Windows应急响应处置流程
2019-05-31 09:53:14 【

一、服务流程

沟通确认安全事件

在与客户第一次沟通时,应及时提醒客户对受害机器及时进行断网隔离操作。已知的安全事件包括但不限于如下:

1. 恶意代码威胁,即僵尸网络、恶意木马、蠕虫病毒、勒索病毒等恶意代码导致的安全事件

2. 高级持续性威胁(APT)攻击事件,即具有潜伏性、隐蔽性、目的性、持续性等特点的安全事件

3. 非法入侵事件,包括但不限于业务系统受到入侵致使数据泄露、丢失等;外网网站被入侵,导致网站被恶意篡改植入暗链或出现其他非法的宣传标语;服务器被入侵导致受到勒索攻击等安全事件

4. 漏洞事件,即0day公布;在野漏洞发现;已知漏洞被发现受到通报等安全事件

5. 数据泄露事件,即重要数据因受到了入侵导致的泄露;应用配置不当导致的泄露;员工误操作导致的泄露;内鬼泄露等安全事件

6. 分布式拒绝服务攻击(DDOS)事件,即网站受到了各类DOS攻击,包括但不限于CC攻击、洪水攻击、流量放大攻击等安全事件

7. 流量劫持,DNS劫持、HTTP劫持

8. 其他归于网络安全的事件

注意事项:一定要亲自确认,切不可盲目相信他人所述。

确认后,应尽量收集与本次安全事件相关的信息,例如什麽时候发现的攻击,之前有无出现过安全事件等。

在确认安全事件后明确应急目的:

1. 病毒、后门清除工作

2. 协助业务系统安全的恢复上线

3. 攻击溯源工作。(仅溯源至攻击者的攻击切入点)

现场保护

在与客户沟通时,应提醒客户注意保护现场,千万不要直接重装系统,以方便后续的溯源工作及可能存在的电子取证工作。在处置受害机器时,应尽量保持受害机器的原样,如虚拟机处置时,可以让客户进行快照存储。

了解客户网络状况

对客户的网络拓扑应尽早进行了解,特别是网络的进出口、负载均衡、防火墙、DNS服务器。

确定事件影响 确定工作方向 确立工作目标

明确现场工作任务归属

无论现场的环境,主导本次安全事件,合理分配现场工作为应急人员的必备技能。

对现场的可能存在的工作应具备清晰的认知。通常会存在以下工作内容:病毒分析处置、业务恢复、安全加固、溯源分析、临时需求处置、产品对接与使用、应急指挥与协调。

二、技术部分

1. 系统

1.1 Windows

1.1.1 熟悉现场环境

对受害机器进行了解,分析可能存在的共同弱点,进而提供溯源思路。

如:是否存在弱口令(例如3389、FTP、中间件、数据库)

是否存在对外映射的端口,或WEB应用等

1.1.2 账号安全风险分析

查看当前已登录的账号

query user


使用logoff ID 命令注销已登录用户,当可疑账号处于登录状态时,也可以使用mimikatz抓取密码。


查看用户目录  是否存在新建用户目录


C:\Documents and Settings

C:\Users


查看对应用户的desktop与download目录下是否存在异常文件


查看是否存在可疑账号、新增账号(注意Guest用户是否开启)

Win+R输入lusrmgr.msc     net user username查看详细

查看是否存在隐藏账号、克隆账号

运行 — regedit.exe查看注册表


或使用工具PC hunter与D盾进行排查

建立隐藏用户参考链接:

http://www.qpfangyu.com/news/qt/283.htm

1.1.3 日志风险分析

Win+R 输入 eventvwr.msc

打开事件查看器,注意日志事件是否存在缺失现象(日志出现断点或发现存在清除痕迹)

日志事件查看器本身支持筛选功能。也可以导出为CSV 或者TXT使用Excel或者Notepad进行分析

使用微软Log Parser进行分析(Log ParserUI封装了语句gui界面)

