网络攻防中Windows 应急响应、进程检查、内存分析、特定事件痕迹检查、挖矿病毒应急、勒索病毒事件应急、Sysinternals Utilities、勒索软件文件恢复等等。
1. Windows 的应急事件分类
Windows 系统的应急事件,按照处理的方式,可分为下面几种类别:
- 病毒、木马、蠕虫事件
- Web 服务器入侵事件或第三方服务入侵事件
- 系统入侵事件,如利用 Windows 的漏洞攻击入侵系统、利用弱口令入侵、利用其他服务的漏洞入侵,跟 Web 入侵有所区别,Web 入侵需要对 Web 日志进行分析,系统入侵只能查看 Windows 的事件日志。
- 网络攻击事件(DDoS、ARP、DNS 劫持等)
2. 通用排查思路
入侵肯定会留下痕迹,另外重点强调的是不要一上来就各种查查查,问清楚谁在什么时间发现的主机异常情况,异常的现象是什么,受害用户做了什么样的紧急处理。问清楚主机异常情况后,需要动脑考虑为什么会产生某种异常,从现象