概述
1.基本概念
1.应急响应：
1.指一个组织为了应对各种意外事件的发生所做的准备，以及在事件发生后所采取的措施。
2.目的：减少突发事件造成的损失（包括人民群众的生命、财产损失、国家和企业的经济损失、以及相应的社会不良影响）
3.处理的问题：通常为突发公共事件或突发的重大安全事件
2.网络安全应急响应
1.网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭到破坏、更改、泄露，保证系统连续、可靠、正常运行，网络服务不中断。
2.网络安全应急响应（简称应急响应）是指针对已经发生或可能发生的安全事件进行监控、分析、协调、处理、保护资产安全。
2.应急响应应具备的能力
1)数据采集、存储和检索能力
(1)能对全流量数据协议进行还原;
(2)能对还原的数据进行存储:
(3)能对存储的数据快速检索。
2)事件发现能力
(1)能发现高级可持续威胁(Advanced Persistent Threat, APT)攻击;
(2)能发现Web攻击;
(3)能发现数据泄露;
(4)能发现失陷主机;
(5)能发现弱密码及企业通用密码;
(6)能发现主机异常行为。
3)事件分析能力
(1)能进行多维度关联分析;
(2)能还原完整杀伤链;
(3)能结合具体业务进行深度分析。
4)事件研判能力
(1)能确定攻击者的动机及目的；
(2)能确定事件的影响面及影响范围；
(3)能确定攻击者的手法。
5)事件处置能力
(1)能在第一时间恢复业务正常运行;
(2)能对发现的病毒、木马进行处置;
(3)能对攻击者所利用的漏洞进行修复;
(4)能对问题机器进行安全加固。
6)攻击溯源能力
(1)具备安全大数据能力;
(2)能根据已有线索(ip地址、样本等)对攻击者的攻击路径、攻击手法及背后组织进行还原。
3.应急响应流程
PDCERD（6阶段）方法
准备阶段
以预防为主。
检测阶段
主要检测事件是已经发生的还是正在进行中的，以及事件产生的原因。
抑制阶段
主要任务是限制攻击/破坏涉及的范围，同时也是降低潜在的损失。
根除阶段
主要任务是通过事件分析找出根源并彻底根除，以避免攻击者再次使用相同的手段攻击系统，引发安全事件。
恢复阶段
主要任务是把破坏的信息彻底还原到正常运作状态。
总结阶段
主要任务是回顾并整合应急响应过程的相关信息，进行事后分析总结和修订安全计划、政策、程序，并进行训练，以防止入侵的再次发生。
4.现场处置流程
常见的应急响应场景
勒索病毒
挖矿木马
webshell
网页篡改
ddos攻击
数据泄露
流量劫持
在现场处置过程中，先要确定事件类型与时间范围，针对不同的事件类型，对事件相关人员进行访谈，了解事件发生的大致情况及涉及的网络、 主机等基本信息，制定相关的应急方案和策略。随后对相关的主机进行排查，一般会从系统排查、进程排查、服务排查、文件痕迹排查、日志分析等方面进行，整合相关信息，进行关联推理，最后给出事件结论。
一、系统信息
1.window
1.系统信息工具 命令行中输入 msinfo32 打开系统信息窗口
2.正在运行的任务
3.服务
4.系统驱动服务
5.加载的模块
6.启动的程序
2.linux
1.CPU信息 lscpu
2.操作系统信息 uname -a
3.模块信息 lsmod
二、用户信息
1.window
1.命令行 net user （查看不了一$结尾的隐藏账户）
net user 账户名 查看具体账户
2.图形化界面
在运行中输入 lusrmgr.msc 或者打开 计算机管理 中的用户 可查看隐藏账户
3.注册表regedit 在HKEY_LOCAL_MACHINE 下的 SAM 下 （SAM需要进行授权）
4.wmic 扩展WMI管理工具 wmic useraccount get name,SID
2.linux
1.查看系统所有用户 cat /etc/passwd
结尾显示 bin/bash 表示账户为可登陆
结尾显示 sbin/nologin 表示账户不可登陆
2.分析超级账户
awk -F:'{if(3==0)print $1}' /etc/passwd 可查询账户uid为0的账户 root是uid为0的账户
3.查看可登陆的账户
cat /etc/passwd |grep 'bin/bash'
4.查看用户错误的登陆信息
lastb 查看错误的登陆列表包括登录方式、ip地址、时间
5.查看所有用户最后的登陆信息
lastlog
6.查看用户最近登陆信息
last
其中wtmp存储登陆成功的信息，btmp存储登陆失败信息，utmp存储当前正在登陆的信息
7.查看当前用户登陆系统情况
who
8.查看空口令账户