运行 — %UserProfile%\Recent,分析最近打开可疑文件,或根据最近修改时间进行排查

查看U盘使用痕迹,对比各时间点,排查可疑使用记录

//*注意采集日志时,应注意日志是否存在时间断点、或部分日志丢失情况

1.1.4 病毒风险排查

使用360杀毒离线版,并下载最新病毒库下载地址:http://sd.360.cn/download_center.html

使用其他杀软,并注意客户现场是否存在友商产品。

1.1.5 异常风险分析

1.1.5.1端口状态

cmd命令

netstat -ano

netstat -ano | findstr “port”查看端口对应的活动连接

tasklit | findstr “PID” 查看相应PID的进程

TCP端口状态说明

http://www.qpfangyu.com/news/qt/284.htm

工具使用

PC Hunter、D盾

1.1.5.2进程

运行 — msinfo32 –软件环境–正在运行任务,查看详细

运行 — taskmgr 任务管理器进行查看,可由进程打开相应文件位置,及相应服务。

排查可疑进程及子进程(多涉及感染型病毒)

观察内容包括:

没有签名验证信息的进程

没有描述信息的进程

属主异常的进程

路径不合法的进程

CPU或内存资源 长时间或过高占用的进程

存在异常活动连接的进程

工具使用:

PC Hunter、D盾、Process Explorer、Process Hacker、Autoruns

1.1.5.3启动项

注意当前系统时间是否有问题,病毒可能存在篡改系统时间,或利用系统时间异常的可能性。

单击–开始–所有程序–启动

输入命令查看启动项wmic startup list full

运行 – 输入msconfig查看是否存在可疑的启动项目

打开注册表,查看是否存在可疑开机启动项,特别注意如下三个注册表项:

HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce

运行 — gpedit.msc组策略中查看启动

工具使用:

Autoruns、PC Hunter、360安全卫士

1.1.5.4计划任务

控制面板 — 管理工具 — 任务计划程序

或运行 — taskschd.msc

通过命令查看计划任务schtasks /query /fo table /v


或者注册表下手动排查(其使用了XML格式,若出现特殊字符,可导致打开报错)

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Schedule \ TaskCache \ Tree

运行 — 管理员运行cmd — at 检查计算机与网络上其他计算机之间的会话或者计划任务,如有确认是否为正常连接。

1.1.5.5系统服务

运行 — services.msc 注意服务状态和启动类型,检查是否存在可疑服务。

运行 — taskmgr 任务管理器内查看服务

工具使用:

PC Hunter

1.1.6 系统风险分析

1.1.6.1 系统后门排查

对当前操作系统版本、操作系统补丁、应用版本进行确认,分析可能存在的威胁因素。

如“永恒之蓝”漏洞未打补丁,是否存在利用痕迹。

IIS低版本漏洞。

检查方法:

1. 运行 — systeminfo查看系统信息

2. Shift后门排查使用OD 分析C:\WINDOWS\system32\dllcache\sethc.exe

3. 对于一些windows常见的持久化痕迹基本都很明显

1.1.6.2 敏感目录排查

可能存在问题的敏感目录

  %WINDIR%

%WINDIR%\system32%TEMP%

%LOCALAPPDATA%

%APPDATA%各盘下的tmp缓存目录,例如C:\Windows\Temp

1.1.7 综合分析得出结论

1. 系统漏洞直接造成的入侵事件。如“永恒之蓝”、弱口令

2. 系统漏洞间接造成的入侵事件。如WebShell后,本地提权。

3. 应用漏洞直接或间接造成的入侵事件。如Struts 2远程命令执行、WebLogic弱口令或远程代码执行、IIS PUT上传漏洞、FTP弱口令或溢出攻击等。


】【打印关闭】 【返回顶部
上一篇超过50000台MS-SQL和PHPMyAdmin服.. 下一篇CDN的安全风险是什么?