实习实训day11

要求

1.总结应急响应流程（预案，研判，遏止，取证，溯源，恢复——无先后顺序，根据实际情况进行处理）

2.总结应急响应措施及相关操作

应急响应流程

Windows系统应急响应流程

1. 预案
   • 制定应急响应计划：明确应急响应团队的组织结构、职责分工、沟通机制及资源准备。
   • 备份关键数据：定期对系统重要数据进行备份，确保在发生安全事件时能够快速恢复。
2. 研判
   • 初步分析：收集并分析安全事件的相关信息，如入侵时间、来源、影响范围等。
   • 确认事件类型：判断事件类型，如勒索病毒、挖矿病毒、无文件落地攻击等。
   • 风险评估：评估事件对系统安全、业务运行及数据完整性等方面的影响。
3. 遏止
   • 隔离受感染系统：立即隔离受感染的系统或网络区域，防止攻击扩散。
   • 关闭不必要的服务和端口：减少攻击面，关闭不必要的服务和端口。
   • 清除恶意代码：使用杀毒软件或手动方式清除系统中的恶意代码。
4. 取证
   • 收集日志和证据：收集系统日志、网络流量、可疑文件等关键证据。
   • 保护现场：确保取证过程中不破坏现场证据，避免数据篡改或丢失。
5. 溯源
   • 分析攻击路径：通过日志、流量分析等手段还原攻击路径。
   • 追踪攻击者：利用IP地址、域名等信息追踪攻击者来源。
6. 恢复
   • 系统恢复：根据备份数据恢复受感染系统。
   • 加固系统：修复漏洞、更新补丁、加强访问控制等措施，防止类似事件再次发生。

Linux系统应急响应流程

1. 预案
   • 制定应急响应计划：明确应急响应团队的组织结构、职责分工、沟通机制及资源准备。
   • 配置监控系统：部署日志收集、入侵检测等系统，实时监控系统安全状态。
2. 研判
   • 初步分析：通过监控系统发现异常行为，进行初步分析。
   • 确认事件类型：判断事件类型，如远程代码执行、权限提升等。
   • 风险评估：评估事件对系统安全、业务运行及数据完整性等方面的影响。
3. 遏止
   • 隔离受感染系统：立即隔离受感染的系统或网络区域，防止攻击扩散。
   • 关闭可疑进程和服务：通过ps、netstat等工具查找并关闭可疑进程和服务。
   • 清除恶意代码：使用杀毒软件或手动方式清除系统中的恶意代码。
4. 取证
   • 收集日志和证据：收集系统日志、网络流量、可疑文件等关键证据。
   • 保护现场：确保取证过程中不破坏现场证据，避免数据篡改或丢失。
5. 溯源
   • 分析攻击路径：通过日志、流量分析等手段还原攻击路径。
   • 追踪攻击者：利用IP地址、域名等信息追踪攻击者来源。
6. 恢复
   • 系统恢复：根据备份数据恢复受感染系统。
   • 加固系统：修复漏洞、更新补丁、加强访问控制等措施，防止类似事件再次发生。

共性与差异

Windows和Linux系统的应急响应流程在预案、研判、遏止、取证、溯源和恢复等关键环节上具有共性，但在具体操作细节上存在差异。例如，Windows系统可能需要通过任务管理器、事件查看器等工具进行排查和取证，而Linux系统则更多地依赖于命令行工具和日志文件。此外，不同操作系统在加固措施上也存在差异，需要根据具体情况制定相应的加固方案。

应急响应措施

Windows

1. 信息收集
   • 使用systeminfo命令查看系统信息，包括操作系统版本、补丁安装情况等。
   • 使用net user命令查看当前用户列表，通过net user 用户名查看特定用户的详细信息。
   • 使用netstat -ano命令查看当前网络连接，找出可疑的外部连接或监听端口。
   • 查看事件查看器（eventvwr.msc）中的安全、系统和应用日志，分析异常事件。
   • 使用tasklist命令查看当前运行的进程，通过tasklist /svc查看进程与服务的关联。
2. 系统加固
   • 更新操作系统补丁，使用Windows Update或第三方补丁管理工具。
   • 配置防火墙规则，限制不必要的入站和出站连接。
   • 使用账户策略加强密码复杂度要求，禁用或限制来宾账户访问。
   • 启用安全策略，如审核策略、账户锁定策略等。
3. 恶意代码清除
   • 使用Windows Defender或第三方杀毒软件进行全盘扫描，清除恶意代码。
   • 对于无法通过杀毒软件清除的恶意代码，可能需要手动删除相关文件、注册表项和服务。
   • 使用taskkill /f /im 恶意程序名.exe命令强制结束恶意进程。
4. 日志分析
   • 深入分析事件查看器中的日志，特别是与安全相关的事件。
   • 使用wevtutil命令导出日志进行分析，或使用Log Parser、Event Log Explorer等工具进行分析。
   • 分析网络流量日志，使用Wireshark等工具捕获和分析数据包。

常见事件ID：

1. 安全日志

• 4624：成功登录事件，表示用户成功登录系统。
• 4625：登录失败事件，表示用户尝试但未能成功登录系统。
• 4634：注销事件，表示用户注销系统。
• 4647：用户通过重新启动或关闭计算机来注销系统。
• 4720：创建用户事件，表示新用户帐户已创建。
• 4722：启用用户帐户事件，表示禁用的用户帐户已被启用。
• 4723：更改用户密码事件，表示用户密码已更改。
• 4724：创建安全组事件，表示新安全组已创建。
• 4728：成功授权事件，表示用户获得了指定对象的权限。

2. 系统日志

• 6005：信息，表示事件日志服务已启动，通常用于检查系统是否正常启动。
• 6006：信息，表示系统已关闭。
• 6009：信息，表示系统因用户按Ctrl+Alt+Delete（非正常）而关机。
• 1074：用于查看计算机的开机、关机、重启的时间以及原因和注释。

3. 其他常见ID

• 7036：服务状态更改。
• 104：审计日志清除事件，表示有日志被清除。

Linux

1. 信息收集
   • 使用uname -a命令查看系统信息，包括内核版本、主机名等。
   • 使用whoami和id命令查看当前用户权限。
   • 使用netstat -tulnp命令查看当前网络连接和监听端口。
   • 查看/var/log目录下的系统日志，如/var/log/auth.log、/var/log/syslog等。
   • 使用ps aux命令查看当前运行的进程。
2. 系统加固
   • 更新系统软件包，使用apt-get update && apt-get upgrade（Debian/Ubuntu）或yum update（CentOS/RHEL）。
   • 配置防火墙规则，使用iptables或firewalld限制网络访问。
   • 禁用或限制root账户登录，使用sudo进行权限提升。
   • 配置SELinux或AppArmor增强系统安全。
3. 恶意代码清除
   • 使用find、grep命令查找可疑文件，如find / -name "*malicious*"。
   • 使用kill -9 进程ID命令强制结束恶意进程。
   • 手动删除恶意文件、清理crontab定时任务等。
   • 使用chkrootkit、rkhunter等工具检测并清除rootkit。
4. 日志分析
   • 深入分析/var/log目录下的日志文件，特别是与安全相关的事件。
   • 使用logrotate配置日志轮转，避免日志文件过大。
   • 使用rsyslog或syslog-ng等工具进行日志集中管理和分析。
   • 使用fail2ban等工具分析登录失败尝试，并自动封禁恶意IP。