信息安全應急響應系列之網(wǎng)站入侵分析-全文預覽
【正文】 圖文件；167。 系統(tǒng)安全日志中的登錄信息同樣可以用于判斷攻擊者來源。 對異常服務或進程的追蹤，可以查找惡意文件，確認攻擊后的后門，以及攻擊時間；167。 系統(tǒng)安全日志中有非正常登陸情況167。針對收集到的賬戶信息、文件修改情況、系統(tǒng)日志、網(wǎng)站日志等進行綜合分析和歸納，確認是否存在以下情況：167。apache的進程會發(fā)現(xiàn)有很多 open操作， apache需要遍歷 web目錄下所有的目錄查找 .htaccess文件，當設置為 none時 open操作明顯減少，可以結合壓力測試看到效果。trace=open,read strace 作用：跟蹤程序執(zhí)行時的系統(tǒng)調用和所接收的信號，通常的用法是 strace執(zhí)行一直到 mand結束。xargseval\(\$_post/app/website//app/website/*grep 查找一句話木馬（ ?php22Linux下常用的響應工具工具 主要功能ps 可查看系統(tǒng)當前運行的進程Locate/find 用于查找指定名稱的文件Netstat 列出所有監(jiān)聽端口及這些端口的所有連接者Grep/awk 列出所有包含指定字符串的文件，可以用于查找可以的后門以及 Webshell文件strace 開始或者附加到一個當前運行的進程中，顯示這個進程所作的所有系統(tǒng)調用。20Windows下常用響應工具工具 主要功能 可查看進程、內(nèi)核、服務等Sysinternals系列 該工具包含有大量用于 Windows檢查的工具Netset 列出所有監(jiān)聽端口及這些端口的所有連接者IceSword 列出所有正在運行的進程及其命令參數(shù)和各自運行所需的 DLLWebshell 查看賬戶登錄狀況167。 查看賬戶信息167。2023年 4月 頁面掛馬北京數(shù)字證書認證中心 16被入侵網(wǎng)站的現(xiàn)象167。事件特性216。15入侵信息核實216。用戶報告216。 突發(fā)性強167。2023年 4月 北京數(shù)字證書認證中心 2023年 4月 北京數(shù)字證書認證中心 167。2023年 4月 8應 急響 應 的一般步 驟 事件清除 恢復業(yè)務 事件總結 手段分析 攻擊者分析 宏觀分析發(fā)現(xiàn) 定位和分析 恢復 舉報、主動搜 索、發(fā)現(xiàn)惡意代碼北京數(shù)字證書認證中心 基于該事件以及對安全應急響應認識的深入，卡內(nèi)基梅隆大學的軟件工程學院（ SEI）向美國國防部高級研究項目處申請了資金，成立了計算機應急響應協(xié)調中心（ CERT/CC），協(xié)調處理整個互聯(lián)網(wǎng)的信息安全應急響應。167。167。2023年 4月 2內(nèi)容回顧1. 安全應急響應背景介紹2. 網(wǎng)站被入侵事件的發(fā)現(xiàn)3. 入侵手段分析及源地址追蹤4. 收尾及報告撰寫5. 典型案例分析北京數(shù)字證書認證中心 1信息安全應急響應系列之網(wǎng)站入侵分析陳 青民2023年 4月北京數(shù)字證書認證中心 2023年 4月 Emergency Response/Incident Response:安全人員在遇到突發(fā)事件后所采取的措施和行動。這里的“ 情況 ” 包括常見的黑客入侵、信息竊取等，也包括拒絕服務攻擊、網(wǎng)絡流量異常等。5應急響應的發(fā)展背景1988年 11月發(fā)生的莫里斯蠕蟲病毒事件（ Morris Worm Incident）致使當時的互聯(lián)網(wǎng)絡超過 10%的系統(tǒng)不能工作。7主要應急響應組織及關系北京數(shù)字證書認證中心 2023年 4月 客戶通過電話、 Email、傳真等方式請求安全事件響應，應急響應組通過相同的方式為客戶解決問題。 遠程系統(tǒng)無法登陸，或無法通過遠程訪問的方式替客戶解決問題，客戶確認后，轉到本地應急相應流程，
教學課件相關推薦
鄂ICP備17016276號-1