应急响应-从攻击谈防守

什么是应急响应

应急响应

应急响应(Incident Response/Emergency Response):

通常是指一个组织为了应对各种意外事件的发生所做的准备工作以及在突发事件发生时或者发生后所采取的措施

计算机网络应急响应的对象是指计算机或网络所存储、传输、处理的信息的安全事件,事件的主体可能来自自然界、系统自身故障(这里的系统包括主机范畴内的问题,也包括网络范畴内的问题)、组织内部或外部的人、计算机病毒或蠕虫等

应急处置

启动应急响应计划后,应立即采取相关措施抑制信息安全事件影响,避免造成更大损失.
在确定有效控制了信息安全事件影响后,开始实施恢复操作.
恢复阶段的行动集中于建立临时业务处理能力、修复原系统的损害、在原系统或新设施中恢复运行业务能力等应急措施.

信息安全应急响应计划规范GB/T 24363-2009

应急响应生命周期(PDCERF)

检测

预防为主

准备

遏制

即时采取的行动

根除

长期的补救措施

恢复

跟踪

应急响应思路流程

1、收集信息

在赶往出事地点的路上以及还没有接触到具体业务时,要提前向客户询问清楚事件情况,如发现时间以及大致发生时间、事件造成的破坏、受害主机情况(如系统、版本、内外网)、客户的具体处置要求

应急响应信息收集表

2、事件预定性

在初步了解情况后先做一个事件性质预判,判断下这个事件是个什么事件,是勒索还是挖矿还是其他事件。然后根据事件发生时间划定一个时间范围,重点排查这个时间段内的情况,从影响范围中确认一个排查范围。

3、取证分析

取证并非毫无头绪的,病毒本身必然有网络行为,内存必然有其二进制代码,它要么是单独的进程模块,要么是进程的dll/so模块,通常,为了保活,它极可能还有自己的启动项、网络心跳包。

可以归结为如下4点要素：流量、内存、模块、启动项。

流量分析可以使用Wireshark,主要分析下当前主机访问了哪些域名、URL、服务,或者有哪些外网IP在访问本地主机的哪些端口、服务和目录,又使用了何种协议等等。

取证注意事项

保护

1
2
3
4
5

保证数据的安全性：制作磁盘映像——不在原始磁盘上操作

保证数据完整性：取证中不使用可能破坏完整性的操作

第三方监督：所有操作都有第三方在场监督

提取

1
2
3
4
5

优先提取易消失的证据：内存信息、系统进程、网络连接信息、路由信息、临时文件、缓存等

文件系统：数据恢复、隐藏文件、加密文件、回收站、注册表、系统日志等

应用系统：系统日志、中间件日志

分析

1
2
3

证据在什么地方：日志、删除的文件、临时文件、缓存

从证据中能发现什么？如何关联证据？

4、定向分析

二次定性后,我们基本已经真正掌握了事件情况,这时就可以进行各种分析,对各种情况利用各种工具快速分析

响应流程

事件发生

运维监控人员、客服审核人员等发现问题,向上通报。

事件确认

收集事件信息、分析网络活动相关程序,日志和数据,判断事件的严重性,评估出问题的严重等级,是否向上进行汇报等。

事件响应

各部门通力合作,处理安全问题,具体解决问题,避免存在漏洞未修补、后门未清除等残留问题。

事件关闭

处理完事件之后,需要关闭事件,并写出安全应急处理分析报告,完成整个应急过程。

分析方向

应急分类

1. 网站入侵应急:网站瘫痪、网页篡改、页面挂马、撞库、横向移动

2. 主机入侵应急:木马病毒、后门攻击、异常登录、系统异常、RDP爆破、SSH爆破、主机漏洞

3. 病毒木马:远控、后门、勒索软件

4. 信息泄露:刷库、数据库弱口令

5. 网络流量:频繁发包、批量请求、DDos攻击

文件分析

• 基于变化的分析

  1 2 3

  日期 文件增改 最近使用文件

• 源码分析

  1 2	检查源码改动 查杀WebShell等后门

• 系统日志分析

• 应用日志分析

  1 2 3

  分析User-Agent,e.g. awvs / burpsuite / w3af / nessus / openvas 对每种攻击进行关键字匹配, e.g. select/alert/eval 异常请求,连续的404-目录扫描、302-暴力破解、500等

• md5sum 检查常用命令二进制文件的哈希,检查是否被植入rootkit

进程分析

• 符合以下特征的进程

  1 2 3 4

  CPU或内存资源占用长时间过高 没有签名验证信息 没有描述信息的进程 进程的路径不合法

• dump系统内存进行分析

• 正在运行的进程

• 正在运行的服务

• 父进程和子进程

• 后台可执行文件的完整哈希

• 已安装的应用程序

• 运行着密钥或其他正在自动运行的持久化程序

• 计划任务

身份信息分析

• 本地以及域账号用户
• 异常的身份验证
• 非标准格式的用户名

日志分析

• 杀软检测记录
• 系统日志
• 中间件日志

网络分析

• 监听端口和相关服务
• 最近建立的网络连接
• RDP / VPN / SSH 等会话
• 防火墙配置
• DNS配置
• 路由配置

配置分析

• 查看配套的注册表信息检索,SAM文件
• 查看环境变量
• 查看Linux SE等配置
• 内核模块

木马排查实战流程

内存马查杀

1. visualvm 适用于servlet或filter框架组件内存马(JDK1.8以上,bin文件下)自带
   
2. arthas 适用于servlet或filter框架组件内存马是阿里巴巴开源的Java诊断工具
   
3. copagent 适用于servlet,filter,listenter框架组件内存马
   
   

研判与溯源

分析流程

1. 定位事件
   1. 设备告警
   2. 辅助设备
   3. 告警事件
   4. 应急响应
2. 分析服务器以及相应服务开放的端口
   1. 21 3389 445 443 80 3306 8080
3. 分析服务被攻击的方法
   1. OWASP TOP 10
   2. 爆破
   3. 欺骗
   4. 钓鱼
   5. 漏洞利用
4. 分析日志
5. 查找Webshell
6. 分析网站数据库连接账号权限
7. 分析网站容器权限
8. 被提权了
   1. 查看补丁
   2. 查看账号连接情况(分析注册表如是否被克隆账号)
   3. 查看网络连接
   4. 分析进程
   5. 分析注册表启动程序
   6. 分析日志
   7. 分析一些提权工具
      1. 漏洞利用程序
      2. 执行对比命令
      3. mimakatz
9. 报告整理

信息分析

用户画像绘制流程

重大信息安全事件报告表

应急响应总结模板

参考资料

• Web快照

• Web快照-站长之家

许可协议

本文由 kill3r 原创,采用 署名-非商业性使用-相同方式共享 4.0 国际 许可协议，转载请注明出处。

分享文章