【网络安全】安全事件管理处置 — windows应急响应

news2024/11/24 20:53:22


专栏文章索引：网络安全

有问题可私聊：QQ：3375119339

目录

一、账户排查

二、windows网络排查

三、进程排查

四、windows注册表排查

五、内存分析

总结

一、账户排查

  • 账户排查主要包含以下几个维度
    • 登录服务器的途径
    • 弱口令
    • 可疑账号
      • 新增账号
      • 隐藏账号
      • 克隆账号

  • 服务器是否存在被远程登录的途径
    • 3389
    • smb,445
    • http
    • ftp
    • 数据库
    • 中间件

  • 弱口令排查维度
  • 与上述服务器登录一致
  • 常见应用有
    • 3389
    • smb，445
    • http
    • ftp
    • 数据库
    • 中间件

  • 弱口令排查方式
    • 查看是否启用组策略，限制弱口令
    • 用户访谈，直接询问管理员是最好的方法
    • 查看是否有暴力破解日志，并登录成功
    • 最后上述都无效的情况，可以尝试读取明文密码



  • 暴力破解，审核失败事件ID 4625

  • 隐藏账号
  • 使用net user看不到账号
  • 使用本地用户管理也看不到账号。
  • 如果账号登录，在任务管理器发现进程

     

  • 创建Windows隐藏用户基本流程如下：

  • 排查windows隐藏用 户，我们可以通过查看 注册表下
    • HKEY_LOCAL_MAC  HINE\SAM\SAM\  Domains\Account \Users\Names（需 要获取权限）
    • 对比本地用户和组

二、windows网络排查

  • 通常恶意程序会发起网络连接，从网络连接来查找恶意程序是最直接的方法
    • 通常的方法有
      • 命令行 netstat -ano，也可以重定向，netstat -ano | find "LISTEN"
      • 任务管理器--性能--资源监测器
      • https://betanews.com/2018/07/31/all-the-websites-windows-10-  connects-to-clean-install    显示了windows10默认的网络连接，便于我们应急排查
  • 通过网络找进程，通过进程找文件，是应急响应中常用的手法

  • 网络排查中还有一部分内容是路由表，查看本机是否被利用作VPN跳板
  • 查看windows路由表方法如下
    • route print
    • netstat -rn

三、进程排查

  • 任务管理器查看进程
  • ctrl+alt+del -->任务管理器
  • 命令行
    • tasklist    或taskmgr
    • msinfo32
      • 正在运行任务
      • 加载的模块
      • 服务
      • 启动程序

  • 重点查看
    • 进程的签名
    • 进程的可执行文件路径
    • 进程的可执行文件生成时间
    • 进程描述是否异常
    • CPU占用过高的进程
    • 网络连接异常的进程

  • 很多恶意程序会通过服务来启动进程，我们要注意进程与服务的关联方式
  • 可以通过任务管理器，服务界面，查看进程PID
  • 可以通过命令行查看进程与服务关联
    • tasklist /svc

       

  • 进程运行参数查询，如svchost作业服务承载进程，具体运行了什么
    • wmic process where name='svchost.exe' get  caption,commandline,processid,parentprocessid

  • 进程加载模块查询
  • 恶意文件通常会写成DLL文件
  • 而非EXE直接执行

  • 启动项排查
    • 命令msconfig或msinfo32
    • 注册表
    • HKLM\Software\Microsoft\ Windows\CurrentVersion\Runonce
    • HKLM\Software\Microsoft\ Windows\CurrentVersion\policies\Explorer\Run
    • HKLM\Software\Microsoft\ Windows\CurrentVersion\Run
    • HKCU\Software\Microsoft\ Windows NT\CurrentVersion\ Windows\Run
    • HKCU\Software\Microsoft\Windows\CurrentVersion\Run
    • HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
       

  • 启动项排查
    • 组策略--启动或登录脚本
  • 计划任务排查
    • taskschd.msc
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree

       

四、windows注册表排查

  • HKEY_CLASSES_ROOT (HKCR)：此处存储的信息可确保在Windows资源管理器中执行时打开正确的程序。它还包含有关拖放规则，快捷方式和用户界面信息的更多详细信息
  • HKEY_CURRENT_USER (HKCU) ：包含当前登录系统的用户的配置信息，包括用户的文件夹，屏幕颜色和控制面板设置。HKEY_USERS中特定于用户的分支的别名。通用信息通常适用于所有用户，并且是HKU.DEFAULT
  • HKEY_LOCAL_MACHINE (H KLM)：包含运行操作系统的计算机硬件特定信息。它包括系统上安装的驱动器列表以及已安装硬件和应用程序的通用配置
  • HKEY_USERS (HKU)：包含系统上所有用户配置文件的配置信息，包括应用程序配置和可视设置
  • HKEY_CURRENT_CONFIG (HCU)：存储有关系统当前配置的信息
     

五、内存分析

  • 很多时候恶意代码会使用无文件技术，存于内存，且会使用各种hook技术 隐藏文件，直接进行内存分析也是应急响应中常用手段
  • 分析内存首要步骤是获取内存，如果服务器是虚拟机，可以直接读取内存 文件，如vmware的内存文件，直接在目录下。

