第十一次作业

一、应急响应流程

(1)事件预警/发现：

通过安全监控系统或日志报警、告警等方式发现异常或有风险的行为。

(2)事件确认：

事件预警后需要进行核实，确认事件的具体情况，确定事件的类型、影响范围、紧急程度等。

(3)事件分类：

根据事件的类型和影响程度对事件进行分类，并作出响应计划。

(4)紧急响应：

根据响应计划，启动紧急响应模式，进行紧急处理和控制事件。

(5)事件调查：

对事件进行深入分析，找出事件的成因，并根据分析结果调整相关防护策略和措施，降低风险。

(6)事件修复/恢复：

恢复受影响的系统、数据和业务功能，确保业务恢复正常运作。

(7)事件总结/报告：

回顾事件处理过程，总结经验教训，撰写事件报告，并需要对相关人员进行培训和宣传，提高业务人员的安全意识和技能水平。

二、应急响应措施及相关操作

1.查看有无恶意隐藏用户

2.查看系统日志观察是否有恶意操作

3.若存在，则其需要通过木马执行shell命令，对修改内容备份，删除恶意用户

4.则需要查看所搭建网站的文件上传记录，找的木马脚本，通过沙箱分析脚本，尝试找到攻击者登录账号密码。

5.查看木马进程信息获取攻击者ip