HW防守 | Windows应急响应基础

常见的应急响应事件分类:

web入侵:网页挂马、主页篡改、Webshell

系统入侵:病毒木马、勒索软件、远控后门

网络攻击:DDOS攻击、DNS劫持、ARP欺骗

 

入侵排查思路

web入侵:对中间价日志进行分析

系统入侵:计划任务,系统爆破痕迹(系统日志),进程进行分析

网络攻击:流量分析

 

1、 检查系统账号安全

查看服务器是否有弱口令,远程管理端口是否对公网开放

检查方法:查看网络连接对应的进程

  •  
Netstat -anb | findstr 进程

 

查看日志:

打开控制面板——系统和安全——查看事件日志,就进入了事件查看器

打开左侧事件查看器(本地)——Windows日志——安全

筛查4776事件(远程登陆日志)查看是否有登陆频率过高事件

重要的事件 ID(安全日志,Security.evtx)

  • 4624:账户成功登录

  • 4648:使用明文凭证尝试登录

  • 4778:重新连接到一台 Windows 主机的会话

  • 4779:断开到一台 Windows 主机的会话

 

 

2、查看服务器是否存在可疑账号、新增账号。

检查方法:打开 cmd 窗口,输入lusrmgr.msc命令,查看是否有新增/可疑的账号,如有管理员群组的(Administrators)里的新增账户,如有,请立即禁用或删除掉。

 

3、查看服务器是否存在隐藏账号、克隆账号。

检查方法:

a、打开注册表 ,查看管理员对应键值。

b、使用D盾_web查杀工具,集成了对克隆账号检测的功能

c.windows账号信息,隐藏账号

【开始】➜【运行】➜【compmgmt.msc】➜【本地用户和组】➜【用户】 (用户名以$结尾的为隐藏用户,如:admin$)

 

4、结合日志,查看管理员登录时间、用户名是否存在异常。

检查方法:

a、Win+R打开运行,输入“eventvwr.msc”,回车运行,打开“事件查看器”。

b、导出Windows日志--安全,利用Log Parser进行分析。

LogParser.exe -i:EVT -o:DATAGRID "SELECT TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,'|') as username,EXTRACT_TOKEN(Strings, 8, '|') as LogonType,EXTRACT_TOKEN(Strings, 17, '|') AS ProcessName,EXTRACT_TOKEN(Strings, 18, '|') AS SourceIP FROM 日志位置 where EventID=4624"

 

5、检查异常端口、进程

检查端口连接情况,是否有远程连接、可疑连接。

检查方法:

a、netstat -ano 查看目前的网络连接,定位可疑的ESTABLISHED

b、根据netstat 定位出的pid,再通过tasklist命令进行进程定位

  •  
tasklist | findstr “PID”

 

6、进程

检查方法:

a、开始--运行--输入msinfo32,依次点击“软件环境→正在运行任务”就可以查看到进程的详细信息,比如进程路径、进程ID、文件创建日期、启动时间等。

b、打开D盾_web查杀工具,进程查看,关注没有签名信息的进程。

c、通过微软官方提供的 Process Explorer 等工具进行排查 。

d、查看可疑的进程及其子进程。可以通过观察以下内容:

没有签名验证信息的进程

没有描述信息的进程

进程的属主

进程的路径是否合法

CPU或内存资源占用长时间过高的进程

 

7、计划任务

控制面板 — 管理工具 — 任务计划程序

或运行 — taskschd.msc

通过命令查看计划任务schtasks

存放计划任务的文件

  • C:\Windows\System32\Tasks\

  • C:\Windows\SysWOW64\Tasks\

  • C:\Windows\tasks\

  • *.job(指文件)

 

8、查看可疑目录及文件

查看 host :

type %systemroot%\System32\drivers\etc\hosts

Window 2003 C:\Documents and Settings

Window 2008R2 C:\Users\

Recent是系统文件夹,里面存放着你最近使用的文档的快捷方式,查看用户recent相关文件,通过分析最近打开分析可疑文件:

单击【开始】>【运行】,输入%UserProfile%\Recent,分析最近打开分析可疑文件。

temp(tmp)相关目录下查看有无异常文件 :Windows产生的临时文件

 

9、中间件日志分析(分析是否上传webshell,sql注入等操作)

tomcat:安装目录下logs文件夹localhost_access_log.日期.txt  (我们分析一般针对这个进行分析)
 

这个是存放访问tomcat的请求的所有地址以及请求的路径、时间,请求协议以及返回码等信息(重要)
 

例如:

  •  
127.0.0.1 - - [29/May/2020:12:03:06 +0800] "GET /tomcat.css HTTP/1.1" 200 5581

 

请求IP -- 请求时间 ---请求方式---请求路径---请求协议---状态码---字节包

对请求路径进行分析,定位攻击者

 

apache:安装目录下logs文件夹 access.log(格式与tomcat一致)

  •  
127.0.0.1 - - [13/May/2020:20:26:48 +0800] "GET /index.php HTTP/1.1" 404 196

 

请求IP -- 请求时间 ---请求方式---请求路径---请求协议---状态码---字节包

对请求路径进行分析,定位攻击者

 

工具推荐:火绒剑

可对程序连接网络信息进行查看

 

 

可以对某一时段发包信息进行监控(进程迁移操作时,可监控程序行为判断)

 

©️2020 CSDN 皮肤主题: 大白 设计师: CSDN官方博客 返回首页
实付0元
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、C币套餐、付费专栏及课程。

余额充值