【网络安全】安全事件管理处置

【网络安全】安全事件管理处置 — windows应急响应

专栏文章索引：网络安全

有问题可私聊：QQ：3375119339

一、账户排查

二、windows网络排查

三、进程排查

四、windows注册表排查

五、内存分析

总结

一、账户排查

弱口令排查方式
- 查看是否启用组策略，限制弱口令
- 用户访谈，直接询问管理员是最好的方法
- 查看是否有暴力破解日志，并登录成功
- 最后上述都无效的情况，可以尝试读取明文密码

排查windows隐藏用户，我们可以通过查看注册表下
- HKEY_LOCAL_MAC HINE\SAM\SAM\ Domains\Account \Users\Names（需要获取权限）
- 对比本地用户和组

通常恶意程序会发起网络连接，从网络连接来查找恶意程序是最直接的方法
- 通常的方法有
  - 命令行 netstat -ano，也可以重定向，netstat -ano | find "LISTEN"
  - 任务管理器--性能--资源监测器
  - https://betanews.com/2018/07/31/all-the-websites-windows-10- connects-to-clean-install 显示了windows10默认的网络连接，便于我们应急排查
通过网络找进程，通过进程找文件，是应急响应中常用的手法
网络排查中还有一部分内容是路由表，查看本机是否被利用作VPN跳板
查看windows路由表方法如下
- route print
- netstat -rn

很多恶意程序会通过服务来启动进程，我们要注意进程与服务的关联方式
可以通过任务管理器，服务界面，查看进程PID
可以通过命令行查看进程与服务关联
- tasklist /svc
进程运行参数查询，如svchost作业服务承载进程，具体运行了什么
- wmic process where name='svchost.exe' get caption,commandline,processid,parentprocessid
进程加载模块查询
恶意文件通常会写成DLL文件
而非EXE直接执行
启动项排查
- 命令msconfig或msinfo32
- 注册表
- HKLM\Software\Microsoft\ Windows\CurrentVersion\Runonce
- HKLM\Software\Microsoft\ Windows\CurrentVersion\policies\Explorer\Run
- HKLM\Software\Microsoft\ Windows\CurrentVersion\Run
- HKCU\Software\Microsoft\ Windows NT\CurrentVersion\ Windows\Run
- HKCU\Software\Microsoft\Windows\CurrentVersion\Run
- HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce

启动项排查
- 组策略--启动或登录脚本
计划任务排查
- taskschd.msc
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree

HKEY_CLASSES_ROOT (HKCR)：此处存储的信息可确保在Windows资源管理器中执行时打开正确的程序。它还包含有关拖放规则，快捷方式和用户界面信息的更多详细信息
HKEY_CURRENT_USER (HKCU) ：包含当前登录系统的用户的配置信息，包括用户的文件夹，屏幕颜色和控制面板设置。HKEY_USERS中特定于用户的分支的别名。通用信息通常适用于所有用户，并且是HKU.DEFAULT
HKEY_LOCAL_MACHINE (H KLM)：包含运行操作系统的计算机硬件特定信息。它包括系统上安装的驱动器列表以及已安装硬件和应用程序的通用配置
HKEY_USERS (HKU)：包含系统上所有用户配置文件的配置信息，包括应用程序配置和可视设置
HKEY_CURRENT_CONFIG (HCU)：存储有关系统当前配置的信息