我的应急响应回顾总结

admin 2024年4月16日14:55:18评论39 views字数 4522阅读15分4秒阅读模式

扫码领资料

获网安教程

我的应急响应回顾总结

我的应急响应回顾总结

# 我的应急响应回顾总结 ## 应急响应的定义 利用百度的概括来说就是针对各种意外、突发事件的准备以及事件发生后所采取的措施。其根本意义在于将该事件造成的损失降到最低。## 心得 在某...

文章来源: https://forum.butian.net/index.php/share/801文章作者:淡淡的回忆如有侵权请您联系我们,我们会进行删除并致歉

我的应急响应回顾总结

应急响应的定义

利用百度的概括来说就是针对各种意外、突发事件的准备以及事件发生后所采取的措施。其根本意义在于将该事件造成的损失降到最低。

心得

在某某信工作的时候,一位老师傅给我们说过一句我觉得比较经典的话:客户真正在意的就是“业务不断,数据不丢。”没有其他的弯弯绕绕。后来随着工作经验的增长,越来越觉得没毛病,但我还增加了一句属于自己的“不影响正常工作”,满足这三点之后,你平时与客户称兄道弟基本没有问题,大家都愉快。

客户关心的问题

1、数据怎么恢复?

(1)确认客户感染的病毒,有的勒索病毒是可以直接恢复的(解密网站:)
(2)确认数据备份情况,检查备份数据是否加密,可在排查完毕、加固服务器后利用备份文件恢复。
(3)无法解密,然后数据又很重要;尝试找专业的数据恢复公司,实在不行就只能交赎金。
(4)如果是一些无关紧要的数据,可建议重装系统、加固服务器后直接恢复业务。

2、怎么感染的,通过什么途径感染的?

(1)弱口令,被暴力破解了账号密码(这也是我实际中遇到最多的)。
(2)利用操作系统或应用系统漏洞进入服务器。
(3)u盘之类的移动存储设备携带的病毒。

3、多久可以处理好?

(1)按照情况而定,首先是控制蔓延
(2)然后成功清理出几台样机,基本就快了。

4、需要做那些处置才能避免感染?

(1)开启Windows防火墙,尽量关闭一些高危端口(如:445、135、139、3389)或者直接做ipsec策略。
(2)每台服务器设置独立的口令,且满足密码复杂度,理论来说密码越长越好。
(3)有必要的可以在边界防火墙上将一些高危端口进行关闭,如实在有需要可做点对点的策略。
(4)杀软,虽然个人感觉杀软真的不怎么样,占内存、兼容问题等等,但是装一个还是挺好的,根据杀软的情况而定,至少都可以拦截大部分的病毒、恶意文件。所以装个杀软还是挺有必要的。
(5)如果是虚拟化的话,有条件定期备份一下。虚拟化也有相关的杀软可以安装的。

概述

文章以勒索病毒为列进行各种处置的方法。环境为win2012虚拟机,病毒文件为rootcopper.exe,由人工触发。所以各种图片内容看一下就行了,主要说明处置的位置和方法。文章可能有些地方写错了,或者说错了,希望各位师傅多多指教,小弟拜谢!

勒索病毒处置流程

我的应急响应回顾总结

1、了解当前情况

接到事件时应当第一时间了解当前情况
1、是否存在勒索信息展示,对方的联系方式等;
2、设备是否无法正常启动、运行;
3、文件被加密后的后缀是什么;
4、了解系统架构、网络拓扑(为之后的信息分析朔源提供方向);
结合客户阐述信息(感染时间,以及集中区域、特征等)定位大致的初始感染位置,然后根据文件加密时间、日志时间设备异常时间定位感染源。

2、临时处置

确认是否可以直接物理隔离,尽可能的让客户对感染目标以及疑是感染目标进行物理隔离。
经历过一次驱动人生病毒的应急处置,客户被感染后是直接将整个区域的服务器进行隔离,然后没有其他处置了。相当于服务器与服务器之间是可以直接通信,然后基本所有服务器口令统一,然后445端口还是业务端口,不能关,清理干净后没多久又感染,最后还是客户领导下令按我们要求处置,修改服务器口令,关端口、清理干净再接入网络才处置结束。
如果实在不能进行物理隔离,第一时间关闭不必要的端口,关闭共享以及rdp协议,修改相关账号密码然后再进行排查清理。这样也许效果差了点,但还可以抢救,如果这些都没法操作真就没法搞,这个时候你需要强势一些,尽可能去和客户解释。

