2024windows应急流程及实战演练.docx

windows应急流程及实战演练手册2024目录windows应急流程及实战演练4常见的应急响应事件分类：40x01入侵排查思路4一、检查系统账号安全41、查看服务器是否有弱口令，远程管理端口是否对公网开放。42、查看服务器是否存在可疑账号、新增账号。43、查看服务器是否存在隐藏账号、克隆账号。54、结合日志，查看管理员登录时间、用户名是否存在异常。5二、检查异常端口、进程51、检查端口连接情况，是否有远程连接、可疑连接。52、进程63、小技巧：6三'检查启动项、计划任务、服务71、检查服务器是否有异常的启动项。72、检查计划任务83、服务自启动8四、检查系统相关信息81、查看系统版本以及补丁信息82、查找可疑目录及文件9五、自动化查杀9六、日志分析10a、找到中间件的Web日志，打包到本地方便进行分析。10b、推荐工具：100x02工具篇病毒分析：PCHunter：10病毒查杀：11病毒动态：11在线病毒扫描网站：12webshell查杀：120x03应急响应实战之FTP暴力破解13应急场景13日志分析13登录类型8:网络明文(NetworkCIeartext)141关闭外网FTP端口映射162、删除本地服务器FTP测试16处理措施170x04应急响应实战之蠕虫病毒17应急场景17事件分析17预防处理措施201、安装杀毒软件，定期全盘扫描202、不使用来历不明的软件，不随意接入未经查杀的U盘203、定期对WindoWS系统漏洞进行修复，不给病毒可乘之机204、做好重要文件的备份，备份，备份。200x05应急响应实战之勒索病毒20应急场景20事件分析20360安全卫士勒索病毒专题:22防范措施220x06应急响应实战之挖矿病毒22应急场景22事件分析23TIPS：24临时防护方案251、根据实际环境路径，删除Web1.OgiC程序下列War包及目录252、重启Web1.ogiC或系统后，确认以下链接访问是否为40425防范措施251、安装安全软件并升级病毒库，定期全盘扫描，保持实时防护262、及时更新WindOWS安全补丁，开启防火墙临时关闭端口263、及时更新Web漏洞补丁，升级Web组件26windows应急流程及实战演练当企业发生入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。常见的应急响应事件分类：Web入侵：网页挂马、主页篡改、Webshell系统入侵：病毒木马、勒索软件、远控后门网络攻击：DDoS攻击、DNS劫持、ARP欺骗针对常见的攻击事件，结合工作中应急响应事件分析和解决的方法，总结了一些Window服务器入侵排查的思路。0x01入侵排查思路一、检查系统账号安全1、查看服务器是否有弱口令,远程管理端口是否对公网开放。检查方法：据实际情况咨询相关服务器管理员。2'查看服务器是否存在可疑账号、新增账号。检查方法：打开cmd窗口，输入Iusrmgr.msc命令，查看是否有新增/可疑的账号，如有管理员群组的(AdminiStratOrS)里的新增账户，如有，请立即禁用或删除掉。3、查看服务器是否存在隐藏账号、克隆账号。检查方法：a、打开注册表，查看管理员对应键值。b、使用D盾_web查杀工具，集成了对克隆账号检测的功能。Ia领据库后门追查?数据库降权0克隆联号检则夜里监控3s池监控©湍口查看目送程查看。样本解IDI帐号I全名I痛述ID盾一检剜说明登汨t«st$危险I克隆了【管理除号】03EE带$<*号（一锻用于原蒙秣号）1F4Administrator管理计算机"给的内置噌理帐号×1F5Guest供来宾访问计算机或访.3E8IiJSRjnR2008-NEInternet来宾集户用于箧名访问Interne4、结合日志，查看管理员登录时间、用户名是否存在异常。检查方法：a、Win+R打开运行，输入“eventvwr.msc”，回车运行，打开“事件查看器”。b、导出WindOWS日志-安全，利用1.OgParSer进行分析。C：ErogramFiles<×86>1.ogParser2.2>1.ogParser.e×e-i三liUI"Sfc1.tCIIIneGeneraas1.oginTine,EXTRACT-TOKEN<St*ings,5,>asusernameFROMc：Ml.eut×wherentID=4624o1.oginTimeuse*nane2018-06-1718:26:24Adninistikator2018-06-172018-06-182018-06-1818:54:3701:21:3001:21:39SVSTEMAdninistatoikAdninist*atoStatistics：Elementsprocessed：9936Elementsoutput：4Executiontime:0.17seconds二、检查异常端口、进程1、检查端口连接情况，是否有远程连接、可疑连接。