123,123,123

內(nèi)容簡(jiǎn)介

　　2019年，奇安信安服團(tuán)隊(duì)出版了《應(yīng)急響應(yīng)―網(wǎng)絡(luò)安全的預(yù)防、發(fā)現(xiàn)、處置和恢復(fù)》科普?qǐng)D書，旨在提高機(jī)構(gòu)、企業(yè)在網(wǎng)絡(luò)安全應(yīng)急響應(yīng)方面的組織建設(shè)能力。2020年，我們撰寫本書，旨在借助奇安信安服團(tuán)隊(duì)多年來積累的上千起網(wǎng)絡(luò)安全應(yīng)急響應(yīng)事件處置的實(shí)戰(zhàn)經(jīng)驗(yàn)，幫助一線安全人員更加高效、高質(zhì)量地處置網(wǎng)絡(luò)安全應(yīng)急響應(yīng)事件。本書共10章，第1～3章為網(wǎng)絡(luò)安全應(yīng)急響應(yīng)工程師需要掌握的基礎(chǔ)理論、基礎(chǔ)技能和常用工具，第4～10章為當(dāng)前網(wǎng)絡(luò)安全應(yīng)急響應(yīng)常見的七大處置場(chǎng)景，分別是勒索病毒、挖礦木馬、Webshell、網(wǎng)頁篡改、DDoS攻擊、數(shù)據(jù)泄露和流量劫持網(wǎng)絡(luò)安全應(yīng)急響應(yīng)。通過本書的學(xué)習(xí)，一線網(wǎng)絡(luò)安全應(yīng)急響應(yīng)工程師可掌握網(wǎng)絡(luò)安全應(yīng)急響應(yīng)處置思路、技能，以及相關(guān)工具的使用，以便實(shí)現(xiàn)快速響應(yīng)的新安全要求。本書適合機(jī)構(gòu)、企業(yè)的安全運(yùn)營(yíng)人員使用，也可作為高校網(wǎng)絡(luò)安全相關(guān)專業(yè)學(xué)生的培訓(xùn)教材。

作者簡(jiǎn)介

　　奇安信集團(tuán)是北京2022年冬奧會(huì)和冬殘奧會(huì)官方網(wǎng)絡(luò)安全服務(wù)和殺毒軟件贊助商。作為中國(guó)領(lǐng)先的網(wǎng)絡(luò)安全品牌，奇安信集團(tuán)多次承擔(dān)***重大活動(dòng)的網(wǎng)絡(luò)安全保障工作，創(chuàng)建了穩(wěn)定可靠的網(wǎng)絡(luò)安全服務(wù)體系―全維度管控、全網(wǎng)絡(luò)防護(hù)、全天候運(yùn)行、全領(lǐng)域覆蓋、全兵種協(xié)同、全線索閉環(huán)。奇安信安服團(tuán)隊(duì)以攻防技術(shù)為核心，聚焦威脅檢測(cè)和響應(yīng)，通過提供咨詢規(guī)劃、威脅檢測(cè)、攻防演習(xí)、持續(xù)響應(yīng)、預(yù)警通告、安全運(yùn)營(yíng)等一系列實(shí)戰(zhàn)化的服務(wù)，在云端安全大數(shù)據(jù)的支撐下，為用戶提供全周期的安全保障服務(wù)。奇安信安服團(tuán)隊(duì)提供的網(wǎng)絡(luò)安全應(yīng)急響應(yīng)服務(wù)致力于成為“網(wǎng)絡(luò)安全120”。2016年以來，奇安信安服團(tuán)隊(duì)已具備了豐富的網(wǎng)絡(luò)安全應(yīng)急響應(yīng)實(shí)踐經(jīng)驗(yàn)，業(yè)務(wù)覆蓋全國(guó)31個(gè)省（自治區(qū)、直轄市），處置機(jī)構(gòu)、企業(yè)網(wǎng)絡(luò)安全應(yīng)急響應(yīng)事件2500多起，累計(jì)投入工時(shí)30000多小時(shí)，為全國(guó)超千家機(jī)構(gòu)、企業(yè)解決了網(wǎng)絡(luò)安全問題。奇安信安服團(tuán)隊(duì)推出網(wǎng)絡(luò)安全應(yīng)急響應(yīng)訓(xùn)練營(yíng)服務(wù)，面向廣大機(jī)構(gòu)、企業(yè)，將團(tuán)隊(duì)在一線積累的實(shí)踐經(jīng)驗(yàn)進(jìn)行網(wǎng)絡(luò)安全培訓(xùn)和賦能，幫助機(jī)構(gòu)、企業(yè)的安全管理者、安全運(yùn)營(yíng)人員、工程師等不同崗位工作者提高網(wǎng)絡(luò)安全應(yīng)急響應(yīng)能力和技術(shù)水平。奇安信安服團(tuán)隊(duì)正在用專業(yè)的技術(shù)能力保障著用戶的網(wǎng)絡(luò)安全，盡可能地減少安全事件對(duì)用戶造成的經(jīng)濟(jì)損失，以及對(duì)社會(huì)造成的惡劣影響。

