應(yīng)急響應(yīng)ppt課件(2)(參考版)
2025-05-15 08:58本頁面
【正文】 這里主要給大家介紹了信息系統(tǒng)應(yīng)急響應(yīng)的相關(guān)知識。結(jié)陷阱技術(shù)n 設(shè)計陷阱捕獲攻擊者，如：蜜罐技術(shù)等。作為偵破的線索和證據(jù)。9.計算機犯罪取證n 這些文件名和地址可以提供一些線索和證據(jù)。如： Windowsn 8.在磁盤中，有時軟件在運行過程中會產(chǎn)生一些諸如 .ＴＭＰ的臨時文件，還有諾頓這種軟件可對系統(tǒng)區(qū)域的重要內(nèi)容(如 :磁盤引導(dǎo)區(qū)， FAT表等 )形成鏡像文件，以及 .bak，交換文件 .swp等。磁盤后備文件、鏡像文件、交換文件、臨時文件分析技術(shù)n 57掌握這一特性，該技術(shù)可用于數(shù)據(jù)恢復(fù)，對被刪除、修改、復(fù)制的文件，可追溯到變化前的狀態(tài)。而系統(tǒng)實際上是將文件原來占用的磁盤空間釋放掉，使之成為空閑區(qū)域，經(jīng)過上述操作的文件重新向系統(tǒng)申請存儲空間，再寫入磁盤。磁盤在使用過程中，對文件要進行大量增、刪、改、復(fù)制等操作。磁盤存儲空閑空間的數(shù)據(jù)分析技術(shù)n 56n 5.n 4.因此對破壞和刪除的數(shù)據(jù)要進行有效分析，才能從中發(fā)現(xiàn)蛛絲馬跡。計算機犯罪取證n 3.對所做的系統(tǒng)硬盤備份，用關(guān)鍵字匹配查詢，從中發(fā)現(xiàn)問題。n 2.n 1.在應(yīng)急響應(yīng)的第 4個階段即根除階段，一個很重要的過程就是犯罪取證，抓獲元兇，只有這樣才能從根本上鏟除對計算機系統(tǒng)的危害。54n (9)用 finger/var/log/messages查看外部用戶的登錄狀況。查看 router的信息。stat——可以查看現(xiàn)在的網(wǎng)絡(luò)狀態(tài)，如 tel到機器上來的用戶的 IP地址 ,還有一些其他的網(wǎng)絡(luò)狀態(tài)。lastm——顯示系統(tǒng)過去被運行的命令。53n (3)n (2)n 首先大家可以通過下面的系統(tǒng)命令和配置文件來跟蹤入侵者的來源路徑：n (1)相信對于是否受到入侵的 Unix或者 這一節(jié)將介紹關(guān)于 Unix系統(tǒng)問題的查找的方法。52/etc/，拒絕此 IP對機器的訪問。Linus系統(tǒng)應(yīng)急響應(yīng)方法n 然后在 /etc//usr/local/psionic/portsentry/portsentrydetection） UDPsudpdetection）n stealth（ Advancedportsentry：n portsentryscanStealthaudpscan（ Stealthdetection）n portsentrystealth（ Advanceddetection）n portsentryTCPstcpUDP（ basicmode）n portsentryportboundtcpLinus系統(tǒng)應(yīng)急響應(yīng)方法n Portsentry也不會采取任何行動。/usr/psionic/portsentry/n 地址被拒絕，哪些被忽略等信息。您可以在這個文件中設(shè)置您所要監(jiān)聽的端口，以及哪些 portsentry這樣會生成一個名為 ，進入這個目錄，可以看到內(nèi)有 ，為了順利安裝它，主要需要關(guān)注兩個配置文件， .49n tarn gzipPortsentry可以從應(yīng)文件，當(dāng)前 portsentry的最新版本為 ，下載后，需要進行解壓，如下：n 48(4)馬上禁止所有通向掃描主機的網(wǎng)絡(luò)流量；n 將掃描的主機加入 syslog(1)47它可以實時發(fā)現(xiàn)并分析記錄對本機的掃描， 總之 PortsentryTCP/UDP端口。portsentry這個工具進行檢測， PortSentry在被保護的機器上是以 daemon的形式運行的。也可以使用 md5軟件對系統(tǒng)中的重要命令和配置文件進行檢查和定期對比，以發(fā)現(xiàn)潛在的入侵和攻擊。Linus系統(tǒng)應(yīng)急響應(yīng)方法n secure45在此之前，有必要了解針對特定系統(tǒng)的日志存儲位置。n chkrootkit檢測 rootkit4443檢測過程如圖 。即可編譯。makechkrootkit檢測系統(tǒng)常用命令以及系統(tǒng)的日志和文件，查看是否有惡意程序侵入系統(tǒng)，并且尋找關(guān)聯(lián)到不同惡意程序的信號。42/etc/ /etc/。rootkit雖然被成功裝載，但在系統(tǒng)的某些細節(jié)上會出現(xiàn) “異常 ”，甚至可能使系統(tǒng)在運行一段時間后徹底崩潰。黑客攻入主機時，在受害的主機上，順利地編譯和安裝木馬程序。整理一些些常用的木馬程序， rootkit， 對于來說，解決的辦法是找到那些 rootkit。Kernel41有時僅通過時間就能識別可疑進程。用 psLinus系統(tǒng)應(yīng)急響應(yīng)方法n 3．查看系統(tǒng)進程n stat39address顯示了外部 ip， state顯示了當(dāng)前這個連接的狀態(tài)。所示，輸出行有 5個結(jié)果，其中比較重要的是 proto顯示了使用協(xié)議， localLinus系統(tǒng)應(yīng)急響應(yīng)方法n 2．查看系統(tǒng)開放的端口n 用 stat n USER字段顯示當(dāng)前登錄的用戶名。37在 Linux上創(chuàng)建響應(yīng)工具包時，可以用 gcc的 –static參數(shù)編譯源代碼，或者用 ldd檢查動態(tài)連接庫，在響應(yīng)工具包存儲介質(zhì)上建立庫文件目錄，并拷貝所有工具需要的動態(tài)連接庫的副本，最后設(shè)置環(huán)境變量。Linus系統(tǒng)應(yīng)急響應(yīng)方法n lsmodbashwgzipifconfigvin cattrusspspcatsumlsoffilen finddd下面介紹一下 Linux下應(yīng)急響應(yīng)的方法和流程，測試系統(tǒng)為 。35Windows系統(tǒng)應(yīng)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1