检查方法：a、netstat-ano查看目前的网络连接，定位可疑的ESTAB1.ISHEDb、根据netstat定位出的Pid,再通过tasklist命令进行进程定位tasklistIfindstr''PID,z|一管理员CWindov%y%t32ca<iexMEC：Use*sMdminist*ato>netstat-ano活动连接协议本地地址外部地址状态PIDTCP0.0.0.0:800.0.0.0:01.ISTENING4TCP0.0.0.0:1350.0.0.0:01.ISTENING656JCP也也0:445。/2上2.0;0_1.ISTENING4TCP0.0.0.0:14330.0.0.0:01.ISTENING2112ICP-B11111O113B3-H.M.If.Mill-1.ISTENING-I35ZTCP0.0.0.0:33890.0.0.0:01.ISTENING2608TCP0.0.0.0:80800.0.0.0:01.ISTENING“2284TCP0.0.0.0:470010i0i0i004丁管理员C：findovssyst<eB32cBd.exe-llC：MJsersMdninisti*ator>tasklistIfindstr”21.1.2"sqlserui*.e×e2112Services097,1561K2、进程检查方法：a、开始-运行-输入ITisinfo32,依次点击“软件环境T正在运行任务”就可以查看到进程的详细信息，比如进程路径、进程ID、文件创建日期、启动时间等。b、打开D盾_web查杀工具，进程查看，关注没有签名信息的进程。c、通过微软官方提供的ProcessExplorer等工具进行排查。d、查看可疑的进程及其子进程。可以通过观察以下内容： 没有签名验证信息的进程 没有描述信息的进程 进程的属主 进程的路径是否合法CPU或内存资源占用长时间过高的进程3、小技巧：a、查看端口对应的PID：netstat-ano|findstr''portb、查看进程对应的PID：任务管理器一查看-选择列一PID或者tasklistIfindstr''P工Dc、查看进程对应的程序位置：任务管理器-选择对应进程-右键打开文件位置运行输入wmic,Cmd界面输入processd、tasklist/svc进程-PID-服务e、查看WindoWS服务所对应的端口：%system%/system32/drivers/etc/services（一般system%就是C:Windows）三、检查启动项、计划任务、服务1、检查服务器是否有异常的启动项。检查方法：a、登录服务器，单击【开始】>所有程序】>【启动】，默认情况下此目录在是一个空目录，确认是否有非业务程序在该目录下。b、单击开始菜单>【运行】，输入msconfig,查看是否存在命名异常的启动项目，是则取消勾选命名异常的启动项目，并到命令中显示的路径删除文件。c、单击【开始】>运行，输入regedit,打开注册表，查看开机启动项是否正常，特别注意如下三个注册表项：HKEY_CURRENT_USERsoftwaremicorsoftWindowsXcurrentversionrunHKEY_1.OCA1._MACHINESoftwareMicrosoftWindowsXCurrentVersionRunHKEY_1.OCA1._MACHINESoftwareMicrosoftWindowsXCurrentVersionRunonce检查右侧是否有启动异常的项目，如有请删除，并建议安装杀毒软件进行病毒查杀，清除残留病毒或木马。d、利用安全软件查看启动项、开机时间管理等。e组策略，运行gpedit.msco2、检查计划任务检查方法：a、单击【开始】【设置】【控制面板】【任务计划】，查看计划任务属性,便可以发现木马文件的路径。b、单击【开始】【运行】；输入cmd,然后输入at,检查计算机与网络上的其它计算机之间的会话或计划任务，如有，则确认是否为正常连接。3、服务自启动检查方法：单击【开始】【运行】，输入services,msc,注意服务状态和启动类型，检查是否有异常服务。四、检查系统相关信息1、查看系统版本以及补丁信息检查方法：单击【开始】>运行，输入systeminfo,查看系统信息2、查找可疑目录及文件检查方法：a、查看用户目录，新建账号会在这个目录生成一个用户目录，查看是否有新建用户目录。Window2003:C:DocumentsandSettingsWindow2008R2:CUsersb、单击【开始】>运行，输入%UserProfile%Recent,分析最近打开分析可疑文件。c、在服务器各个目录，可根据文件夹内文件列表时间进行排序，查找可疑文件。五、自动化查杀病毒查杀检查方法：下载安全软件，更新最新病毒库，进行全盘扫描。webshell查杀检查方法：选择具体站点路径进行webshell查杀，建议使用两款WebSheIl查杀工具同时查杀，可相互补充规则库的不足.六、日志分析系统日志分析方法：a、前提：开启审核策略