2021-2022应急响应典型案例集研究报告

2021-2022应急响应典型案例

集研究报告2021年7月前言应急响应是网络安全工作中的重要组成部分,当政企机构发生重大网络安全事件时,往往意味着其背后存在着诸多的危险和隐患,应急响应事件的发生是长期网络安全监测不足，大量安全隐患未得到有效的及时处置等ー系列安全问题最终隐患的集中爆发。就像ー起火灾的爆发,映射着长期的消防建设不足。通过应急响应往往能够快速地发现政企机构网络安全建设中的典型不足。从应急响应事件来看，每次在应急响应结束后我们都会给政企机构提供很多的整改意见，政企机构在这些安全建议的基础上也会进行大量的建设和提高,从而避免应急事件的反复发生。我们在本书当中为大家整理了奇安信历年来处置过的几千起应急响应中精选的50个典型的案例，一方面通过网络安全应急响应事件来分析机构的安全隐患，另ー方面，我们也可以通过应急响应案例来帮助更多企业,一旦发生安全事故、安全风险时有更多的经验和参考方法进行应急响应的处置,希望通过案例的分享能够帮助我们的广大政企机构提前防御、提早发现、及时处置。通过近6年的应急响应工作,我们发现以下几个典型特点。第一，勒索病毒的攻击愈演愈烈，包括在国外发生的多起重大事件,国内也不断有相关攻击案例的发生。同时,挖矿木马也越来越流行;第二,政企机构在网络安全建设中网络安全防护存在短板,常见如:弱口令、永恒之蓝漏洞补丁下载不及时、员エ缺乏安全意识等问题尤其明显;第三，应急响应事件受影响范围主要集中在业务专网，平均占比可达60%以上,其次是办公终端;第四,敲诈勒索、黑产活动是攻击者攻击政企机构的主要原因,而对政企机构所产生的后果也尤为严重,主要表现为导致生产效率低下,数据丢失和系统/网络不可用等,对政企机构日常工作和运营造成了较大影响;第五,攻击者除利用病毒和木马攻击外，利用漏洞攻击和钓鱼邮件攻击的事件也在不断增多,常见漏洞如永恒之蓝漏洞、任意文件上传、weblogic反序列化漏洞；第六,通过对这6年政企单位应急响应事件发现数据进行对比,政企机构单位自行发现能力虽逐年上升,然而,其中被攻击者勒索后オ发现事件的占比却高于政企机构日常安全运营巡检发现入侵迹象的占比，这说明国内政企机构的日常安全运营建设水平仍有待大幅提高。本书主要分为两个部分,第一部分结合2021年最新的应急响应事件通过数据来表现当前网络安全应急响应的基本形势；第二部分ー共分为十个章节,分别对勒索类、挖矿类、蠕虫类、篡改类等10种类型的典型案例进行介绍,希望能够通过应急响应数据和典型案例为政企机构的日常安全建设提供参考,使应急响应事件发生的越来越少,一旦发生安全事件时响应越来越快，损失降到越来越低，这也是我们应急响应工作的主要意义。TOC\o"1-5"\h\z第一章网络安全应急响应形势综述 1ー、应急响应事件受害者分析 2（-） 行业现状分析 2（-） 事件发现分析 2影响范围分析 3攻击影响分析 4应急响应事件攻击者分析 5（一） 攻击意图分析 5（-） 攻击类型分析 5（三）恶意程序分析 6（四）漏洞利用分析 7第二章勒索类事件典型案例 8服务器存漏洞感染勒索病毒 8（-）事件概述 8（二）防护建议 8二、终端电脑遭遇钓鱼邮件感染勒索病毒 8（-）事件概述 8（二）防护建议 9エ业生产网与办公网边界模糊,感染勒索病毒 9（-）事件概述 9（二）防护建议 9四'服务器配置不当感染勒索病毒 9（-）事件概述 9（二）防护建议 10五'专网被攻击,58家医院连锁感染勒索病毒 10（-）事件概述 10（二）防护建议 11六、0A服务器远程桌面映射公网,感染勒索病毒 11（-）事件概述 11（二）防护建议 12七'内网主机使用弱口令致感染勒索病毒 12（-）事件概述 12（二）防护建议 12ハ、8003端口映射在公网感染勒索病毒 13(-)事件概述 13(-) 防护建议 13九、私自下载破解软件致服务器感染勒索病毒 13(-) 事件概述 13(-) 防护建议 14十、服务器补丁安装不及时感染勒索病毒 14(-) 事件概述 14(-) 防护建议 14十ー、擅自修改网络配置致服务器感染勒索病毒 14(-) 事件概述 14(-) 防护建议 15十二、用户名口令被暴力破解感染勒索病毒 15(-) 事件概述 16(二)防护建议 16第三章挖矿类事件典型案例 17一、官网存在上传漏洞感染挖矿木马 17(-)事件概述 17(二)防护建议 17二、误点恶意链接感染挖矿木马 17(-)事件概述 18(二)防护建议 18三、软件升级包携带“永恒之蓝下载器”致专网感染挖矿木马 18(-)事件概述 18(二)防护建议 20四'"永恒之蓝下载器”致内网挖矿木马 20(-)事件概述 20(二)防护建议 20五'安全防护不到位致终端和服务器感染挖矿木马 21(-)事件概述 21(二)防护建议 21六、SSH私钥本地保存致虚拟机感染挖矿木马 22(-)事件概述 22(二)防护建议 22七'网站存漏洞致服务器感染挖矿木马 22(-) 事件概述 23(~) 防护建议 23ハ、服务器使用弱ロ令导致感染挖矿木马 24(-) 事件概述 24(-) 防护建议 24九、应用服务平台使用弱口令导致感染挖矿木马 24(-) 事件概述 24(-) 防护建议 25十、U盘未管控导致主机感染挖矿木马 25(-) 事件概述 25(-) 防护建议 25第四章蠕虫类事件典型案例 27ー、服务器弱口令导致感染蠕虫病毒 27(-) 事件概述 27(-) 防护建议 27浏览恶意链接感染蠕虫病毒 28(-) 事件概述 28(二)防护建议 28三、U盘未合理管控导致感染蠕虫病毒 28(-) 事件概述 28(-) 防护建议 29第五章篡改类事件典型案例 30ー、Redis未授权访问漏洞致官网被植入黑链 30(-) 事件概述 30(-) 防护建议 30二、网站WEB漏洞致网站被挂马 30(-) 事件概述 31(二)防护建议 31三