【應急響應】Windows應急響應 - 基礎命令篇

前言

在如今的數字化時代，Windows系統面對著越來越復雜的網絡威脅和安全挑戰。本文將深入探討在Windows環境下的實戰應急響應策略。我們將重點關注實際應急響應流程、關鍵工具的應用，以及如何快速準確地識別和應對安全事件。通過分享實際案例分析，旨在幫助網絡安全從業者提升應急響應能力，有效保護關鍵資產和數據的安全。

應急響應流程

Windows系統的應急響應是指在發生安全事件或者懷疑系統遭受攻擊時，采取的快速響應和處置措施，以最大限度地減少損失并恢復系統的安全性和可用性。
以下是一般情況下的Windows應急響應詳細步驟：

1. 確認安全事件
監控系統日志: 檢查Windows事件日志（Event Viewer），尋找異常事件、錯誤消息或警告，特別關注安全事件、登錄異常等。
2. 切斷系統與網絡連接
物理隔離: 如果發現安全威脅，立即考慮物理隔離系統，斷開與網絡的連接，防止攻擊擴散或數據泄露。
3. 收集證據和分析
鏡像磁盤: 制作系統的磁盤鏡像，以便后續離線分析和取證，確保原始數據不被篡改。
4. 隔離受影響系統
隔離系統: 將受影響的系統從生產環境隔離，防止繼續影響其他系統或網絡。
5. 安全漏洞修復和系統清理
修補漏洞: 安裝系統和應用程序的最新補丁和安全更新，修復已知的安全漏洞。
6. 恢復系統和監控
系統恢復: 在清理和修復后，恢復系統的正常運行狀態，并確保所有必要的服務和應用程序正常工作。
7. 事后總結和改進
事件總結: 對安全事件進行總結和分析，了解攻擊的方式和入侵路徑，制定改進措施。

在進行應急響應時，最重要的是快速反應、有效隔離和詳細記錄，以確保最小化損失和快速恢復系統的安全狀態。

Windows基礎應急命令

一、系統排查

1、系統詳細信息

簡單了解系統信息
systeminfo

image.png

GUI顯示的系統信息
msinfo32

2、網絡連接

netstat 是一個用于顯示網絡連接、路由表和網絡接口信息的命令行工具

-a顯示所有連接（包括監聽連接）。
-t顯示TCP協議的連接。
-u顯示UDP協議的連接。
-n顯示數字格式的地址和端口號（不解析域名和服務名）。
-o顯示建立連接的進程標識（PID）。
-p顯示建立連接的程序名稱和PID。
-e顯示詳細的網絡統計信息，包括以太網幀和TCP/UDP數據包。
-s顯示協議統計信息。
-r顯示路由表信息。
-c持續顯示網絡狀態信息，類似于UNIX系統的top命令。
-l僅顯示監聽狀態的連接。
-x顯示UNIX域套接字的連接。
-f顯示FQDN（Fully Qualified Domain Names）格式的域名。
-y顯示TCP連接的TCP數據包信息。
-v顯示netstat命令的版本信息。
-h 或 --help顯示netstat命令的幫助信息。
netstat -ano

image.png
網絡連接各狀態含義

狀態含義
LISTENING正在等待傳入的連接請求。
ESTABLISHED連接已經建立，數據可以在兩個端點之間傳輸。
TIME_WAIT連接已經關閉，等待足夠的時間以確保對方已收到連接關閉請求。
CLOSE_WAIT本地端已經關閉連接，但是遠程端仍保持連接打開狀態。
FIN_WAIT_1已經發送連接關閉請求，正在等待遠程端確認。
FIN_WAIT_2已經收到遠程端的連接關閉請求，正在等待確認。
CLOSED沒有活動的連接或監聽。
SYN_SENT正在發送連接請求。
SYN_RECEIVED已經收到對方的連接請求，并發送了確認。
LAST_ACK已經發送連接關閉請求，并收到對方的確認，正在等待最終關閉。
RESET連接被遠程端重置。通常是由于對方在本地端嘗試建立連接之前關閉。

