搜索

[16572] 2021-03-19_记一次“本以为简简单单但发现有一丁点复杂”的安全分析事件

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2021-03-19_记一次“本以为简简单单但发现有一丁点复杂”的安全分析事件 记 一 次 “ 本 以 为 简 简 单 单 但 发 现 有 一 丁 点 复 杂 ” 的 安 全 分 析 事 件 r e t u r n 0   F r e e B u f   2 0 2 1 - 0 3 - 1 9 在 我 们 使 用 态 势 感 知 等 安 全 设 备 从 事 安 全 分 析 工 作 时 间 较 长 后 总 会 产 生 思 维 惯 性 ， 从 而 会 忘 记 了 如 何 人 工 进 行 安 全 分 析 。 有 时 给 到 客 户 的 建 议 却 解 决 不 了 实 际 问 题 ， 所 以 如 何 结 合 人 工 分 析 并 掌 握 从 而 达 成 一 次 较 为 高 效 并 且 能 解 决 实 际 问 题 的 技 能 就 显 得 尤 为 重 要 。 情 况 简 介 情 况 简 介 2 0 2 1 年 某 日 某 时 ， 正 吃 完 午 饭 的 我 ， 揉 着 眼 睛 打 开 态 势 感 知 平 台 准 备 日 常 划 水 ， 突 然 一 个 告 警 引 起 了 我 的 注 意 ， 于 是 我 “ 啪 ” 的 一 下 ， 很 快 啊 ， 赶 紧 把 相 关 告 警 进 行 溯 源 排 查 ， 一 个 小 时 后 就 生 成 了 一 份 像 模 像 样 的 安 全 分 析 告 警 溯 源 报 告 ， 立 即 联 系 相 关 单 位 做 下 发 ， 同 样 的 在 我 正 慢 慢 悠 悠 吃 晚 饭 的 时 候 ， 突 然 被 拉 进 了 一 个 微 信 群 ， 主 机 管 理 员 告 诉 我 病 毒 查 杀 不 出 来 需 要 我 的 协 助 ， 我 就 纳 闷 了 ， 杀 个 毒 有 那 么 难 吗 ？ 还 得 我 亲 自 出 马 ， 后 来 我 才 发 现 事 情 没 有 我 想 象 的 那 么 简 单 … … 安 全 分 析 安 全 分 析 1 .   2 0 2 1 年 某 月 某 日 下 午 ， 态 势 感 知 平 台 告 警 情 况 如 下 ， 某 单 位 主 机 疑 似 感 染 L i f e C a l e n d a r W o r m 挖 矿 蠕 虫 2 .   进 行 溯 源 分 析 发 现 源 I P ： 1 0 . x . x . x 每 隔 1 0 分 钟 连 接 一 次 恶 意 域 名 ， 恶 意 域 名 已 在 微 步 威 胁 情 报 库 进 行 查 询 威 胁 有 效 ， 以 下 为 举 个 “ 栗 子 ” ： 3 .   分 析 完 毕 基 本 确 认 该 主 机 感 染 挖 矿 病 毒 ， 迅 速 出 具 安 全 事 件 溯 源 报 告 ， 下 发 给 对 应 单 位 做 处 置 操 作 安 全 建 议 如 下 ：
人 工 分 析 人 工 分 析 当 我 在 下 发 完 分 析 报 告 后 高 枕 无 忧 的 吃 晚 饭 的 时 候 ， 此 时 突 然 “ 啪 ” 的 一 下 ， 很 快 奥 ， 我 没 有 闪 ， 被 拉 到 了 一 个 微 信 群 ， 里 面 负 责 该 主 机 的 工 程 师 说 病 毒 查 杀 不 出 来 。 我 ： 杀 的 出 来 。 他 ： 杀 不 出 来 。 我 ： 杀 的 出 来 。 他 ： 杀 不 出 来 。 我 ： 你 换 个 杀 毒 软 件 ， 企 业 版 的 用 起 来 他 ： 换 了 三 个 了 我 ： . … … 此 时 ， 我 心 中 一 万 匹 草 泥 马 飞 奔 而 过 ， 你 这 是 在 质 疑 我 这 练 习 时 长 两 年 半 的 老 师 傅 ， 我 现 在 就 实 地 给 你 表 演 一 个 ， “ 鸡 你 太 … . ” 不 ， 上 机 杀 毒 从 入 门 到 精 通 1 .   排 查 c p u 及 内 存 运 行 情 况 ， c p u 及 内 存 运 行 正 常 ， 未 发 现 进 程 大 量 占 用 c p u 运 行 ：
2 .   内 存 使 用 情 况 正 常 3 .   n e t s t a t   - a n o 查 看 本 机 对 外 连 接 情 况 ， 未 发 现 连 接 恶 意 i p 情 况 ：