  • 物理机获取内存
    • 从任务管理器直接转存进程的内存

  • 物理机获取内存
    • 高级系统设置，需要重启后才能获取内存

       

  • 使用工具获取内存
    • 使用微软官方工具集SysinternalsSuite中的notmyfault64获取内存
    • 下载地址https://docs.microsoft.com/zh-  cn/sysinternals/downloads/sysinternals-suite

  • 管理员模式运NotMyFault64.exe，此工具会使系统蓝屏，后收集内存
  • 也有其他工具，如Memoryze, DumpIt, FastDump
  • SysinternalsSuite中有很多其它工具，都可用于应急响应，可自行学习

  • 关于内存分析，通常是使用volatility 进行内存分析
  • Volatility基本命令
  • python vol.py [plugin] -f [image] --profile=[profile]
  • python vol.py pslist -f /path/to/memory.img -- profile=Win7SP1x64

  • Volatility需要知道你的内存镜像来自哪种类型的系统以确定使用哪些 数据结构，算法和符号。
  • WinXPSP2x86的默认配置文件是在内部设置的，因此如果分析的是 Windows    XP    SP2    x86内存镜像，则根本不需要提供--profile。
  • 对于所有其它类型必须指定适当的配置文件名称

总结

  • 加深对windows的理解，掌握windows常用的命令
  • 从文件、网络、进程、用户等角度进行检查windows异常

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1626813.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

C语言入门课程学习记录5

C语言入门课程学习记录5

C语言入门课程学习记录5 第23课 - C 语言中的常量第24课 - 初探程序中的数组第25课 - 数组特性深入剖析第26课 - 多维数组的概念与示例 本文学习自狄泰软件学院 唐佐林老师的 C语言入门课程，图片全部来源于课程PPT，仅用于个人学习记录 第23课 - C 语言中…
阅读更多...
C++解方程组的库

C++解方程组的库

解决多元多次方程组的问题，你可以考虑以下几个C库： Eigen: Eigen库是一个高性能的C模板库，用于线性代数运算。它提供了强大的矩阵运算功能，可以用来解多元一次方程组。对于多次方程组，你可能需要结合Eigen和一些数值优…
阅读更多...
关于conda占C盘内存的问题

关于conda占C盘内存的问题

文章目录 前言一、C盘中.conda文件中的envs二、C盘中.conda文件中的pkgs 前言 最近发现C盘空间越来越少，于是就去清理了一下conda在C盘的存储，不看不知道，一看吓一跳，足足十几G！于是去网上搜索了相关的包能不能删除&a…
阅读更多...
解决问题：TypeError：unsupported operand type(s) for -: ‘float‘ and ‘decimal.Decimal‘

解决问题：TypeError：unsupported operand type(s) for -: ‘float‘ and ‘decimal.Decimal‘

文章目录 一、现象二、解决方案 一、现象 用Pandas 处理数据的时候，想得到增长率，没想到翻车了？ import pandas as pddf pd.read_csv(data.csv)df[增长率] ((df[今年] - df[去年]) / (df[今年]))执行一下语句发现报错 TypeError&#xf…
阅读更多...
揭秘快手互动神器：自动评论助力转化！

揭秘快手互动神器：自动评论助力转化！

在这个信息爆炸的时代，每个内容创作者和企业都在寻找提升用户互动和转化的有效途径。无论是短视频、直播还是文章，如何让自己的内容脱颖而出，成为大家关注的焦点呢？今天，我们就要揭秘一款神奇的工具——快手自动评论软…
阅读更多...
Python-100-Days: Day01

Python-100-Days: Day01

Day01 Python简介 1.1989年Guido von Rossum在圣诞节之夜开始着手python语言编译器的编写。 2.1991年2月 Python v1 编译器诞生，使用C实现的，此时可以调用C的库函数。 3.1994年1月，Python v1.0 正式版发布。 4.2000年10月16日&#xff0…
阅读更多...
JAVA12

JAVA12

JAVA12 1 概述2 语法层次的变化1_swich表达式(预览) 3 API层次的变化1_支持数字压缩格式化2_String新方法3_Files新增mismatch方法 4 关于GC方面的新特性1_Shenandoah GC：低停顿时间的GC（预览）2_可中断的 G1 Mixed GC3_ 增强G1 5 其他新特性简…
阅读更多...
【数据结构】合并两个有序链表

【数据结构】合并两个有序链表

将两个升序链表合并为一个新的 升序 链表并返回。新链表是通过拼接给定的两个链表的所有节点组成的。 Definition for singly-linked list.struct ListNode {int val;struct ListNode *next;};typedef struct ListNode ListNode; struct ListNode* mergeTwoLists(struct Lis…
阅读更多...
通过 QEMU 试用 ESP32-C3 的安全功能

通过 QEMU 试用 ESP32-C3 的安全功能

概述 ESP32-C3 系列芯片支持可信启动、flash 加密、安全存储等多种安全功能，还有专用外设来支持 HMAC 和数字签名等用例。这些功能所需的私钥和配置大多存储在 ESP32-C3 的 eFuse 存储器中。 启用安全功能时需要谨慎，因为使用到的 eFuse 存储器是一次…
阅读更多...
【leetcode面试经典150题】75. 二叉树展开为链表（C++）