在網絡安全應急響應中，對于處于 ESTABLISHED 狀態的網絡連接進行重點排查是非常重要的。這是因為

  1. 持久性連接：ESTABLISHED連接通常是持久性的，數據可以在兩個端點之間自由傳輸。這種連接可能會被惡意軟件或攻擊者利用來持續地傳輸數據、執行命令或者竊取信息。
  2. C&C通道：惡意軟件常常使用ESTABLISHED連接作為命令和控制（C&C）通道，使得攻擊者可以遠程控制受感染系統，執行各種攻擊活動。
  3. 數據泄露：正常情況下，ESTABLISHED連接用于合法的數據傳輸。但是，如果系統遭到入侵或者惡意軟件感染，這些連接可能用于非授權的數據泄露，如竊取敏感信息、文件傳輸等。
  4. 橫向擴展：攻擊者可以利用已建立的ESTABLISHED連接從一個受感染的主機向其他內部系統橫向擴展攻擊，從而擴大其攻擊面。
    ESTABLISHED 狀態表示連接已經成功建立并且正在活躍地傳輸數據。在安全的角度來看，我們關注 ESTABLISHED 連接的主要原因包括：

因此，網絡安全人員在進行安全響應時，需要仔細檢查和分析所有處于ESTABLISHED狀態的連接，確保這些連接是合法的，不會對系統安全造成威脅。通過檢查ESTABLISHED連接，可以及時發現并應對可能的安全威脅和攻擊。

根據PID定位進程

重點關注 ESTABLISHED pid
查看進程 tasklist

tasklist | findstr "4020"

image.png

快速定位端口對應的進程
netstat -anb

image.png

根據進程定位應用程序
任務管理器-進程-選中進程名-右擊打開文件位置

image.png
image.png

3、進程排查

1、打開任務管理器查看進程

image.png

2、tasklist命令

image.png

tasklist /svc 查看每個進程和服務對應的情況

image.png

根據PID定位進程
tasklist | findstr "4020"

4、排查檢測賬號

1、查看當前系統在線用戶
query user

image.png

2、查看系統隱藏用戶
net user

image.png

賬號后面加上$在命令終端是查看不到
訪問注冊表\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names對比數量是否一致，不一致則說明有隱藏用戶

image.png

需要在計算機管理 本地用戶和組查看 也可以運行-lusrmgr.msc

image.png
image.png

3、賬號克隆

創建隱藏用戶并將其權限（F值）修改為與管理員相同的做法，可能導致嚴重的安全漏洞。這種操作可能使未經授權的用戶獲得管理員權限，并可能被用作系統的后門。為了發現潛在的克隆賬號，建議檢查注冊表\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names中是否存在帶有$符號的隱藏用戶。如果發現這樣的用戶，請仔細檢查其權限設置，確保不與管理員賬號相同。一旦發現異常，應立即采取措施防止進一步的安全風險。

訪問注冊表 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users 權限不夠可以設置可讀權限

若打開SAM后內無文件夾，右鍵選擇權限 - 給指定用戶配置讀取權限

image.png
image.png

wmic方法查詢用戶信息
wmic useraccount get name,Sid

如果兩個賬號有相同的 SID，則可能是克隆的賬號

image.png

可以用D盾去檢測用戶是否被克隆

image.png

5、利用系統啟動項執行后門

系統中的啟動目錄
C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
等于
運行-shell:startup

image.png
image.png

系統配置msconfig
運行 - msconfig

image.pngimage.png

注冊表啟動
HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce
msinfo32.exe命令

image.png

6、計劃任務

運行-taskschd.msc   
打開計劃任務-查看屬性(檢測是否存在、可疑的任務）

image.png
image.png

也可以在終端里schtasks命令查看

image.png

7、注冊表

運行-regedit

image.png
image.png

8、服務

運行-msconfig
或者
Windows 任務管理器-服務
或者
計算機管理-服務和應用程序-服務
或者
cmd命令msinfo32.exe（支持搜索）

image.png
image.png
image.png
image.png

9、組策略

運行-gpedit.msc

image.png
image.png

二、日志排查

1、windows 系統安全日志分析

主要記錄系統的安全信息，包括成功的登錄、退出，不成功的登錄，系統文件的創建、刪除、更改，需要指明的是安全日志只有系統管理員才可以訪問，這也體現了在大型系統中安全的重要性。

