说到应急响应,都是根据已知的问题来进行应急处理的。全面的应急响应无法在第一时间确定,从而进行已知的事件处理,是作为第一步的开始。
那么在第一时间确认安全事件,根据安全事件是否需要断网。进行数据方盒处理,启用网络数据分解装载转输,在一定时间内,保留有价值的镜头(不是摄像头)。从而更好的了解整个安全事件还原处理。
1.进程/用户/端口/密码/日志/启动项/服务项/计划任务/注册表/其他
0.01 tasklist命令
tasklist 查看本机进程 这里主要看的就是一个内存的使用率
0.02 PID找到程序进程 我们可以根据PID找到异常进程 关闭或者找到绝对路径
C:\Users\Administrator>wmic process where processid=68 get processid,executablepath,nameExecutablePath Name ProcessIdC:\Windows\system32\cmd.exe cmd.exe 68
68就是PID数字
也可以查看端口知晓PID
C:\Users\Administrator>netstat -nao | findstr 443
最后一列就是PID
0.03 杀死进程
可以直接狙击进程
C:\Users\Administrator>taskkill /PID 6464 /F或者ntsd -c q -p 6464wmic process where name=cmd.exe deletewmic process where processid=6464 call terminate
杀死进程的方法有很多
0.04 找到可疑进程 可以进行在线病毒分析
在线病毒分析列表:
https://habo.qq.com/ 腾讯哈勃分析系统
https://www.virustotal.com/gui/home/upload virustotal
https://www.virscan.org/language/zh-cn/ VirSCAN
https://s.threatbook.cn/ 微步云沙箱
https://virusscan.jotti.org/ Jotti的恶意软件扫描系统
在线的病毒查杀都是看谁的病毒库特征码更新快 你也可以多找几个进行验证
0.05 用户账户
0.051 net user 查看系统用户
C:\Users\Administrator>net user\\YDKVDLXFIN0M3U6 的用户帐户-------------------------------------------------------------------------------Administrator DefaultAccount Guestmysql WDAGUtilityAccount www
0.052 我的电脑(此电脑)右键属性-控制面板-用户账户
有些用户是隐藏了的 那么使用命令看到的就比较多 而这个只显示了超级管理员用户
0.053 我的电脑(此电脑)右键属性-管理-本地用户和组-用户
也可以使用cmd命令打开 lusrmgr.msc
这里面看到的跟我们cmd里面看到的是一样的 当然这里面看到的也不一定是完整的 这里留一个问题给大家?
0.0531查看当前已经登录用户
C:\Users\Administrator>query user //查看当前已经登录的用户信息用户名 会话名 ID 状态 空闲时间 登录时间>administrator console 1 运行中 无 2022/5/28 星期六 22:47
C:\Documents and Settings
C:\Users 这个目录里面可以看到新建用户的文件夹
可以用logoff ID 命令 注销已登录用户
0.054 注册表 里面的用户账户
wir+r 输入regedit 打开注册表
编辑-查找-administrator(实例) 根据实际情况做出调整
0.541示例一
计算机\HKEY_CLASSES_ROOT\*\shell\runas\commandcmd.exe /c takeown /f %1 && icacls %1 /grant administrators:F
上面这段的意思就是让当前用户成为当前文件夹的所有者 获得超级管理员组权限
0.542示例二
计算机\HKEY_CLASSES_ROOT\.doc\WPS.Doc.6\ShellNewC:\Users\Administrator\AppData\Local\Kingsoft\WPS Office\11.1.0.8840\office6\mui\zh_CN\templates\newfile.wps
上面这段就是一个wps的新建文件模板绝对路径 算是残留在注册表
还有一些杀毒软件也会在注册表添加administrators 组权限值
0.0543 如果你不想动手 那么可以用工具看下
0.6 端口
这里普及一下端口
常用端口号:
代理服务器常用以下端口:
主要看的是日志事件是否丢失断点清除痕迹
0.071
可以双击事件 看到常规信息 详细信息
常规信息 简要信息 留意事件 计算机 用户 事件ID
详细信息 哪一步出现错误
咱们主要看的还是详细信息
0.072 使用Log Parser 分析 微软的工具GUI界面 【数据量大的可以使用工具】
https://www.microsoft.com/en-us/download/details.aspx?id=24659
日志解析器是一个强大的通用工具,它提供对基于文本的数据(如日志文件、XML 文件和 CSV 文件)以及 Windows® 操作系统上的关键数据源(如事件日志、注册表、文件系统和 Active Directory®。
双击安装 步骤:
1.下一步
2.勾选 我用一下一步
3.完整安装 complete
4.install 安装
logparser使用方法 先保存所有事件(将所有事件另存为evtx格式)
使用工具步骤 界面
里面的使用方法已经全说明
网格显示指定分析日志csv/iisw3c等都可以C:\Program Files (x86)\Log Parser 2.2>Logparser.exe -i:EVT -o:DATAGRID SELECT * FROM C:\log.evtx
可以看到上面的图片已经整理的非常巴适
未完待续……
本文由梁桂钊于2023-08-28发表在梁桂钊的博客,如有疑问,请联系我们。
本文链接:https://720ui.com/9810.html