Linux主机安全应急响应工具

  • A+
所属分类:安全博客
摘要

Linux应急响应GScan 这个工具可以在进行应急响应的时候提供很大的便利。

Linux应急响应GScan

前言

这个工具可以在进行应急响应的时候提供很大的便利。

项目地址

https://github.com/grayddq/GScan

介绍

本程序旨在为安全应急响应人员对Linux主机排查时提供便利,实现主机侧Checklist的自动全面化检测,根据检测结果自动数据聚合,进行黑客攻击路径溯源。

CheckList检测项

1、主机信息获取 2、系统初始化alias检查 3、文件类安全扫描   3.1、系统重要文件完整行扫描   3.2、系统可执行文件安全扫描   3.3、临时目录文件安全扫描   3.4、用户目录文件扫描   3.5、可疑隐藏文件扫描 4、各用户历史操作类   4.1、境外ip操作类   4.2、反弹shell类 5、进程类安全检测   5.1、CUP和内存使用异常进程排查   5.2、隐藏进程安全扫描   5.3、反弹shell类进程扫描   5.4、恶意进程信息安全扫描   5.5、进程对应可执行文件安全扫描 6、网络类安全检测   6.1、境外IP链接扫描   6.3、恶意特征链接扫描   6.4、网卡混杂模式检测 7、后门类检测   7.1、LD_PRELOAD后门检测   7.2、LD_AOUT_PRELOAD后门检测   7.3、LD_ELF_PRELOAD后门检测   7.4、LD_LIBRARY_PATH后门检测   7.5、ld.so.preload后门检测   7.6、PROMPT_COMMAND后门检测   7.7、Cron后门检测   7.8、Alias后门   7.9、SSH 后门检测   7.10、SSH wrapper 后门检测   7.11、inetd.conf 后门检测   7.12、xinetd.conf 后门检测   7.13、setUID 后门检测   7.14、8种系统启动项后门检测 8、账户类安全排查   8.1、root权限账户检测   8.2、空口令账户检测   8.3、sudoers文件用户权限检测   8.4、查看各账户下登录公钥   8.5、账户密码文件权限检测 9、日志类安全分析   9.1、secure登陆日志   9.2、wtmp登陆日志   9.3、utmp登陆日志   9.4、lastlog登陆日志 10、安全配置类分析   10.1、DNS配置检测   10.2、Iptables防火墙配置检测   10.3、hosts配置检测 11、Rootkit分析   11.1、检查已知rootkit文件类特征   11.2、检查已知rootkit LKM类特征   11.3、检查已知恶意软件类特征检测 12.WebShell类文件扫描   12.1、WebShell类文件扫描 

程序特点

1、程序检测的逻辑和方法,均是由一线安全应急人员根据多年实战经验总结出来的。

2、程序包括10W+的恶意特征信息,用于恶意文件的比对和查杀。

3、结果自动化分析,进行黑客攻击溯源

使用

初步扫描 python GScan.py --pro

Linux主机安全应急响应工具 更多参数

--overseas 境外模式,此参数将不进行境外ip的匹配 --full 完全模式,此参数将启用完全扫描 --debug 调试模式,进行程序的调试数据输出 --dif 差异模式,比对上一次的结果,输出差异结果信息。 --sug 排查建议,用于对异常点的手工排查建议 --pro 处理方案,根据异常风险生成初步的处理方案

来源:http://www.safe6.cn/

本文由 safe6 创作,著作权归作者所有,任何形式的转载都请联系作者获得授权并注明出处。

Linux主机安全应急响应工具

本站的所有程序和文章,仅限用于学习和研究目的;不得用于商业或者非法用途,否则,一切后果请用户自负!! 最后编辑时间为: 2019-12-12

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: