信息安全應(yīng)急響應(yīng)系列之網(wǎng)站入侵分析-全文預(yù)覽
【正文】 圖文件；167。 系統(tǒng)安全日志中的登錄信息同樣可以用于判斷攻擊者來源。 對異常服務(wù)或進(jìn)程的追蹤，可以查找惡意文件，確認(rèn)攻擊后的后門，以及攻擊時(shí)間；167。 系統(tǒng)安全日志中有非正常登陸情況167。針對收集到的賬戶信息、文件修改情況、系統(tǒng)日志、網(wǎng)站日志等進(jìn)行綜合分析和歸納，確認(rèn)是否存在以下情況：167。apache的進(jìn)程會(huì)發(fā)現(xiàn)有很多 open操作， apache需要遍歷 web目錄下所有的目錄查找 .htaccess文件，當(dāng)設(shè)置為 none時(shí) open操作明顯減少，可以結(jié)合壓力測試看到效果。trace=open,read strace 作用：跟蹤程序執(zhí)行時(shí)的系統(tǒng)調(diào)用和所接收的信號(hào)，通常的用法是 strace執(zhí)行一直到 mand結(jié)束。xargseval\(\$_post/app/website//app/website/*grep 查找一句話木馬（ ?php22Linux下常用的響應(yīng)工具工具 主要功能ps 可查看系統(tǒng)當(dāng)前運(yùn)行的進(jìn)程Locate/find 用于查找指定名稱的文件Netstat 列出所有監(jiān)聽端口及這些端口的所有連接者Grep/awk 列出所有包含指定字符串的文件，可以用于查找可以的后門以及 Webshell文件strace 開始或者附加到一個(gè)當(dāng)前運(yùn)行的進(jìn)程中，顯示這個(gè)進(jìn)程所作的所有系統(tǒng)調(diào)用。20Windows下常用響應(yīng)工具工具 主要功能 可查看進(jìn)程、內(nèi)核、服務(wù)等Sysinternals系列 該工具包含有大量用于 Windows檢查的工具Netset 列出所有監(jiān)聽端口及這些端口的所有連接者IceSword 列出所有正在運(yùn)行的進(jìn)程及其命令參數(shù)和各自運(yùn)行所需的 DLLWebshell 查看賬戶登錄狀況167。 查看賬戶信息167。2023年 4月 頁面掛馬北京數(shù)字證書認(rèn)證中心 16被入侵網(wǎng)站的現(xiàn)象167。事件特性216。15入侵信息核實(shí)216。用戶報(bào)告216。 突發(fā)性強(qiáng)167。2023年 4月 北京數(shù)字證書認(rèn)證中心 2023年 4月 北京數(shù)字證書認(rèn)證中心 167。2023年 4月 8應(yīng) 急響 應(yīng) 的一般步 驟 事件清除 恢復(fù)業(yè)務(wù) 事件總結(jié) 手段分析 攻擊者分析 宏觀分析發(fā)現(xiàn) 定位和分析 恢復(fù) 舉報(bào)、主動(dòng)搜 索、發(fā)現(xiàn)惡意代碼北京數(shù)字證書認(rèn)證中心 基于該事件以及對安全應(yīng)急響應(yīng)認(rèn)識(shí)的深入，卡內(nèi)基梅隆大學(xué)的軟件工程學(xué)院（ SEI）向美國國防部高級研究項(xiàng)目處申請了資金，成立了計(jì)算機(jī)應(yīng)急響應(yīng)協(xié)調(diào)中心（ CERT/CC），協(xié)調(diào)處理整個(gè)互聯(lián)網(wǎng)的信息安全應(yīng)急響應(yīng)。167。167。2023年 4月 2內(nèi)容回顧1. 安全應(yīng)急響應(yīng)背景介紹2. 網(wǎng)站被入侵事件的發(fā)現(xiàn)3. 入侵手段分析及源地址追蹤4. 收尾及報(bào)告撰寫5. 典型案例分析北京數(shù)字證書認(rèn)證中心 1信息安全應(yīng)急響應(yīng)系列之網(wǎng)站入侵分析陳 青民2023年 4月北京數(shù)字證書認(rèn)證中心 2023年 4月 Emergency Response/Incident Response:安全人員在遇到突發(fā)事件后所采取的措施和行動(dòng)。這里的“ 情況 ” 包括常見的黑客入侵、信息竊取等，也包括拒絕服務(wù)攻擊、網(wǎng)絡(luò)流量異常等。5應(yīng)急響應(yīng)的發(fā)展背景1988年 11月發(fā)生的莫里斯蠕蟲病毒事件（ Morris Worm Incident）致使當(dāng)時(shí)的互聯(lián)網(wǎng)絡(luò)超過 10%的系統(tǒng)不能工作。7主要應(yīng)急響應(yīng)組織及關(guān)系北京數(shù)字證書認(rèn)證中心 2023年 4月 客戶通過電話、 Email、傳真等方式請求安全事件響應(yīng)，應(yīng)急響應(yīng)組通過相同的方式為客戶解決問題。 遠(yuǎn)程系統(tǒng)無法登陸，或無法通過遠(yuǎn)程訪問的方式替客戶解決問題，客戶確認(rèn)后，轉(zhuǎn)到本地應(yīng)急相應(yīng)流程，
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1