网络安全应急响应实践

认识应急响应 网络安全的特性：

• 整体性--业务与利益相关
• 动态性--技术不断发展
• 开放性--没有物理边界
• 相对性--没有绝对的安全

网络应急响应：

定义1：在对网络安全态势、组织的网络系统运行情况和面临安全威胁有清楚的认识下，在管理、技术和人员方面进行计划和准备馆当网络安全事件突发时，能够有序应对并妥善处理，降低组织的损失，并能够改进网络安全突发事件的策略和计划。

定义2：应急响应对网络安全事件所做的具体准备，如数据、工具、人力和计划方面，以及事件发生时的处置和事件后的针对分析。

工程师分类：

• 红队 --攻击方
• 蓝队 --狩猎
• 青队--网络安全问题出现，能够及时响应反制保护企业安全。工作内容：采取合适的应对策略和措施保障自身业务信息系统持续性。

应急响应流程 应急响应准备：

获取当前网络安全事件信息

1、事件发生前，做好日常运维检测，收集各类故障信息。

•         区分系统自身故障和人为破坏
•         区分股事件和应急响应事件

2、充分获取当前事件信息从而启动相应的预案

•         事件上报，确认应急事件类型和应急事件的等级
•         通知相关人员，启用应急预案

启动网络安全应急响应预案

1、应急元内容

•         总则
•         组织体系和职责
•         事件预警
•         应急处置
•         后期处置
•         预防工作
•         保障措施
•         附则

2、应急小组划分

•         应急领导小组
•         应急预案制定小组
•         应急执行小组
•         技术保障小组
•         支持保障小组

应急响应保护

抑制保护

1、应急响应事件发生，采用临时策略对目标机器进行止损。

•         直接策略：断网
•         断网好处：防止删除日志和重要文件

2、方法

•         查清影响的机器和范围
•         进行网络隔离，关闭响应的端口
•         切换备份机器，保证业务正常
•         常规应急响应，修复系统，分析发生的原因，加固系统

数据保护

1、保护物理设备

•         物理隔离，防止人为物理破坏机器
•         事件重大，保护现场。

2、对内存和磁盘制作相关进行

•         取证数据
•         磁盘镜像（Disk Image)--将存储器的完整内容和结构都保存在一个文件中。

应急事件检测

目标

        通过数据分析确定攻击时间、查找攻击线索、梳理攻击过程、在可能的情况下，朔源到攻击者。

数据分析技术--系统信息分析--windows系统

1、系统用户

• lusrmgr.msc

• net user

• net localgroup administrators

• Get-LocalUser

2、进程信息

•  taskmgr.exe

• tasklist

• get-process

• wmic process list full

• wmic process get name,parentprocessid,processid

• wmic process where 'ProcessID=PID' get CommandLine

 

3、服务信息

• services.msc

• net start

 

• tasklist /svc

• psservice

        使用工具，需要提前下载。如：upnphost服务

4、计划任务

• 控制面板-管理工具-任务计划程序

 ​​​​​​

• taskschd.msc

• schtasks

5、自启动项

• taskmgr--启动标签页

• wmic startup get caption,command

• Get-CimInstance Win32_StartupCommand | Select-Object Name,command,Location, User | Format-List

6、注册表

• regedit

• reg query HKLM\SOFTWARE\Microsoft\ Windows\CurrentVersion\Run

• reg query HKEY_CURRENT_USER\SOFTWARE\Microsoft\ Windows\CurrentVersion\Run

7、端口状态

• netstat -ano

• Get-NetTCPConnection -LocalAddress 192.168.1.112 | Sort-Object LocalPort

8、共享文件

• net view \\127.0.0.1

• Get-SMBShare

9、防火墙设置

10、session信息 【可以理解为登录信息】

• net use

 

• net session

 

 

• PsLoggedon64.exe
• logonsessions64

数据分析技术--系统信息分析--Linux系统

1、系统用户

• 确定系统中是否尔一个看起来可疑的帐户    cat /etc/passwd 

• 查看用户密码信息，且只有root用户可以查看  cat /etc/shadow

• 查看用户组信息  cat /etc/group

• 查看当前登录系统用户信息  【whoami   who  w  last  lastb】

2、日志记录

3、系统资源

• 查看服务器已经运行了多长时间、系统中的当前时间、当前登录了多少用户以及系统的平均负载  update

• 查看Linux中系统的内存使用情况，系统中使用的物理内存和交换内存，以及内核使用的缓冲区  free

• 检查系统上是否存在未知的挂载  cat /proc/mounts

4、进程信息

• top命令是Linux下常用的性能分析工具，能够实时显示系统中各个进程的资源占用状况，类化于Windows的任务管理器

5、服务信息

• service --status-all

• cat /etc/crontab

• more /etc/resolv.conf

• more /etc/hosts

• iptables -L -n

6、文件信息

• 系统中任何过大的文件及其权限   find /home/ -type f -size +5120k -exec ls -lh {} \;

• 找到所有SUID的文件  find / -perm -u=s -type f 2>/dev/null

         find命令suid提权   

                which find

                ls -alt /usr/bin/find                 sudo chmod u+s /usr/bin/find                  ls -alt /usr/bin/find                 find / -perm -u=s -type f 2>/dev/null                 find . -exec "whoami" \;

7、网络配置

• arp指令用来管理系统的arp缓冲区，可以显示、删除、添清静争态mac地址。

                arp -vn

                sudo arp -i ens33 -s 192.168.1.66 ff:ee:ee:ee:ee:ee:ee  【添加静态映射】

• 显示网络连接信息  显示网络连接信息  netstat -pantu

• IP地址信息查看  ifconfig

应急响应取证 

• 计算机调查取证，是法医学下的一个分支，与法医相似，计算机调查取证是有关从计算机中获取电子证据并加以分析的过程。
• 使调查的结果能够经受法庭的检查

应急响应根除

• 利用杀毒软件、杀毒脚本、手工查杀等方式彻底消除病毒，并检测整个网络系统，以确保不要留下后门。
• 针对不同操作系统，使用打补丁、修改安全配置和增加系统带宽的方式，降低安全风险。

应急响应恢复

• 利用备份文件恢复用户数据和配置信息
• 将受到入侵和可能存储漏洞的服务关闭，修改后重启服务
• 连接网络，恢复业务，持续监控并进行汇总分析

应急响应报告

        1、事情经过

        2、事件成因

        3、评依事件影响

        4、采取措施

        5、事后系统定级、备案、测评等情况