【leetcode面试经典150题】75. 二叉树展开为链表（C++）

【leetcode面试经典150题】专栏系列将为准备暑期实习生以及秋招的同学们提高在面试时的经典面试算法题的思路和想法。本专栏将以一题多解和精简算法思路为主，题解使用C语言。（若有使用其他语言的同学也可了解题解思路，本质上语法内容一致&…
阅读更多...
LINUX系统编程：动静态库的制作

LINUX系统编程：动静态库的制作

目录 1.为什要有库 2.库的制作 2.1静态库的制作 1.为什要有库 主要有两个原因 提高效率 隐藏源码 例：我写了一个函数，我想让别人使用，但是并不像让使用者看到我写的代码，就可以把我的代码制作成一个库，提供给使用…
阅读更多...
了解ASK模块STX883Pro和超外接收模块SRX883Pro的独特之处 STX883Pro模块具有以下特点：

了解ASK模块STX883Pro和超外接收模块SRX883Pro的独特之处 STX883Pro模块具有以下特点：

高发射功率：STX883Pro具有较高的发射功率，可实现长距离的信号传输，适用于需要覆盖广泛区域的应用场景。 高频率稳定性：具备稳定的频率输出，确保信号传输的可靠性和一致性，避免频率漂移导致的通信故障。 大…
阅读更多...
【07-探索性数据分析（EDA）：利用Scikit-learn高效掌握数据特性】

【07-探索性数据分析（EDA）：利用Scikit-learn高效掌握数据特性】

文章目录 前言为何EDA至关重要？使用Scikit-learn进行EDA数据导入与初步检查缺失值检测数据可视化特征分布与转换特征选择多变量分析未来的步骤结论前言 探索性数据分析（EDA）是数据科学的基石之一，它使我们在建模之前可以深入了解数据的本质。本篇博文会带你了解如何使用Sci…
阅读更多...
Kafka 消费者应用解析

Kafka 消费者应用解析

目录 1、Kafka 消费方式 2、Kafka 消费者工作流程 2.1、消费者工作流程 2.2、消费组者说明 1、消费者组 2、消费者组初始化流程 3、消费者 API 3.1、独立消费者-订阅主题 3.2、独立消费者-订阅分区 3.3、消费组 4、分区的分配策略以及再平衡 4.1、Range 策略 1、R…
阅读更多...
吴恩达深度学习笔记：深度学习的 实践层面 (Practical aspects of Deep Learning)1.6-1.8

吴恩达深度学习笔记：深度学习的 实践层面 (Practical aspects of Deep Learning)1.6-1.8

目录 第一门课：第二门课 改善深层神经网络：超参数调试、正 则 化 以 及 优 化 (Improving Deep Neural Networks:Hyperparameter tuning, Regularization and Optimization)第一周：深度学习的 实践层面 (Practical aspects of Deep Learning)…
阅读更多...
基于JavaWEB的学生考勤管理系统（含论文）

基于JavaWEB的学生考勤管理系统（含论文）

本系统是用Java语言写的，基于JavaWEB的学生考勤管理系统 主要有三大模块，学生，教师和管理员模块，功能如下： 学生模块 教师模块： 管理员模块
阅读更多...
Allure精通指南（05）定制化报告内容（环境信息、图标、缺陷类别）

Allure精通指南（05）定制化报告内容（环境信息、图标、缺陷类别）

文章目录 Allure 自定义测试环境信息Allure 自定义缺陷类别信息Allure 自定义图标步骤一步骤二步骤三 Allure 自定义测试环境信息 步骤 1：创建 environment.properties 文件 在项目根目录或任何其他不会被--clean-alluredir参数影响的目录下创建 environment.proper…
阅读更多...
Redis事务以及Watch监听（通俗易懂）

Redis事务以及Watch监听（通俗易懂）

在执行事务时，要不全执行，要不全不执行。Redis 事务我个人认为不是严格意义上的事务，只是用于帮助用户在一个步骤中执行多个命令。它是通过multi[mʌlti] 表示开启事务，EXEC执行事务，discard 丢失任务。当我们开启事务…
阅读更多...
动手学深度学习14 数值稳定性+模型初始化和激活函数

动手学深度学习14 数值稳定性+模型初始化和激活函数

动手学深度学习14 数值稳定性模型初始化和激活函数 1. 数值稳定性2. 模型初始化和激活函数3. QA **视频：**https://www.bilibili.com/video/BV1u64y1i75a/?spm_id_fromautoNext&vd_sourceeb04c9a33e87ceba9c9a2e5f09752ef8 **电子书：**https://zh-v…
阅读更多...
如何利用人工智能加速临床试验

如何利用人工智能加速临床试验

如何利用人工智能加速临床试验 Matthew Hutson 著 李升伟 译 从研究设计到患者招募，研究人员正在研究如何运用AI技术加速临床试验过程。 几十年来，计算能力遵循摩尔定律（Moore’s law），以可预测的速度前进。集成电路上…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023