圖書目錄

第1章網(wǎng)絡(luò)安全應(yīng)急響應(yīng)概述 1
1．1 應(yīng)急響應(yīng)基本概念 1
1．2 網(wǎng)絡(luò)安全應(yīng)急響應(yīng)基本概念 1
1．3 網(wǎng)絡(luò)安全應(yīng)急響應(yīng)的能力與方法 3
1．3．1 機(jī)構(gòu)、企業(yè)網(wǎng)絡(luò)安全應(yīng)急響應(yīng)應(yīng)具備的能力 3
1．3．2 PDCERF（6階段）方法 4
1．4 網(wǎng)絡(luò)安全應(yīng)急響應(yīng)現(xiàn)場(chǎng)處置流程 6
第2章網(wǎng)絡(luò)安全應(yīng)急響應(yīng)工程師基礎(chǔ)技能 8
2．1 系統(tǒng)排查 8
2．1．1 系統(tǒng)基本信息 8
2．1．2 用戶信息 13
2．1．3 啟動(dòng)項(xiàng) 20
2．1．4 任務(wù)計(jì)劃 23
2．1．5 其他 26
2．2 進(jìn)程排查 28
2．3 服務(wù)排查 39
2．4 文件痕跡排查 41
2．5 日志分析 53
2．6 內(nèi)存分析 70
2．7 流量分析 77
2．8 威脅情報(bào) 83
第3章常用工具介紹 86
3．1　SysinternalsSuite 86
3．2　PCHunter/火絨劍/PowerTool 87
3．3　Process Monitor 88
3．4　Event Log Explorer 88
3．5　FullEventLogView 89
3．6　Log Parser 90
3．7　ThreatHunting 90
3．8　WinPrefetchView 91
3．9　WifiHistoryView 91
3．10　奇安信應(yīng)急響應(yīng)工具箱 92
第4章勒索病毒網(wǎng)絡(luò)安全應(yīng)急響應(yīng) 95
4．1　勒索病毒概述 95
4．1．1　勒索病毒簡(jiǎn)介 95
4．1．2　常見的勒索病毒 95
4．1．3　勒索病毒利用的常見漏洞 103
4．1．4 勒索病毒的解密方法 104
4．1．5 勒索病毒的傳播方法 105
4．1．6 勒索病毒的攻擊特點(diǎn) 106
4．1．7 勒索病毒的防御方法 107
4．2 常規(guī)處置方法 110
4．2．1 隔離被感染的服務(wù)器/主機(jī) 110
4．2．2 排查業(yè)務(wù)系統(tǒng) 111
4．2．3 確定勒索病毒種類，進(jìn)行溯源分析 111
4．2．4 恢復(fù)數(shù)據(jù)和業(yè)務(wù) 111
4．2．5 后續(xù)防護(hù)建議 112
4．3 錯(cuò)誤處置方法 112
4．4 常用工具 113
4．4．1 勒索病毒查詢工具 113
4．4．2 日志分析工具 117
4．5 技術(shù)操作指南 119
4．5．1 初步預(yù)判 120
4．5．2 臨時(shí)處置 126
4．5．3 系統(tǒng)排查 127
4．5．4 日志排查 135
4．5．5 網(wǎng)絡(luò)流量排查 139
4．5．6 清除加固 139
4．6 典型處置案例 140
4．6．1 服務(wù)器感染GlobeImposter 勒索病毒 140
4．6．2 服務(wù)器感染Crysis勒索病毒 145
第5章挖礦木馬網(wǎng)絡(luò)安全應(yīng)急響應(yīng) 150
5．1 挖礦木馬概述 150
5．1．1 挖礦木馬簡(jiǎn)介 150
5．1．2 常見的挖礦木馬 150
5．1．3 挖礦木馬的傳播方法 153
5．1．4 挖礦木馬利用的常見漏洞 154
5．2 常規(guī)處置方法 155
5．2．1 隔離被感染的服務(wù)器/主機(jī) 155
5．2．2 確認(rèn)挖礦進(jìn)程 156
5．2．3 挖礦木馬清除 156
5．2．4 挖礦木馬防范 157
5．3 常用工具 158
5．3．1 ProcessExplorer 158
5．3．2 PCHunter 160
5．4 技術(shù)操作指南 162
5．4．1 初步預(yù)判 162
5．4．2 系統(tǒng)排查 165
5．4．3 日志排查 176
5．4．4 清除加固 178
5．5 典型處置案例 179
5．5．1 Windows服務(wù)器感染挖礦木馬 179
5．5．2 Linux服務(wù)器感染挖礦木馬 183
第6章 Webshell網(wǎng)絡(luò)安全應(yīng)急響應(yīng) 188
6．1 Webshell概述 188
6．1．1 Webshell分類 188
6．1．2 Webshell用途 189
6．1．3 Webshell檢測(cè)方法 190
6．1．4 Webshell防御方法 190
6．2 常規(guī)處置方法 191
6．2．1 入侵時(shí)間確定 191