image.png

事件類型注釋
信息（Information）指應用程序、驅動程序或服務的成功操作事件
警告（Warning）系統發現了一個可能會導致問題的情況，但尚未產生錯誤。例如，磁盤空間不足、某些服務未能及時啟動等
錯誤（Error）系統或應用程序發生了一個問題或失敗，可能導致系統功能的部分或完全受到影響。例如，應用程序崩潰、服務停止等
審核成功（Success Audit）審核成功事件記錄了成功的審核活動，例如成功的用戶登錄、文件或對象訪問成功等。這些事件有助于審計和跟蹤系統訪問和活動
審核失敗（Failure Audit）審核失敗事件記錄了審核嘗試但未成功的活動，例如無效的登錄嘗試、拒絕的訪問嘗試等。這些事件有助于檢測潛在的安全威脅或攻擊行為

Windows安全事件最常用的事件ID：

事件ID說明備注
1074計算機開機、關機、重啟的時間、原因、注釋查看異常關機情況
1102清理審計日志發現篡改事件日志的用戶
4624登錄成功檢測異常的未經授權的登錄
4625登陸失敗檢測可能的暴力密碼攻擊
4632成員已添加到啟用安全性的本地組檢測濫用授權用戶行為
4634注銷用戶
4648試圖使用顯式憑據登錄
4657注冊表值被修改
4663嘗試訪問對象檢測未經授權訪問文件和文件夾的行為。
4672administrator超級管理員登錄（被賦予特權）
4698計劃任務已創建
4699計劃任務已刪除
4700啟用計劃任務
4701禁用計劃任務
4702更新計劃任務
4720創建用戶
4726刪除用戶
4728成員已添加到啟用安全性的全局組確保添加安全組成員的資格信息
4740鎖定用戶賬戶檢測可能的暴力密碼攻擊
4756成員已添加到啟用安全性的通用組
6005表示日志服務已經啟動（表明系統正常啟動了）查看系統啟動情況
事件查看器
事件查看器
或者
運行-eventvwr或eventvwr.msc
在事件點擊安全  點擊  篩選當前日志 輸入id進行 篩選

image.png
定期審查安全事件日志，特別是事件ID 4720，以便及時發現任何未經授權的帳戶創建。
image.png
image.png

篩選 4625 找到大量的失敗的登錄日志 有可能被暴力破解。

image.png

2、web日志分析

從Web應用日志中，可以分析攻擊者在什么時間、使用哪個IP，訪問了哪個網站。  
根據使用不同的中間件，log日志位置也不同，百度搜即可。

1、Nginx

image.png

2、Apache

image.png

3、Tomcat

image.png

三、文件痕跡排查

1、查看用戶最近的打開的文件

運行-%UserProfile%\Recent 查看用戶最近的打開的文件 對可疑的文件進行分析 文件可疑上傳到 病毒庫平臺分析。

image.png
image.png

2、查看臨時目錄

運行-%tmp%

image.png
image.png

四、webshell&木馬病毒 - 查殺

1、webshell

河馬：https://www.shellpub.com/
D盾(iis)：https://www.d99net.net/

2、木馬病毒

360殺毒：https://sd.360.cn/
360安全大腦：https://sc.360.net/
火絨：https://www.huorong.cn/
微步在線云沙箱：https://s.threatbook.com/
騰訊哈勃分析系統：https://habo.qq.com/
Jotti惡意軟件掃描系統：https://virusscan.jotti.org/
ScanVir：http://www.scanvir.com/

本文來自互聯網用戶投稿，該文觀點僅代表作者本人，不代表本站立場。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。
如若轉載，請注明出處：http://www.pswp.cn/diannao/39579.shtml
繁體地址，請注明出處：http://hk.pswp.cn/diannao/39579.shtml
英文地址，請注明出處：http://en.pswp.cn/diannao/39579.shtml

如若內容造成侵權/違法違規/事實不符，請聯系多彩編程網進行投訴反饋email:809451989@qq.com，一經查實，立即刪除！

相關文章

FIO壓測磁盤性能以及需要注意的問題

FIO壓測磁盤性能以及需要注意的問題

一、壓測類型 1、順序讀（IO）：read，bs1M，job數從1開始往上加：2、3、4... 2、順序寫（IO）：write，bs1M，job數從1開始往上加：2、3、4... …
閱讀更多...
如何通過 1688 商品詳情的 API 接口獲取商品的詳細信息