4 .   排 查 用 户 情 况 在 w i n + r 中 输 入 m s c 发 现 该 机 器 为 域 控 制 器
5 .   使 用 n e t   u s e r 排 查 用 户 情 况 ， 发 现 多 个 用 户 ， 该 机 器 为 域 控 制 器 ， 属 于 正 常 现 象 6 .   排 查 计 划 任 务 情 况 ， 跟 管 理 员 进 行 确 认 未 发 现 异 常 计 划 任 务 7 .   在 任 务 管 理 器 网 络 连 接 进 行 查 看 发 现 d n s . e x e 进 程 中 存 在 态 势 感 知 平 台 报 送 I P
初 步 分 析 结 论 ： 初 步 分 析 结 论 ： 并 非 该 主 机 感 染 病 毒 木 马 ， 该 主 机 疑 似 为 域 控 服 务 器 包 含 并 非 该 主 机 感 染 病 毒 木 马 ， 该 主 机 疑 似 为 域 控 服 务 器 包 含 d n s 服 务 ， 存 在 其 他 域 内 子 主 机 通 过 该 主 机 进 行 服 务 ， 存 在 其 他 域 内 子 主 机 通 过 该 主 机 进 行 d n s 解 解 析 ， 所 以 造 成 了 态 势 感 知 平 台 告 警 源 析 ， 所 以 造 成 了 态 势 感 知 平 台 告 警 源 i p 为 该 主 机 ， 实 际 情 况 为 域 内 子 主 机 感 染 病 毒 。 为 该 主 机 ， 实 际 情 况 为 域 内 子 主 机 感 染 病 毒 。 追 查 受 害 者 追 查 受 害 者 大 意 了 啊 ， 告 警 平 台 他 欺 负 我 这 2 2 岁 老 同 志 ， 原 来 由 于 探 针 部 署 位 置 在 核 心 交 换 机 ， 导 致 未 追 踪 到 真 实 受 害 者 机 器 ， 没 事 ， 反 正 排 查 出 来 就 让 他 们 去 给 下 面 的 机 器 做 杀 毒 吧 ， 但 这 时 客 户 又 要 求 追 查 出 真 实 中 毒 机 器 ， 哎 呀 ， 难 道 我 的 闪 用 完 了 吗 ， 顿 时 恶 向 胆 边 生 ， 手 里 不 由 点 开 了 w o r d 打 上 了 五 个 大 字 ， 辞 职 申 请 书 。 但 一 想 到 那 还 在 远 方 等 着 我 发 工 资 带 她 吃 饭 嗷 嗷 待 哺 的 女 朋 友 ， 不 由 的 退 缩 了 ， “ 打 工 人 ， 打 工 魂 ， 打 工 人 都 是 人 上 人 ， 干 就 完 了 。 奥 利 给 ” ！ ！ ！ 1 . 抓 包 神 器 w i r e s h a r k ： 要 想 分 析 网 络 会 话 肯 定 得 使 用 w i r e s h a r k 在 该 主 机 进 行 安 装 ， 此 时 ， 出 乎 意 料 的 事 情 发 生 了 ， w i n p c a p 安 装 到 一 半 机 器 卡 住 了 ， 完 全 不 能 动 了 ， 这 是 业 务 主 机 啊 ， 旁 边 工 程 师 看 到 了 。 旁 边 工 程 师 ： “ 说 哎 呀 G 工 啊 ， 准 备 下 岗 吧 ” 我 ： “ … … ” 2 .   联 系 主 机 管 理 员 进 行 重 启 ， 还 好 没 啥 事 3 .   下 载 便 携 版 w i r e s h a r k ， 根 据 病 毒 外 连 域 名 时 间 规 律 进 行 抓 包 ， 抓 到 真 实 受 害 主 机 4 .   告 知 主 机 管 理 员 受 害 者 I P 进 行 杀 毒 ， 事 件 解 决 ！ ！ ！ 总 结 总 结 这 年 分 析 工 作 太 依 赖 于 安 全 设 备 告 警 ， 忽 略 了 老 手 艺 ， 之 后 多 上 机 处 置 ， 把 w i r e s h a r k 再 玩 的 6 一 些 ， 此 次 处 置 过 程 中
发 现 了 很 多 新 亮 点 ， 新 技 能 。 还 好 有 万 能 的 百 度 ， 之 后 多 做 一 些 人 工 分 析 工 作 ， 找 找 感 觉 ， 还 有 业 务 机 器 如 果 是 虚 拟 机 最 好 让 管 理 员 在 我 们 上 手 前 做 快 照 ， 物 理 主 机 则 让 他 们 安 装 相 应 的 软 件 ， 切 莫 自 行 上 手 ！ 精 精 彩 彩 推 推 荐 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理