声明
该公众号大部分文章来自作者日常学习笔记,也有部分文章是经过作者授权和其他公众号白名单转载,未经授权,严禁转载,如需转载,联系开白。请勿利用文章内的相关技术从事非法测试,如因此产生的一切不良后果与文章作者和本公众号无关。
应急响应目的
-
帮助用户正确应对安全事件,降低安全事件带来的损失和影响,并将业务以及网络恢复到正常状态;
-
通过对日志、流量、文件、情报等维度的关联分析与深度挖掘,定位各类安全事件发生的原因;
-
协助用户进行恶意文件清除、漏洞修复、安全加固,避免同类安全事件再次发生;
-
对相关日志、流量、文件等数据进行取证溯源,配合执法机构进行事件取证。
基本步骤
收集信息:收集系统业务方反馈的信息,各类安全设备/系统的安全告警信息
判断类型:结合已有信息,判断是否为安全事件类型(勒索、挖矿等),根据安全事件类型来调用相关资源和工具启动调查。
深入分析:通过日志分析、进程分析、启动项分析、样本分析的初步分析,复原攻击路径、攻击手法,找出确定的样本和网络外联信息,便于下一步的清理处置。
清理处置:进行入侵的深入分析、固定证据后。清理相关进程、文件;阻断网络连接;恢复启动项、业务服务;对软件系统进行升级或补丁修复。
产出报告:整理并输出完整的安全事件报告。
linux常用命令
借鉴了大佬的文章
https://wiki.wgpsec.org/knowledge/hw/linux-emergency-response.html
查看基础用户信息文件(/etc/passwd,/etc/shadow,/etc/group)
1、查询特权用户特权用户(uid 为0)
awk -F: '$3==0{print $1}' /etc/passwd
2、查询可以远程登录的帐号信息
awk '/$1|$6/{print $1}' /etc/shadow
3、除root帐号外,其他帐号是否存在sudo权限。如非管理需要,普通帐号应删除sudo权限
more /etc/sudoers | grep -v "^#|^$" | grep "ALL=(ALL)"
4、禁用或删除多余及可疑的帐号
usermod -L user #禁用帐号,帐号无法登录,/etc/shadow第二栏为!开头
userdel -r user #将删除user用户,并且将/home目录下的user目录一并删除
查看历史命令 #
cat ~/bash_history >> history.txt
检查异常进程 #
ps aux | grep pid
检查服务
chkconfig --list #查看服务自启动状态,可以看到所有的RPM包安装的服务
检查系统日志
日志文件 | 说明 |
---|---|
/var/log/cron | 记录系统定时任务相关的日志 |
/var/log/message | 记录Linux操作系统常见的系统和服务错误信息(首要检查对象) |
/var/log/btmp | 记录错误登录(登陆失败)日志;使用lastb命令查看 |
/var/log/lastlog | 记录系统中所有用户最后一次成功登录时间,使用lastlog命令查看 |
/var/log/wtmp | 永久记录所有用户的登录、注销信息,同时记录系统的启动、重启、关机事件;用last命令来查看 |
/var/log/utmp | 只记录当前登录用户的信息;使用w,who,users等命令来查询 |
/var/log/secure | 记录验证和授权方面的信息,如SSH登录,su切换用户,sudo授权,甚至添加用户和修改用户密码 |
Windows常用命令
检查系统账号
#查询当前登录系统的会话
query user
#把用户踢出会话
logoff ID
查看网络连接
netstat -ano
#打印路由表
route print
检查进程
#列出所有进程
tasklist
#强制停止某进程
taskkill /T /F /PID
检查启动项
#查看系统开机时间
net statistics workstation
#查看系统计划任务
schtasks /query /fo LIST /v
#查看程序启动信息
wmic startup get command,caption
#查看主机服务信息
wmic service list brief
排查Webshell
-
Windows:D盾
-
Linux:河马
原文始发于微信公众号(Devil安全):【逃离计划】安全事件应急响应处置技术
免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论