通 过 命 令 查 看 计 划 任 务 s c h t a s k s   / q u e r y   / f o   t a b l e   / v
或 者 注 册 表 下 手 动 排 查 （ 其 使 用 了 X M L 格 式 ， 若 出 现 特 殊 字 符 ， 可 导 致 打 开 报 错 ） 。 运 行   —   管 理 员 运 行 c m d   —   a t   检 查 计 算 机 与 网 络 上 其 他 计 算 机 之 间 的 会 话 或 者 计 划 任 务 ， 如 有 确 认 是 否 为 正 常 连 接 。 1 . 1 . 5 . 5 系 统 服 务 运 行   —   s e r v i c e s . m s c   注 意 服 务 状 态 和 启 动 类 型 ， 检 查 是 否 存 在 可 疑 服 务 。 运 行   —   t a s k m g r   任 务 管 理 器 内 查 看 服 务 工 具 使 用 ： 工 具 使 用 ： P C   H u n t e r 1 . 1 . 6   系 统 风 险 分 析 1 . 1 . 6 . 1   系 统 后 门 排 查 对 当 前 操 作 系 统 版 本 、 操 作 系 统 补 丁 、 应 用 版 本 进 行 确 认 ， 分 析 可 能 存 在 的 威 胁 因 素 。 如 “ 永 恒 之 蓝 ” 漏 洞 未 打 补 丁 ， 是 否 存 在 利 用 痕 迹 。 I I S 低 版 本 漏 洞 。 检 查 方 法 ： 运 行   —   s y s t e m i n f o 查 看 系 统 信 息 ； S h i f t 后 门 排 查 使 用 O D   分 析 C : W I N D O W S s y s t e m 3 2 d l l c a c h e s e t h c . e x e ； 对 于 一 些 w i n d o w s 常 见 的 持 久 化 痕 迹 基 本 都 很 明 显 ， 如 有 需 要 可 以 参 考 ： h t t p s : / / w w w . f r e e b u f . c o m / v u l s / 1 9 5 9 0 6 . h t m l 。 1 . 1 . 6 . 2   敏 感 目 录 排 查 可 能 存 在 问 题 的 敏 感 目 录 1 . 1 . 7   综 合 分 析 得 出 结 论 1 .   系 统 漏 洞 直 接 造 成 的 入 侵 事 件 。 如 “ 永 恒 之 蓝 ” 、 弱 口 令 H K E Y _ L O C A L _ M A C H I N E     S O F T W A R E     M i c r o s o f t     W i n d o w s   N T     C u r r e n t V e r s i o n     S c h e d u l e     T a s k C a c h e     T r e e % W I N D I R % % W I N D I R % s y s t e m 3 2 % T E M P % % L O C A L A P P D A T A % % A P P D A T A % 各 盘 下 的 t m p 缓 存 目 录 ， 例 如 C : W i n d o w s T e m p
2 .   系 统 漏 洞 间 接 造 成 的 入 侵 事 件 。 如 W e b S h e l l 后 ， 本 地 提 权 。 3 .   应 用 漏 洞 直 接 或 间 接 造 成 的 入 侵 事 件 。 如 S t r u t s   2 远 程 命 令 执 行 、 W e b L o g i c 弱 口 令 或 远 程 代 码 执 行 、 I I S P U T 上 传 漏 洞 、 F T P 弱 口 令 或 溢 出 攻 击 等 。 * 本 文 作 者 ： 本 文 作 者 ： P i n k W o l f ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理