1 响应流程

事件发生

运维监控人员、客服审核人员等发现问题，向上通报。

事件确认

收集事件信息、分析网络活动相关程序，日志和数据，判断事件的严重性，评估出问题的严重等级，是否向

上进行汇报等。

事件响应

各部门通力合作，处理安全问题，具体解决问题，避免存在漏洞未修补、后门未清除等残留问题。

事件关闭

处理完事件之后，需要关闭事件，并写出安全应急处理分析报告，完成整个应急过程。

2 事件分类

• 后门、蠕虫事件

• Web 服务器入侵事件

• 第三方服务入侵事件

• 系统入侵事件

– 利用 Windows 漏洞攻操作系统

• 网络入侵事件

– DDoS / ARP 欺骗 / DNS 劫持等

3 分析方向

文件分析

• 基于变化的分析

– 日期

– 文件增改

– 最近使用文件

• 源码分析

– 检查源码改动

– 查杀 WebShell 等后门

• 系统日志分析

• 应用日志分析

– 分析 User-Agent，e.g. awvs / burpsuite / w3af / nessus / openvas

– 对每种入侵进行关键字匹配，e.g. select/alert/eval

– 异常请求，连续的 404 或者 500

• md5sum 检查常用命令二进制文件的哈希，检查是否被植入 rootkit

进程分析

• 符合以下特征的进程

– CPU 或内存资源占用长时间过高

– 没有签名验证信息

– 没有描述信息的进程

– 进程的路径不合法

• dump 系统内存进行分析

• 正在运行的进程

• 正在运行的服务

• 父进程和子进程

• 后台可执行文件的完整哈希

• 已安装的应用程序

• 运行着密钥或其他正在自动运行的持久化程序

• 计划任务

身份信息分析

• 本地以及域账号用户

• 异常的身份验证

• 非标准格式的用户名

日志分析

• 杀软检测记录

网络分析

• 防火墙配置

• DNS 配置

• DNS 配置

• 路由配置

• 监听端口和相关服务

• 最近建立的网络连接

• RDP / VPN / SSH 等会话

配置分析

• 查看 Linux SE 等配置

• 查看环境变量

• 查看配套的注册表信息检索，SAM 文件

• 内核模块