3、现场处置

信息收集并分析

我们做这些信息收集时,一定要清楚自己的目的是什么。
我个人的理解就是:找到病毒源文件,分析感染途径,以及如何在当前环境中进行有效的病毒清理。
感染后的界面
我的应急响应回顾总结
可以清除的看到桌面出现了一篇勒索信件,然后就是桌面的文件、应用全部被加密了
仔细看一下,文件后缀:[email protected]
我的应急响应回顾总结
然后我们可以直接百度一下该后缀,或者提示的这几个邮箱
后缀并没有得到有用信息,然后看看邮箱
我的应急响应回顾总结
可以看到邮箱的搜索,提示了该勒索病毒的一些信息。根据这些,我们可以进一步了解该病毒的信息。
我的应急响应回顾总结
文件排查
在进行排查之前,我们可以先提取一份原始系统的日志文件。我这里用到的是某某信的SkylarTS.exe
我的应急响应回顾总结
点击被加密文件的属性信息,我们查看文件的修改时间。通过该时间,我们可以定位当前主机文件被加密的时间,基本也是受到感染的时间了。
我的应急响应回顾总结
一般情况下感染了病毒的主机,杀软基本都不能用了,此时需要重装一下杀软,对系统进行清理,一般情况下杀软只能扫描个大概,还需要结合手工排查。
我的应急响应回顾总结
可以看到查杀结果,前两个是运行主文件后生成的病毒文件,第三个是我放在桌面的样本文件,但实际情况中病毒主文件不会被直接查杀出来,生成的其他文件也不会被全部扫描出来的。
我们看一下c盘,能直观看出的除了扫描出来的还有一个jpg的信件,实际情况下c盘可能是各种“神仙”。
我的应急响应回顾总结
然后就是temp目录(windows产生的临时文件),实际环境中都会有一些异常文件。
我的应急响应回顾总结
输入:%temp%
我的应急响应回顾总结
然后就是查看最近使用的文档快捷方式,里面可能有触发该病毒文件的线索。
快捷打开:%userprofile%recent
我的应急响应回顾总结
可以看到,确实出现的我们的样本目录,也就是触发地方。找到样本文件后,对文件进行提取。一般情况下是直接扔到云沙箱,不同安全公司也许规定不一样,毕竟病毒样本也是一种财富,但始终会提供一个类似的东西进行样本分析。
进程排查
查看开机启动项是否有异常文件
开始->运行->msconfig
我的应急响应回顾总结
若存在异常文件,找到文件位置进行处置
然后可以看一下任务管理器,是否存在异常的进程。
我的应急响应回顾总结
找到异常进程,进行样本提取。
文件和进程的排查,主要是为了找到样本文件,找到之后结合沙箱的分析结果进行进一步处理。
我的应急响应回顾总结
可以看到有个持久化的行为,根据提示到注册表对应路径去找一下,然后清理。
然后还有一个说明域名和ip的地方。
我的应急响应回顾总结
对这个域名和ip做一下威胁分析,后续方便给客户进行解释,以及报告的输出。
网络连接
找到病毒文件后就开始考虑如何进行清理了,利用cmd命令来查看当前网络的连接情况。
大部分的病毒都是依赖网络进行传播和复制的,从而感染局域网中的终端,所以网络连接这一块也是排查点。
netstat -ano 可查看当前网络连接情况
我的应急响应回顾总结
如果连接太多,可进一步筛选查找建立连接的网络,查看有无异常连接
netstat -ano | findstr established
我的应急响应回顾总结
如果有发现异常连接的,我们可以通过pid编号定位具体进程。
我的应急响应回顾总结
比如定位pid为648的进程。
Tasklist | findstr 648
我的应急响应回顾总结
此时又可以通过任务管理器或者全局搜索定位到该文件具体位置,或者同样的使用cmd命令去定位。
wmic process | findstr “svchost.exe”
我的应急响应回顾总结
系统信息排查
查看系统信息 cmd->systeminfo
这里主要查看系统打了那些补丁文件,看一下常见的永恒之蓝、永恒之黑等远程命令执行漏洞补丁是否打了。
我的应急响应回顾总结
首先这类型的病毒大部分都是查杀不干净,杀了又出现。这个时候就要想到任务计划了,去看看任务计划是否被创建了什么任务。
我的应急响应回顾总结
其次就是注册表的任务,这个一般情况下在以下这个目录。
我的应急响应回顾总结
然后再看看是否被创建其他账号
常见的就是命令行 net user 当发现其他账号时要与客户进行确认是否为他们创建,如果不是客户的账号直接删除。
我的应急响应回顾总结
同时,利用命令query user可查看当前系统的会话,或者任务管理器查看当前在线用户也可以。
我的应急响应回顾总结
使用logoff可强制该用户下线
当然不排除会被创建隐藏账号,一个是到控制面板找到系统账号管理的地方。
我的应急响应回顾总结
还有就是注册表,不管怎么隐藏账号,注册表始终有痕迹
注册表路径:HKEY_LOCAL_MACHINE/SAM/SAM
直接打开注册表,点到该路径你会发现是空的,此时需要配置一下,如下:
找到 SAM,鼠标右键选择 权限,选择 administrator,将权限勾选为 完全控制,然后确定。
我的应急响应回顾总结
然后关闭注册表,重新打开,此时sam目录下就出现了其他目录,依次展开,找到users目录下就可以找到系统当前存在的账号。
我的应急响应回顾总结
查看环境变量,确认是否存在异常的变量。
我的应急响应回顾总结
日志分析
前期有提取日志就直接根据提取的日志文件进行分析(提取日志一方面是方便自己分析,鬼知道客户现场的pc端是打开这种东西是“ppt”还是“慢镜头”。还有就是方便给到二线,这种一般是团队协助,需要求助的时候人家肯定是要日志的),也可以直接在pc上进行分析,这里按照pc路径来截图。
打开日志:开始->运行->eventvwr
我的应急响应回顾总结
然后点到安全日志,查看爆破、登录情况,在详细信息中还能对登录ip进行查看,当然,如果日志太多,可以导出利用编辑器进行筛选查看。
我的应急响应回顾总结