如何通過 1688 商品詳情的 API 接口獲取商品的詳細信息

在當今數字化商業的大背景下，能夠從 1688 這樣規模龐大且商品種類豐富的電商平臺中準確、高效地獲取商品的詳細信息，對于眾多企業和開發者而言，具有舉足輕重的意義。而通過 1688 商品詳情的 API 接口來實現這一目標，無疑是一種強大…
閱讀更多...
【ACM出版，馬來西亞-吉隆坡舉行】第四屆互聯網技術與教育信息化國際會議 (ITEI 2024)

【ACM出版，馬來西亞-吉隆坡舉行】第四屆互聯網技術與教育信息化國際會議 (ITEI 2024)

作為全球科技創新大趨勢的引領者，中國不斷營造更加開放的科技創新環境，不斷提升學術合作的深度和廣度，構建惠及各方的創新共同體。這是對全球化的新貢獻，是構建人類命運共同體的新貢獻。 第四屆互聯網技術與教育信息化國際學術會議…
閱讀更多...
【 木蘭寬松許可證】

【 木蘭寬松許可證】

木蘭寬松許可證， 第1版 2019年8月 http://license.coscl.org.cn/MulanPSL 您對“軟件”的復制、使用、修改及分發受木蘭寬松許可證，第1版（“本許可證”）的如下條款的約束： 定義 “軟件”是指由“貢獻”構成的許可在“本…
閱讀更多...
【C++知識點總結全系列 (07)】：模板與泛型編程詳細總結與分析

【C++知識點總結全系列 (07)】：模板與泛型編程詳細總結與分析

模板與泛型編程 1、概述(1)What（什么是模板、泛型編程）(2)Why(3)Which(4)模板參數A.WhatB.HowC.模板參數的類型成員D.默認模板參數 2、模板函數3、模板類(1)How（如何定義和使用模板類）(2)成員模板 4、模板實參推斷(1)What&#xf…
閱讀更多...
入侵檢測模型

入侵檢測模型

入侵檢測模型（Intrusion Detection Model）在網絡安全中起著至關重要的作用。它們用于識別和響應未經授權的訪問和攻擊行為。以下是常見的入侵檢測模型的詳細介紹： 一、入侵檢測模型分類 基于簽名的入侵檢測模型（Signature-Based …
閱讀更多...
昇思25天學習打卡營第7天|Pix2Pix實現圖像轉換

昇思25天學習打卡營第7天|Pix2Pix實現圖像轉換

文章目錄 昇思MindSpore應用實踐基于MindSpore的Pix2Pix圖像轉換1、Pix2Pix 概述2、U-Net架構定義UNet Skip Connection Block 2、生成器部分3、基于PatchGAN的判別器4、Pix2Pix的生成器和判別器初始化5、模型訓練6、模型推理 Reference 昇思MindSpore應用實踐 本系列文章主要…
閱讀更多...
大數據面試題之Flink(3)

大數據面試題之Flink(3)

如何確定Flink任務的合理并行度? Flink任務如何實現端到端一致? Flink如何處理背(反)壓? Flink解決數據延遲的問題 Flink消費kafka分區的數據時flink件務并行度之間的關系 使用flink-client消費kafka數據還是使用flink-connector消費 如何動態修改Flink的配置&a…
閱讀更多...
實戰：基于Java的大數據處理與分析平臺

實戰：基于Java的大數據處理與分析平臺

實戰：基于Java的大數據處理與分析平臺 大家好，我是免費搭建查券返利機器人省錢賺傭金就用微賺淘客系統3.0的小編，也是冬天不穿秋褲，天冷也要風度的程序猿！今天我們將探討如何利用Java構建高效的大數據處理與分析平臺。…
閱讀更多...
Python基礎003

Python基礎003

Python流程控制基礎 1.條件語句 內置函數input a input("請輸入一段內容：") print(a) print(type(a))代碼執行的時候遇到input函數，就會等鍵盤輸入結果，已回車為結束標志，也就時說輸入回車后代碼才會執行 2.順序執行…
閱讀更多...
pandas數據分析（5）

pandas數據分析（5）

pandas使用Numpy的np.nan代表缺失數據，顯示為NaN。NaN是浮點數標準中地Not-a-Number。對于時間戳，則使用pd.NaT，而文本使用的是None。 首先構造一組數據： 使用None或者np.nan來表示缺失的值： 清理DataFrame時&#xf…
閱讀更多...
深度學習之交叉驗證

