首页
学习
活动
专区
工具
TVP
发布

Windows应急响应

web入侵:Webshell,网页挂马,主页篡改系统入侵:病毒木马,远控后门,勒索软件网络攻击:ARP欺骗,DDOS攻击,DNS劫持针对常见的攻击事件,结合工作中应急响应事件分析和解决的方法,总结了一些...但是,在一次被入侵成功的安全事件,我们肯定需要一系列分析溯源,尽可能把整个事件还原,还需要出个应急响应报告的。...入侵排查思路 检查系统账号安全 检查异常端口、进程 检查启动项、计划任务、服务 检查系统相关信息 杀软查杀 日志分析 处置流程: 准备阶段:获取整个事件的信息(比如发生时间,出现啥异常等),准备应急响应相关工具...可进行断网,防火墙策略隔离,关键数据备份,数据恢复 检测阶段:技术分析 取证阶段:确定攻击事件,确定攻击时间,确定攻击过程,确认攻击对象 处置阶段:提出安全问题,提出解决方案,业务恢复 总结阶段:完整应急响应事件报告编写...该怎么办呢?首先判断勒索病毒的种类,可以根据病毒样本,特征,后缀进行判断。

1.7K21
您找到你想要的搜索结果了吗?
是的
没有找到

聊聊应急响应

“俗话说:好记性不如烂笔头,最近做了几个应急响应就来总结下。”     ...应急响应分为四个阶段:前期沟通,事件处理,事件分析,报告交付,前期沟通主要是和客户交流事件情况,了解是什么安全事件,客户是否做了处理,如果做了处理,做了那些处理。...沟通贯穿整个应急响应流程,也是最重要的,切记不要一上来就查,了解事件原因才会事半功倍。...0x01 "止血"     应急响应事件分为五大类,网络攻击事件,恶意程序事件,web恶意代码,信息破坏事件和其他事件,每个事件的具体描述如下 image.png (图片来源:https://help.aliyun.com...,我觉得更重要的是攻击者的攻击思路,他在这个系统里做了什么,他为什么要这么做,他这么做得到了什么,换作是你,你发现了这个漏洞,你会怎么做,向高手学习,才能成长更快,总而言之,应急响应,任重道远。

1K00

windows应急响应

Windows的应急 学习过程中看到师傅文章,所以顺便做了个思维导图 师傅太强了 原文链接已放文末。 常见的应急响应事件分类。...findstr "PID" 定位进程 Win+R打开运行窗口,输入msinfo32,在【软件环境】-> 【正在运行的任务】通过PID和进程名定位,就可以看到进程的详细信息,比如进程路径、进程ID、文件创建日期...打开运行窗口,输入%UserProfile%\Recent,分析最近打开文件 在服务器各个目录,可根据文件夹内文件列表时间进行排序,查找可疑文件 回收站、浏览器下载目录、浏览器历史记录 修改时间在创建时间之前的为可疑文件...3、得到发现Webshell、远控木马的创建时间,找同一时间范围内创建的文件 利用Registry Workshop 注册表编辑器的搜索功能,可以找到最后写入时间区间的文件 利用计算机自带的文件搜索功能

94330

Linux应急响应笔记

背景 前一段时间我处理了一次应急响应,我还输出了一篇文章 Linux应急响应笔记。...这两天又处理了一次病毒入侵,在前一次的基础上,这次应急做了一些自动化脚本,应急响应效率有了一定程度的提升,故另做一份笔记。...PS:本文重在分享应急响应经验,文中保留了恶意网址,但是删除了恶意脚本及程序的下载路径。本文仅用于技术讨论与分析,严禁用于任何非法用途,违者后果自负。...应急操作笔记 查看我上一次 Linux应急响应笔记,我发现罗列这么多命令,很多时候眼花缭乱,操作起来也不方便,不如写个shell脚本自动化收集信息。...tar -zcvf GatherInfo.tar.gz GatherInfo 信息收集结果分析 查看自动化收集的信息GatherInfo下的所有文件内容,根据下面的Checklist表项进行挨个梳理排查 应急响应检查表

3.2K51

应急能力提升4】实战应急响应经验

''' 01 — 靶场环境分配 靶场搭建在VM虚机中,在红队完成攻击模拟后制作镜像快照,然后导出分发给每一个应急响应小组。...02 — 应急响应时间 每个专题分析一周,各小组一般都是在下班后及利用周末时间进行分析。整个应急过程,加上报告编写及汇报材料准备,平均每个专题花费十天。...03 — 应急响应流程 在真实场景中,应急响应的情况多种多样,比如遇到勒索病毒、挖矿程序、网页篡改、DDOS攻击、CC攻击等,对应的响应流程也会不同。...这种场景一般是乙方安全公司做应急响应服务时的常规操作,降低了应急难度,提升效率。...看了各组应急响应报告中的修复建议,思路比较固定,基本都分为技术和管理方面。

1.6K20

说说Windows安全应急响应

在互联网高速发展的时代,我们应该如何保护个人信息不被窃取、不被不法分子当作利益的筹码,当我们遇到入侵事件的时候,我们应该怎么办,第一步怎么办,怎么推进排查过程、是否有应急预案等,这都是我们需要了解的。...说了这么多下面小白浅谈一下应急响应,我们看一下windows应急处理。...Windows安全应急处置 攻击者入侵一个网站必然会对企业的业务系统造成不同程度的损害,即使入侵不成功,也会使业务系统访问缓慢,即使在网络良好的情况下。...当我们遇到入侵事件的时候,我们应该怎么去排查、怎么找到攻击源?下面我们可以从以下几个方面进行排查windows主机。...我们来拿3389远程桌面服务端口来说一下,当我们知道攻击者是通过远程桌面登陆到服务器的,那么我们就可以查一下他们是怎么登陆进来的?

2.6K20

Linux 守护进程|应急响应

最近被安排做一些应急响应的工作,所以学习了一下Linux进程相关的知识,越学越多,那就记下来吧!...pid,pgid,sid均为890的 sshd 守护进程生成一个SID为1494的session,同时创建了一个pid为1494的子进程“sshd: helper [priv]” ,并且创建了一个进程组...当我们kill掉进程leader之后,立马father就不打印了,但是child依旧在打印,这说明父进程被杀死,子进程还活着,接下来看看子进程活得怎么样 ?...此时这个子进程被称为孤儿进程 这里我们就需要注意了,一个木马或者后门如果主进程还存在子进程,仅仅 kill -9 pid 杀死主进程可能是没用的,因为不会杀死子进程 问题来了,如果我想把这些木马病毒进程都干掉,怎么操作...可以看到,其实tmux创建了一个守护进程,进程PID=1348,之后通过守护进程创建 bash,之后通过bash执行ping,创建ping www.baidu.com 为了更加严谨证实这个观点,我们再创建一个

3.6K30
领券