HW值守体系框架丨安华版《应急响应指导手册》介绍

在“HW专题系列”上篇文章中，安华君介绍了安全服务部最新HW值守体系框架和内容，想必大家从宏观层面已经有了一定了解和认识。本篇将从HW值守体系框架中——“应急响应”部分，进行专项讲解和介绍。

因此，完整详尽并且不断完善的《应急手册》，能够提供标准、可靠、系统、细致的应急操作指导，帮助HW值守团队在任务期间杜绝“历乱无章”、做到“遇事不乱”，严格依据技术操作手册对攻击行为做出快速、有效响应。

下面安华君从300页的安华版《应急手册》中，选取重点内容进行讲解和介绍。

1. 应急响应之——常用工具

HW值守中，执行应急响应工作的基本对象单元就是“网络流量”。而想要捕获网络流量，在传统物理环境中一般可以通过路由器、交换机镜像与分光器获得，或者通过一些硬件防护设备（如防火墙、IPS、UTM等）获取。在虚拟化或者云环境中，则需要使用流量采集工具。

在HW值守过程中，监测告警组成员借助安全设备实时监测潜在攻击行为。当安全设备产生告警后，监测告警组人员会对设备告警信息初次人工判断。人工判断最主要的技巧就是流量分析，通过分析请求包和响应包的内容，观察是否符合告警信息反映的攻击特征，从而判断是否属于攻击行为。

比较常用工具包含Wireshark（流量分析工具）、科来网络分析系统（流量分析工具）、BurpSuite（抓包工具）、IDA（静态反编译工具）、360星图流量分析（web日志分析工具）。针对这些常用工具，《应急手册》中有非常详细的工具介绍和操作使用指导，不论是HW值守前的准备阶段，还是HW值守期间，安全服务工程师可以通过翻阅学习手册内容，熟悉掌握工具使用方法、技巧，从而提升HW值守期间安全服务工程师自身的响应效率。

2. 应急响应之——常见网络协议分析

网络协议是网络上所有设备，包括服务器、计算机、交换机、路由器、防火墙等设备之间通信规则的集合，它规定了通信时信息必须采用的格式和这些格式的意义。常见网络协议包括ARP、ICMP、IP、TCP、UDP、FTP、SSH、TELNET、DNS、HTTP、HTTPS等等。

安华版《应急手册》分别对不同协议进行了深入浅出的介绍、分析，包括协议的作用、协议的流程和协议详细数据包字段分析等。在HW值守期间，此部分内容能够提供流量分析技术支撑，从而帮助监测告警组和研判应急组对攻击行为做出快速反应并有效应对。

3. 应急响应之——Windows入侵排查

当Windows发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，需要第一时间进行应对处理，使网络信息系统在最短时间内恢复正常工作状态。

《应急手册》通过讲解Windows的入侵原因分析、入侵过程分析、入侵排查思路方法等，帮助HW值守人员快速借助标准化入侵排查作业方法全方位分析入侵原因、还原入侵过程、评估业务损失、溯源黑客取证、提出解决方案和防范措施，从而帮助企业减少因突发安全事件带来的相关损失。

4. 应急响应之——Linux入侵排查

相比于Windows，Linux环境下处理应急响应事件往往会更加棘手，因为Linux在客观上缺少像Autorun、procexp这样的应急响应利器（进程管理工具），也缺少统一的应急响应处理流程。

安华版《应急手册》对Linux环境下的入侵排查思路进行了细致的梳理和分析，包括：

1、账号安全排查

2、历史命令排查

3、开机启动项排查

4、计划任务排查

5、服务排查

6、文件痕迹排查

7、端口开放排查

8、密码填充排查

9、Linux日志分析

10、Web日志分析

11、进程排查

12、Webshell查杀工具

《应急手册》通过对以上12个方面的梳理分析，帮助值守人员快速响应并处置Linux环境下的入侵行为。

5. 应急响应之——Windows、Linux权限维持

红队是进攻方，蓝队是防守方。HW值守团队作为防守方，只有充分了解进攻方的攻击思维，站在攻击者的角度思考防守问题，才能尽可能履行好防守职责。

在HW实战阶段，当红队获取到一台主机权限后，首先要做的就是考虑怎样维持住该权限。将该设备作为一个长期、持久化的“据点”，“种植”一个具备延续性的后门，随时可以连接该被控设备进行深入渗透。

因此，持久性是红队成功运作的关键，这将使团队能够专注于目标，而不会失去与指挥和控制服务器的通信。通俗的说，“抓到一条鱼，就不能轻易放走”。《应急手册》从常见的两种主机——Windows和Linux操作系统入手，详细阐述了Windows和Linux的常用权限维持手法，帮助HW值守团队知己知彼，为防守工作添砖加瓦。

6. 应急响应之——Windows安全加固

在HW实战阶段，为了维持操作系统系统安全，在系统生命周期各个阶段加强和落实安全要求，需要有一种方式进行风险评估、控制和管理的体系。国内最通用的做法是基于Windows操作系统的安全机制，按照规定的安全基线要求进行系统的安全加固。

所谓“安全基线”，即最小的安全标准，借用的是“基线”概念。通过不断加固、检查，才能尽可能防止黑客的入侵。Windows安全加固小节内容从安全配置加固方面给出账号配置安全、文件权限安全等9个加固项，以提高Windows安全性能。同时，Windows安全加固需及时反馈给技术中台及支撑组。

7. 应急响应之——Linux安全加固