awk -F:'length($2)==0 {print $1}' /etc/shadow
三、启动项
1.window
1.系统配置 中查看 输入 msconfig
2.注册表查看
注册表：是操作系统中一个重要的数据库，主要存储系统所必须的信息
2.linux
1.cat /etc/init.d/rc.local
2.cat /etc/rc.local
3.ls -alt /etc/init.d
四、任务计划
1.window
1.在 计算机管理 选择 任务计划程序
2.在powershell中输入 Get-ScheduledTask
3.在命令行输入schtasks
2.linux
1.crontab -l 查看当前任务计划
crontab -u root -l 查看root用户任务计划
2.查看etc目录下的任务计划文件
一般任务计划文件是cron开头的
ls /etc/cron* 使用正则表达式匹配该类文件
五、防火墙
最基本的用途是对出、入的数据包进行检测
fw规则：入站规则、出站规则
入站规则：根据过滤规则，过滤从外网到主机的流量
出站规则：根据过滤规则，过滤从本地主机到外面的流量
1.window
1.在 window防火墙，高级设置 中设置出入站规则
2.命令行 netsh
netsh Firewall show state
查看fw网络配置状态
六、进程
1.window
1.任务管理器查看
2.命令行 tasklist 显示所有运行程序
tasklist /svc显示每个进程和服务的对应情况
tasklist /m 显示某些加载dll的恶意进程
tasklist /m 进程名 显示特定加载dll的调用进程
3.使用netstat命令
netstat 显示网络连接信息
-a 所有连接、端口
-n 以数字形式显示地址和端口号
-o 显示拥有的与每个连接关联的进程id
-r 显示路由表
-b 显示在创建每个连接或侦听端口时涉及的可执行程序
常见的网络状态说明：
LISTENING:侦听状态
ESTABLISHED:建立连接
CLOSE_WAIT:对方主动关闭或网络异常导致连接中断。
4.定位可以程序
netstat -ano|findstr "ESTABLISHED"一般使用该命令查看目前的网络连接，定位可疑的ESTABLISHED；
然后使用tasklist |find "进程号"查看具体的程序或使用 netstat -anb定位端口对应的程序
5.arp
-a或-g 显示当前arp
-v 显示所有
6.使用powershell进行排查
get-wmiobject win32_process |select name,processid,parentprocessid,path查询进程中的name等字段
get-wmiobject win32_process获取进程的所有信息
7.使用 wmic 命令进行查询
wmic process 查询进程情况
wmic process list full /format:csv 以csv格式列出所有进程
wmic process get name,parentprocessid,processid /format:csv 以csv格式显示进程的名称、父进程id、进程id
wmic process get executablepath,processid /format:csv 以csv显示进程路径、进程id
wmic process where processid=[PID] get parentprocessid 以pid的值作为条件获取其父进程的pid情况
wmic process where processid=[pid] get commandline 以pid的值作为条件获取其命令行
wmic process where name="malware.exe" call terminate 删除malware.exe的程序的进程
wmic process where processid=[pid] delete 删除pid为某值的进程
2.linux
1.netstat
第一步：网络连接命令，分析可疑端口、可疑ip地址、可疑pid、进程
-p pid
-r 路由表
-l 显示侦听的服务
-a 显示所有
-t tcp
-u udp
第二步：根据pid的值，输入 ls -alt /proc/PID
或者利用lsof -p PID 查看进程打开的文件
第三步：若为恶意程序“kill -9 PID ”结束pid的进程，使用“rm -rf 文件名 ” 删除文件
