关注网络安全、云原生安全

做入侵检测时会有一些攻击告警，需要做应急响应。本文从流程规范角度来浅谈一下应急响应的步骤，介绍应急需要准备哪些知识，以及常见攻击流程示例。后面几章留坑，持续更新中…P(PreParation准备)D(Detection检测）C(Containment遏制)E(Eradication根除）R(Recovery恢复)F(follow-up跟踪总结）根据PDCERF模型进行优化，分为以下几个阶段。时间范围资产范围攻击路径攻击手法止损情况恢复情况待办。

爆破漏洞是比较常见漏洞，端口开放，管理后台没有做登录频率限制等情况都可能遭受到爆破攻击，本文以SSH爆破为例，介绍下应急响应流程。8月23日00时13分收到SSH爆破成功告警，ip为172.19.0.16的机器被攻击，来源ip是172.19.0.3，经研判分析，攻击者从8月23日00时06分开始发起攻击，失败115次，成功2次，成功后修改了authorized_keys文件，已还原。来源机器为业务测试机器，未找到攻击入口，重装了操作系统。MTTD 7分钟，MTTC 20分钟。

本文介绍主机网络层面上的攻击场景，每种攻击场景举一个例子。监测方面以字节跳动的开源HIDS elkeid举例。针对网络攻击，通常可以考虑从以下方面做规则来源ip：针对异常ip，有访问即告警。访问端口：针对高危端口，有访问即告警。访问频率：针对过多的访问，在一段时间内超过频率即告警。例如，对同一端口或多个端口。

本文介绍下在应急响应过程中，linux系统下排查网络可能用到的命令，有些命令选项很多，读者可以仅看常用选项。

本文介绍下在应急响应过程中，linux系统下排查系统、进程、服务可能用到的命令，有些命令选项很多，读者可以仅看常用选项。不涉及内存、进程注入、rootkit等高级攻击的排查。常用-n参数，n为展示的数量systemctl命令 是系统服务管理器指令，它实际上将 service 和 chkconfig 这两个命令组合到一起。任务旧指令新指令使某服务自动启动使某服务不自动启动检查服务状态systemctl status httpd.service （服务详细信息）

本文介绍一下主机安全中目录、文件相关的命令，一些常用命令不详细介绍，仅仅列出，主要介绍的是安全相关的命令，方便做排查和防御。最后列出应急常看的目录。

本文更新通过在主机（不含容器）上直接执行命令或启动进程来攻击的场景。检测方面以字节跳动的开源HIDS elkeid举例。每种检测仅举一个例子，其余的给出示例payload。

HIDS（ host-based intrusion detection system，基于主机的入侵检测系统），通过监测主机上的进程、文件、网络等信息来识别入侵风险。