攻击溯源

一、溯源

在攻防演练中我们作为防守方，在看到安全设备报出自身主机收到黑客攻击后，我们之后要做的一件非常重要的事情就是溯源——即根据此攻击者的ip，找出攻击者的身份

二、步骤及常用方法

1、针对ip

通过开源情报和开放端口进行分析查询

拿到域名，可对其进行whois反查

拿到所开放的端口，可查看这些端口所开放的服务进行进一步的利用
可考虑使用msscan来快速查看开放端口
再通过nmap对开放端口进行识别
然后找端口对应的漏洞

2、查询定位

通过蜜罐等设备获取攻击者真实ip，对ip进行定位，可定位具体位置。

3、得到常用ID信息收集

（1）百度信息收集
（2）谷歌信息收集

4、预警设备信息取证

上方数据如果一无所获，可考虑对其发起攻击的行为进行筛查，尝试判断其是否有指纹特征。

5、跳板机信息收集（触发）

进入红队跳板机查询相关信息

如果主机桌面没有敏感信息，可针对下列文件进行信息收集

暂时能想到的就这些啦，以后有更多的积累多的方法再做补充。