注意：若使用root账户无法删除时，该文件可能被加上了 i 属性。 此时，需要“lsattr 文件名” 查看文件属性，然后使用“chattr -i 文件名” 来移除i属性，然后删除文件。 若是由于进程守护不能删除时，需要关闭进程，再删除进程。
隐藏进程的查看：
ps -ef |awk '{print}' |sort -n |uniq>1
ls /proc|sort -n |uniq>2
diff 1 2
针对挖矿进程的排查，使用top 查看相关资源占用较高的进程后进行判断
七、服务
服务：运行在后台的进程。 可以自启、暂停、重启，且不显示任何用户界面。
服务非常使用服务器使用，通常是为了不影响计算机上其他用户，且需要长时间运行功能时使用。
1.window
在 运行 中输入 services.msc 来打开 服务 窗口。可以查看所有服务、服务名称、描述、状态
![[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-0GjEwP0X-1665317328758)(C:\Users\Administrator\AppData\Roaming\Typora\typora-user-images\image-20221008134634700.png)]](https://img-blog.csdnimg.cn/e54e76105ec24024b12b5d8c40973417.png)
2.linux
chkconfig --list 查看系统运行的服务
service --status-all
0-6表示6个等级
0 关机
1 单用户模式
2 无网络连接的多用户命令行模式
3 有网络连接的多用户命令行模式
4 不可用
5 图形化的多用户模式
6 重启
八、文件痕迹排查
1.对恶意软件常用的敏感路径进行排查
2.在确定应急响应时间的时间点后，对时间点前后的文件进行排查
3.对带有特征的恶意软件进行排查（特征包括：代码关键字、函数，文件权限等）
1.window
1.敏感目录
各个磁盘下的 temp（tmp）相关目录。 临时文件的路径一般来说各个系统路径一致
2.排查浏览器的历史记录、下载文件、cookie信息
3.查看用户 recent 文件。 recent文件主要存储了最近运行的文件的快捷方式。
recent的路径 一般在用户目录下
4.预读取文件夹查看。 prefetch 是预读取文件夹，存放系统已访问过的文件的预读取信息，扩展名为pf。
自动创建预读取文件夹，是为了加快系统启动的进程。
prefetch 路径： %systemroot%\prefetch\ (在 运行 中输入)
amcache.hve 可查询 应用程序的执行路径、上次执行的时间及SHA1值
amcache.hve 路径 %systemroot\appcompat\programs\
5.时间点查找
应急响应事件发生后，首先确认 事件发生的时间点，然后排查前后的文件变动，从而缩小访问。
1）命令行 forfiles 列出攻击日期内新增的文件，从而做定位
forfiles /m *.exe /d +2022/10/7/s/p c:\ /c "cmd /c echo @path @fdate @ftime" 2>null 查找10.7后的exe新建文件进行搜索
2）根据资源管理器 文件的创建、修改、访问日期 进行定位 注意：文件可能存在时间修改，需要查看时间的逻辑问题，例如：创建时间明显迟于修改时间
6.webshell
网站的一个关键入侵点，webshell（网站入侵的脚本工具）
利用相关的·杀毒·软件查找可疑文件
2.linux
1.敏感目录
/tmp 目录
/usr/bin 或 /usr/sbin 命令目录
~/.ssh 或 /etc/ssh 后门配置的路径
2.时间点查找
1）find 查找
-type b/d/c/p/l/f 查找块设备、目录、字符设备、管道、符号链接、普通文件
-mtime -n（+n） 按文件更改时间查找 -n：n天以内 +n：n天以外
-atime -n（+n） 按文件访问时间查找
-ctime -n（+n） 按文件创建时间查找
find / -ctime 0 -name "*.sh" 查找一天内新增的sh文件
ls -alt |head -n 10 查看最近的十行信息
2）对文件的创建、修改、访问时间进行排查
stat 可以详细查看文件的创建、修改、访问时间
3.特殊文件
1）特殊权限文件查找
find /tmp -perm 777 查找777权限的文件
2）webshell查找
find /var/www/ -name "*.php" |xargs 关键字
查找该目录下php文件中是否包含关键字
