搜索

[21175] 2020-08-03_应急响应介绍

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-08-03_应急响应介绍 应 急 响 应 介 绍 L e m o n S e c   2 0 2 0 - 0 8 - 0 3 作 为 安 全 人 员 ， 被 入 侵 后 的 应 急 响 应 是 非 常 重 要 的 一 个 环 节 ， 那 么 如 何 进 行 应 急 响 应 ， 则 是 安 全 人 员 应 该 学 习 的 地 方 。 本 文 就 将 带 领 大 家 学 习 入 侵 响 应 的 基 本 知 识 。 安 全 事 件 分 类 1 .   W e b 入 侵 : 挂 马 、 篡 改 、 W e b s h e l l 2 .   系 统 入 侵 : 系 统 异 常 、 R D P 爆 破 、 S S H 爆 破 、 主 机 漏 洞 3 .   病 毒 木 马 : 远 控 、 后 门 、 勒 索 软 件 4 .   信 息 泄 漏 : 脱 裤 、 数 据 库 登 录 （ 弱 口 令 ） 5 .   网 络 流 量 : 频 繁 发 包 、 批 量 请 求 、 D D O S 攻 击 首 先 是 对 入 侵 的 安 全 事 件 进 行 分 类 ， 确 认 安 全 事 件 属 于 哪 类 入 侵 ， 然 后 用 相 应 的 方 法 应 急 。 安 全 事 件 分 级 I   级 事 件 级 事 件   - -   特 别 重 大 突 发 事 件 特 别 重 大 突 发 事 件 1 .   网 络 大 面 积 中 断 2 .   主 要 业 务 大 规 模 瘫 痪 3 .   大 规 模 用 户 / 业 务 数 据 泄 漏 I I   级 事 件 级 事 件   - -   重 大 突 发 事 件 重 大 突 发 事 件 1 .   大 规 模 主 机 入 侵 2 .   大 规 模 业 务 数 据 损 坏 3 .   小 规 模 数 据 泄 漏 4 .   政 治 敏 感 事 件 : 官 网 挂 黑 页 I I I   级 事 件 级 事 件   - -   较 大 突 发 事 件 较 大 突 发 事 件 1 .   部 分 业 务 系 统 遭 受 入 侵 2 .   主 要 业 务 遭 受 D D O S I V   级 事 件 级 事 件   - -   一 般 突 发 事 件 一 般 突 发 事 件 1 .   部 分 业 务 系 统 宕 机 2 .   部 分 业 务 系 统 异 常 / 无 法 访 问 通 过 对 安 全 事 件 的 定 级 ， 确 认 属 于 什 么 级 别 的 事 故 ， 采 取 相 应 的 应 急 预 案 和 紧 急 程 度 的 确 认 。 安 全 响 应 执 行 流 程 1 .   事 件 发 生 （ 运 维 监 控 人 员 、 客 服 审 核 人 员 等 ） ， 发 现 问 题 的 开 始 ， 及 时 通 报 2 .   事 件 确 认 : 判 断 事 件 的 严 重 性 ， 评 估 出 问 题 的 严 重 等 级 ， 是 否 向 上 进 行 汇 报 等 3 .   事 件 响 应 : 各 部 门 通 力 合 作 ， 处 理 安 全 问 题 ， 具 体 解 决 阶 段
4 .   事 件 关 闭 : 处 理 完 事 件 之 后 ， 需 要 关 闭 事 件 ， 并 写 出 安 全 应 急 处 理 分 析 报 告 ， 完 成 整 个 应 急 过 程 被 入 侵 的 主 机 排 查 流 程 1 .   定 位 被 入 侵 的 主 机 并 且 立 即 对 该 主 机 进 行 断 网 隔 离 2 .   确 定 攻 击 类 型 3 .   确 定 被 入 侵 的 时 间 范 围 4 .   定 位 恶 意 文 件 和 入 侵 痕 迹 5 .   溯 源 入 侵 来 源 6 .   清 理 恶 意 文 件 / 修 复 漏 洞 7 .   事 件 复 盘 其 实 这 是 w e b 安 全 工 作 人 员 最 常 见 的 排 查 流 程 ， 因 为 例 如 d d o s 这 类 的 事 件 可 能 托 管 在 运 维 侧 ， 而 安 全 工 程 师 常 常 是 应 急 网 站 被 入 侵 后 的 安 全 事 件 。 被 入 侵 的 主 机 排 查 方 法 1 . 检 测 补 丁 情 况 : 看 看 有 没 有 打 了 最 新 的 补 丁 , 看 看 是 不 是 用 漏 洞 搞 进 来 的 s y s t e m i n f o   |   u n a m e   - a   2 . 日 志 分 析 : 定 位 入 侵 路 线 , 是 系 统 配 置 出 了 问 题 ( s s h   弱 口 令 , 域 管 理 员 h a s h   泄 漏 ) 还 是 W E B   服 务 出 了 问 题 ( 传 马 , W E B   漏 洞 利 用 ) e v e n t v w r     |     / v a r / l o g     ,     . b a s h _ h i s t o r y a c c e s s . l o g     m y s q l _ l o g . l o g   3 . 