44 lines
3.3 KiB
Markdown
44 lines
3.3 KiB
Markdown
### 内网报警处理方式
|
||
|
||
第一步：确认与隔离
|
||
|
||
- **确认报警的真实性**：收到内网报警后，首先要核实报警是否为误报。查看报警日志的详细信息，例如源IP、目标 IP、端口、协议、以及告警类型。与业务部门或相关人员沟通，确认报警行为是否属于正常的业务操作
|
||
- **物理或逻辑隔离**：如果确认报警是恶意行为，必须立即隔离涉事主机。你可以通过关闭网络端口、在交换机或防火墙上设置 ACL 规则、甚至直接拔掉网线来物理或逻辑上切断该主机与网络的连接。这能有效防止攻击者进行横向移动，或恶意行为继续蔓延
|
||
|
||
**第二步：信息收集与初步分析**
|
||
|
||
在隔离主机后，立即对该主机进行信息收集，为后续的分析和取证做准备
|
||
|
||
- **检查进程和网络连接**：使用 `netstat -anp`、`ps -ef` 等命令查看主机上是否有异常进程和网络连接。特别留意那些非正常业务进程、向外部或内网其他主机发起的连接
|
||
- **查看日志文件**：
|
||
- **系统日志**：检查 `/var/log/secure`（Linux）或 Windows 事件日志，寻找异常登录、提权、或可疑的用户行为
|
||
- **应用日志**：检查 Web 服务器、数据库等应用日志，看是否有异常请求或操作记录
|
||
- **文件系统检查**：
|
||
- **近期修改文件**：使用 `find / -mtime -1` 等命令查找最近创建或修改过的可疑文件，这可能与攻击者上传的后门或工具相关
|
||
- **敏感文件**：检查 `/tmp`、`/var/tmp` 等临时目录，看是否有恶意程序或脚本
|
||
|
||
**第三步：深入分析与研判**
|
||
|
||
在收集完基础信息后，需要对这些信息进行深入分析，以确定攻击者的身份和攻击目的
|
||
|
||
- **溯源攻击者**：
|
||
- **IP 溯源**：如果报警源是内网 IP，可以根据该 IP 地址的分配规则或资产管理系统，定位到具体的楼层、办公室或设备
|
||
- **用户账户**：通过查看登录日志、堡垒机日志或应用日志，定位到具体的操作账户。如果该账户属于某个员工，还需要进一步核实是其本人操作，还是账户被盗用
|
||
- **确定攻击意图**：
|
||
- **数据窃取**：检查是否有大量数据被打包或传输到外部
|
||
- **横向移动**：查看攻击者是否尝试连接内网其他主机，这可能是为了扩大攻击范围
|
||
- **恶意破坏**：检查是否有关键文件被删除、修改，或系统配置被篡改
|
||
|
||
**第四步：清除、修复与加固**
|
||
|
||
在明确了攻击者的身份和意图后，就可以着手进行全面的清除、修复和加固工作
|
||
|
||
- **恶意代码清除**：
|
||
- **杀死恶意进程**：通过 `kill` 命令或任务管理器结束恶意进程
|
||
- **删除恶意文件**：彻底删除所有后门程序、木马、恶意脚本和上传的 WebShell
|
||
- **漏洞修复**：
|
||
- **修复漏洞**：如果是通过漏洞入侵，需要立即修复该漏洞
|
||
- **修改密码**：如果账户被盗用，立即修改所有相关账户的密码
|
||
- **安全加固**：
|
||
- **权限收紧**：对账户权限进行重新审计，遵循最小权限原则，限制不必要的访问权限
|
||
- **升级系统与补丁**：安装所有必要的系统和应用补丁，提升系统安全性 |