3）对系统命令进行排查
ls -alt /bin/ 查看该目录下相关系统命令的修改时间
ls -alh /bin/ 查看相关文件的大小
4）linux后门检测
使用相关的工具查杀
chkrootkit 检测rootkit是否被安装在当前系统中 ，实时检测系统
rootkit 是后门程序，非常隐蔽，不易察觉，可对系统实时控制
rkhunter 进行系统命令（binary）检测，包括MD5校验、rootkit检测、本机敏感目录检测、系统配置检测、服务及套件异常检测、第三方应用检测。
5）排查suid
find / -type f -perm 04000 -ls -uid 0 2>/dev/null
九、日志分析
1.window
日志包括：系统日志、安全性日志、应用程序日志
可在 计算机管理 中查看 事件查看器 下的 window 日志
运行 中输入 eventvwr 打开事件管理器
1.系统日志：
window系统中谷歌组件在运行中产生的各种事件
包括驱动运行、操作系统运行、应用程序运行出现的重大问题，以及数据丢失，系统奔溃
2.安全性日志
主要记录各种与安全相关的事件
包括登陆日志、资源操作日志、文件操作日志
3.应用程序日志
主要记录各种应用程序所产生的各类事件
包括数据库被暴力破解产生的相关日志等
4.日志分析
1）日志筛选器 进行分析
2）powershell 分析日志
get-eventlog 获取传统的事件日志
get-winevent 获取日志较全
3）相关的日志分析工具
event log explorer 是一个检测系统安全的软件，可查看、监视、分析事件，包括安全性、系统、应用程序及window系统事件记录。
2.linux
1.日志概述
linux中日志一般存放在 /var/log 下
/var/log/wtmp 记录登录、数据交换、关机重启， ====last
/var/log/cron 记录与定时任务相关的日志
/var/log/messages 记录系统启动后的信息和错误日志
/var/log/apache2/access.log 记录apache访问日志
/var/log/auth.log 记录系统授权信息，包括用户登陆和使用的权限机制等
/var/log/userlog 记录用户信息
/var/log/lastlog 记录登陆的日志===lastlog
/var/log/secure 记录应用输入的账号与密码，以及登陆成功与否的信息
/var/log/faillog 记录登陆系统不成功的账号信息
利用cat 查看各种日志信息
2.日志分析
利用grep、sed、sort、awk分析
tail -n 10 test.log 查看最后10行日志
tail -n +10 test.log 查看10行之后的日志
head用法与tail一样
awk
十、内存分析
十一、流量分析
利用wireshark 、科来工具进行流量的分析
十二、威胁情报
1.威胁情报
针对安全威胁、威胁者、利用、恶意软件、漏洞和危害指标，所收集的用于评估和应用的数据集。
![[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-813TypA8-1665317328760)(C:\Users\Administrator\AppData\Roaming\Typora\typora-user-images\image-20221008163601254.png)]](https://img-blog.csdnimg.cn/b6ae788bf8f044b4ab521b9d1c857f6b.png)
威胁情报金字塔模型
十三、相关工具
火绒剑，可以查看进程、驱动模块、内核、网络、注册表、文件等信息
十四、勒索病毒
1.勒索病毒：一旦遭受勒索病毒攻击，绝大多数文件会被加密算法修改，并添加一个特殊的后缀，且受害者无法读取原本的正常文件，从而造成损失。
2.勒索病毒利用对称加密和非对称加密算法相结合的形式加密文件，必须有解密私钥才可能解密。
3.常见的勒索病毒
永恒之蓝、wannacry、globeimposter、crysis/dharma等
4.常规处理
1）隔离被感染的服务器或主机
2）排查业务系统
3）确定病毒种类，并溯源分析
4）恢复数据和业务
利用备份还原，或磁盘数据恢复工具
本文转载自: https://blog.csdn.net/weixin_46145025/article/details/127233018
版权归原作者 莫黎小天 所有， 如有侵权，请联系我们删除。
版权归原作者 莫黎小天 所有， 如有侵权，请联系我们删除。