解决办法

1、利用已确认能查杀该病毒的杀软进行专项清理,结合人工审查。
2、在不影响业务的情况下可考虑重装操作系统
剩下就是数据恢复,如有重要数据可尝试以下办法:
1、结合安全厂商内部信息数据尝试恢复被感染的文件
2、求助专业的数据恢复公司等
3、支付赎金进行文件的恢复

4、加固

1、对操作系统和相关应用系统进行补丁更新
2、对系统、中间件等进行加固
3、制定严格的口令策略,避免弱口令
4、严格端口开放,不开放无用端口,不用高危端口做业务端口
5、安装安全防护软件,定期进行安全扫描和病毒查杀
6、部署全流量分析设备,定期对全网流量进行分析、发现网络薄弱点

常见感染途径

1、弱口令,服务器被被3389爆破成功
2、操作系统漏洞,如永恒之蓝等漏洞的利用
3、中间件、应用系统、组件漏洞
4、钓鱼邮件
5、网页挂马,一般中招的是“裸奔”用户

节点

说那么多都是排查的方向,在客户现场你可以有的思路,以至于不会晕头转向,毕竟这种时间里面客户比较急也会不停的问你一些情况。
这里说一下到客户现场的几个节点
1、到达客户现场确认该事件,被加密后的文件后缀,以及关键特征(如桌面的勒索信件)(还有就是紧急程度,如果严重一定记得上报请求支援)
2、提取信件信息,一般都有勒索者联系方式,搜索一下该联系方式,并记录搜索结果
3、查看是否安装杀软,杀软状态
4、查找到异常文件,提取样本文件
5、发现攻击方式,弱口令爆破或系统命令执行等
6、查杀,清理。当成功完成一台pc的清理后进行总结,输出清理方法并利用该方法对其他感染机进行清理。
7、总结,输出报告到客户
总的来说就是:定位攻击类型,确认时间和范围,样本提取分析,进程、系统、日志分析,再进行关联分析,逻辑推理,最后总结。
记得每个节点进行记录,保留图片等信息,方便后续的总结报告输出。

声明:⽂中所涉及的技术、思路和⼯具仅供以安全为⽬的的学习交流使⽤,任何⼈不得将其⽤于⾮法⽤途以及盈利等⽬的,否则后果⾃⾏承担。

原文始发于微信公众号(白帽子左一):我的应急响应回顾总结

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年4月16日14:55:18
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   我的应急响应回顾总结http://cn-sec.com/archives/2663121.html

发表评论

匿名网友 填写信息