深度學習之交叉驗證

交叉驗證（Cross-Validation）是一種用于評估和驗證機器學習模型性能的技術，尤其是在數據量有限的情況下。它通過將數據集分成多個子集，反復訓練和測試模型，以更穩定和可靠地估計模型的泛化能力。常見的交叉驗證方法有以…
閱讀更多...
java設計模式（四）——抽象工廠模式

java設計模式（四）——抽象工廠模式

一、模式介紹 改善在工廠方法模式中，擴展時新增產品類、工廠類，導致項目中類巨多的場面，減少系統的維護成本，且一個工廠可以生成多種產品，而不是同一種的產品，比如一個工廠既可以生產鞋子又可以衣服&#…
閱讀更多...
解決數據庫PGSQL，在Mybatis中創建臨時表報錯TODO IDENTIFIER，連接池用的Druid。更換最新版本Druid仍然報錯解決

解決數據庫PGSQL，在Mybatis中創建臨時表報錯TODO IDENTIFIER，連接池用的Druid。更換最新版本Druid仍然報錯解決

Druid版本1.1.9報錯Caused by: java.sql.SQLException: sql injection violation, syntax error: TODO IDENTIFIER : CREATE TEMPORARY TABLE temp_ball_classify (id int8 NOT NULL,create_time TIMESTAMP,create_by VARCHAR,classify_name VARCHAR) 代碼如下： 測…
閱讀更多...
四川蔚瀾時代電子商務有限公司打造抖音電商服務新高地

四川蔚瀾時代電子商務有限公司打造抖音電商服務新高地

在數字化浪潮洶涌澎湃的今天，電商行業以其獨特的魅力和強大的市場潛力，成為了推動經濟增長的新引擎。四川蔚瀾時代電子商務有限公司，作為這個領域的佼佼者，正以其專業的服務、創新的理念和卓越的實力，引領抖音電商服務…
閱讀更多...
用AI，每天創作200+優質內容，2分鐘教會你操作！

用AI，每天創作200+優質內容，2分鐘教會你操作！

前段時間發布了這篇“尋找爆款文案及標題的9大渠道，直接搬運都能搞流量！”，里面我講到如何尋找爆款標題。最近不少朋友問我，如何創作這個標題相關的內容。 多數平臺都有風控規則，有些平臺內容也會有字數要求。為了讓大…
閱讀更多...
SpringBoot 項目整合 MyBatis 框架，附帶測試示例

SpringBoot 項目整合 MyBatis 框架，附帶測試示例

文章目錄 一、創建 SpringBoot 項目二、添加 MyBatis 依賴三、項目結構和數據庫表結構四、項目代碼1、application.yml2、TestController3、TbUser4、TbUserMapper5、TestServiceImpl6、TestService7、TestApplication8、TbUserMapper.xml9、MyBatisTest 五、瀏覽器測試結果六、…
閱讀更多...
JavaScript實現時鐘計時

JavaScript實現時鐘計時

會動的時鐘 1.目標 2.分析 1.最開始頁面不顯示時間，有兩個按鈕 開始 暫停。開始按鈕是可以點擊的，暫停按鈕不能點擊 2.當點擊開始按鈕后，設置開始按鈕不可用，暫停按鈕可用。然后將當前系統時間放到按鈕上面。每隔1秒中更新一下…
閱讀更多...
TransMIL：基于Transformer的多實例學習

TransMIL：基于Transformer的多實例學習

MIL是弱監督分類問題的有力工具。然而，目前的MIL方法通常基于iid假設，忽略了不同實例之間的相關性。為了解決這個問題，作者提出了一個新的框架，稱為相關性MIL，并提供了收斂性的證明。基于此框架，還設計了一…
閱讀更多...
3.js - 反射率(reflectivity) 、折射率（ior）

3.js - 反射率(reflectivity) 、折射率（ior）

沒啥太大的感覺 反射率 reflectivity 概念 反射率：指的是，材質表面反射光線的能力反射率，用于控制材質對環境光，或光源的反射程度反射率越高，材質表面反射的光線越多，看起來就越光亮使用 適用于&#xff0…
閱讀更多...
最新文章

Copyright @ 2022~2023