一、应急响应流程
(1)事件预警/发现:
通过安全监控系统或日志报警、告警等方式发现异常或有风险的行为。
(2)事件确认:
事件预警后需要进行核实,确认事件的具体情况,确定事件的类型、影响范围、紧急程度等。
(3)事件分类:
根据事件的类型和影响程度对事件进行分类,并作出响应计划。
(4)紧急响应:
根据响应计划,启动紧急响应模式,进行紧急处理和控制事件。
(5)事件调查:
对事件进行深入分析,找出事件的成因,并根据分析结果调整相关防护策略和措施,降低风险。
(6)事件修复/恢复:
恢复受影响的系统、数据和业务功能,确保业务恢复正常运作。
(7)事件总结/报告:
回顾事件处理过程,总结经验教训,撰写事件报告,并需要对相关人员进行培训和宣传,提高业务人员的安全意识和技能水平。
二、应急响应措施及相关操作
1.查看有无恶意隐藏用户
2.查看系统日志观察是否有恶意操作
3.若存在,则其需要通过木马执行shell命令,对修改内容备份,删除恶意用户
4.则需要查看所搭建网站的文件上传记录,找的木马脚本,通过沙箱分析脚本,尝试找到攻击者登录账号密码。
5.查看木马进程信息获取攻击者ip