账 户 信 息 : 先 看 看 是 不 是 帐 户 有 弱 口 令 , 再 看 看 用 户 的 登 录 时 间 , 也 观 察 一 下 有 没 有 给 留 后 门 账 户 q u s e r     |     w h o     l a s t   4 . 进 程 分 析 : 定 位 一 下 看 看 有 没 有 运 行 恶 意 进 程 p r o c x p     ,     p c h u n t e r     |     p s   - a u x     ,     c h k r o o t k i t     ,     r k h u n t e r   5 . 文 件 分 析 : 找 找 S h e l l   和 后 门 , 看 看 这 个 是 什 么 样 的 S h e l l l c h a n g e d f i l e s     |     f i n d   /   - c t i m e   - 1   - p r i n t   6 . 系 统 分 析 : 计 划 任 务 , 自 启 动 服 务 等 L i n u x   : h i s t o r y   ( c a t   / r o o t / . b a s h _ h i s t o r y )                     查 看 执 行 过 的 命 令 , 排 查 和 溯 源 / e t c / p a s s w d                                                                 分 析 用 户 a w k   - F :   ' { i f ( $ 3 = = 0 ) p r i n t   $ 1 } '   / e t c / p a s s w d     查 看 U I D   为 0   的 帐 号 c a t   / e t c / p a s s w d   |   g r e p   - E   " / b i n / b a s h $ "           查 看 可 以 登 录 的 帐 号 c r o n t a b     / e t c / c r o n *                                                 查 看 计 划 任 务 r c . l o c a l     / e t c / i n i t . d   c h k c o n f i g                         查 看 L i n u x   自 启 动 程 序 l a s t                                                                               查 看 最 近 用 户 登 录 信 息 l a s t b                                                                             查 看 最 近 用 户 登 录 错 误 信 息 $ P A T H                                                                             系 统 路 径 环 境 变 量 s t r i n g s                                                                         提 取 字 符 串 W i n d o w s   : 查 看 系 统 变 量 W i n d o w s   计 划 任 务 W i n d o w s   帐 号 信 息 S A M   文 件 W i n d o w s - E x p l o i t - S u g g e s t e r 附 上 常 用 应 急 命 令 ：
    如 果 觉 得 文 章 对 你 有 帮 助 ， 请 支 持 下 点 击 右 下 角 “ 在 看 ” 原 文 链 接 ： h t t p s : / / w w w . c n b l o g s . c o m / h e 1 m 4 n 6 a / p / 1 0 0 6 4 6 3 5 . h t m l 作 者 ： h e 1 m 4 n 6 a 博 客 已 移 到   h t t p s : / / h e 1 m 4 n 6 a . g i t h u b . i o /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理