Windows应急响应 2022

Windows应急响应 2022
1.1.入侵排查思路
web入侵：对中间件日志进行分析
系统入侵：计划任务、系统爆破痕迹（系统日志），进程进行分析
网络攻击：流量分析
1.1.1.检查系统账户安全
查看服务器是否有弱口令，远程管理端口是否对公网开放
检查方法：查看网络连接对应的进程
Netstat -anb | findstr 进程
查看日志：Win+R 输入eventvwr.msc
1.1.2.查看服务器是否存在可疑账户、新增账户
检查方法一：win+R 输入lusrmgr.msc
检查方法二：win+R 输入net localgroup administrators
处理方法：禁用或删除对应的账户
1.1.3.查看服务器是否存在隐藏账户、克隆账户
检查方法一：查看注册表对应的键值
处理方法：删除注册表
检查方法二：win+R 输入compmgmt.msc -->本地用户和组–>用户（用户名以$结尾的为隐藏用户）
检查方法三：使用D盾web查杀工具进行检测，其中集成了对克隆账户、隐藏账户检测的功能
1.1.4.结合日志，查看管理员登录时间、用户名是否存在异常
检查方法：win+R 输入eventvwr.msc 打开事件查看器–>导出Windows安全日志–>利用log parser进行分析
1.1.5.检查异常端口、进程
检查端口连接情况，是否有远程连接、可疑连接
检查方法：netstat -ano查看目前的网络连接，定位可疑的ESTABLISHED
根据nestat定位出的pid,再通过tasklist的命令进行进程定位
Tasklist | findstr “PID”
1.1.6.进程
检查方法一：win+R,输入msinfo32,点击“软件环境”–>“正在运行任务”
检查方法二：使用微软官方提供工具Process Explorer排查
检查方法三：“任务管理器”–>“进程”
1.1.7.计划任务
检查方法一：控制面板–管理工具–任务计划程序\taskschd.msc
检查方法二：cmd输入schtasks
存放计划任务文件
C:\Windows\System32\Tasks
C:\Windows\SysWOW64\Tasks
C:\Windows\tasks
*.job（指文件）
1.1.8.查看可疑目录及文件
检查方法一：查看host
type %systemroot%\System32\drivers\etc\hosts
Window 2003 C:\Documents and Settings
Window 2008R2 C:\Users
检查方法二：win+R 输入%UserProfile%\Recent，分析最近打开分析可疑文件
1.1.9.中间件日志分析（分析是否上传webshell、sql注入等操作）
Tomcat:安装目录下logs文件夹localhost_access_log.日期.txt （一般针对这个文件进行分析）
这个是存放访问tomcat的请求的所有地址以及请求的路径、时间，请求协议以及返回码等信息（重要）
Apache：安装目录下logs文件夹access.log