6．2．2 Web日志分析 192
6．2．3 漏洞分析 192
6．2．4 漏洞復(fù)現(xiàn) 192
6．2．5 漏洞修復(fù) 193
6．3 常用工具 194
6．3．1 掃描工具 194
6．3．2 抓包工具 195
6．4 技術(shù)操作指南 195
6．4．1 初步預(yù)判 196
6．4．2 Webshell排查 198
6．4．3 Web日志分析 199
6．4．4 系統(tǒng)排查 202
6．4．5 日志排查 218
6．4．6 網(wǎng)絡(luò)流量排查 221
6．4．7 清除加固 223
6．5 典型處置案例 224
6．5．1 網(wǎng)站后臺(tái)登錄頁面被篡改 224
6．5．2 Linux系統(tǒng)網(wǎng)站服務(wù)器被植入Webshell 229
6．5．3 Windows系統(tǒng)網(wǎng)站服務(wù)器被植入Webshell 235
第7章網(wǎng)頁篡改網(wǎng)絡(luò)安全應(yīng)急響應(yīng) 238
7．1 網(wǎng)頁篡改概述 238
7．1．1 網(wǎng)頁篡改事件分類 238
7．1．2 網(wǎng)頁篡改原因 239
7．1．3 網(wǎng)頁篡改攻擊手法 240
7．1．4 網(wǎng)頁篡改檢測(cè)技術(shù) 240
7．1．5 網(wǎng)頁篡改防御方法 241
7．1．6 網(wǎng)頁篡改管理制度 241
7．2 常規(guī)處置方法 242
7．2．1 隔離被感染的服務(wù)器/主機(jī) 242
7．2．2 排查業(yè)務(wù)系統(tǒng) 242
7．2．3 確定漏洞源頭、溯源分析 243
7．2．4 恢復(fù)數(shù)據(jù)和業(yè)務(wù) 243
7．2．5 后續(xù)防護(hù)建議 243
7．3 錯(cuò)誤處置方法 243
7．4 常用工具 244
7．5 技術(shù)操作指南 244
7．5．1 初步預(yù)判 244
7．5．2 系統(tǒng)排查 245
7．5．3 日志排查 247
7．5．4 網(wǎng)絡(luò)流量排查 249
7．5．5 清除加固 249
7．6 典型處置案例 249
7．6．1 內(nèi)部系統(tǒng)主頁被篡改 249
7．6．2 網(wǎng)站首頁被植入暗鏈 252
第8章 DDoS攻擊網(wǎng)絡(luò)安全應(yīng)急響應(yīng) 257
8．1 DDOS攻擊概述 257
8．1．1 DDoS攻擊簡(jiǎn)介 257
8．1．2 DDoS攻擊目的 257
8．1．3 常見DDoS攻擊方法 258
8．1．4 DDoS攻擊中的一些誤區(qū) 266
8．1．5 DDoS攻擊防御方法 267
8．2 常規(guī)處置方法 268
8．2．1 判斷DDoS攻擊的類型 268
8．2．2 采取措施緩解 269
8．2．3 溯源分析 269
8．2．4 后續(xù)防護(hù)建議 269
8．3 技術(shù)操作指南 269
8．3．1 初步預(yù)判 269
8．3．2 問題排查 272
8．3．3 臨時(shí)處置方法 272
8．3．4 研判溯源 273
8．3．5 清除加固 273
8．4 典型處置案例 273
第9章數(shù)據(jù)泄露網(wǎng)絡(luò)安全應(yīng)急響應(yīng) 275
9．1 數(shù)據(jù)泄露概述 275
9．1．1 數(shù)據(jù)泄露簡(jiǎn)介 275
9．1．2 數(shù)據(jù)泄露途徑 275
9．1．3 數(shù)據(jù)泄露防范 277
9．2 常規(guī)處置方法 277
9．2．1 發(fā)現(xiàn)數(shù)據(jù)泄露 277
9．2．2 梳理基本情況 278
9．2．3 判斷泄露途徑 278
9．2．4 數(shù)據(jù)泄露處置 278
9．3 常用工具 279
9．3．1 Hawkeye 279
9．3．2 Sysmon 283
9．4 技術(shù)操作指南 287
9．4．1 初步研判 287
9．4．2 確定排查范圍和目標(biāo) 288
9．4．3 建立策略 289
9．4．4 系統(tǒng)排查 290
9．5 典型處置案例 291
9．5．1 Web服務(wù)器數(shù)據(jù)泄露 291
9．5．2 Web應(yīng)用系統(tǒng)數(shù)據(jù)泄露 295
第10章流量劫持網(wǎng)絡(luò)安全應(yīng)急響應(yīng) 303
10．1 流量劫持概述 303
10．1．1 流量劫持簡(jiǎn)介 303
10．1．2 常見流量劫持 303
10．1．3 常見攻擊場(chǎng)景 311
10．1．4 流量劫持防御方法 313
10．2 常規(guī)處置方法 313
10．2．1 DNS劫持處置 313
10．2．2 HTTP劫持處置 314
10．2．3 鏈路層劫持處置 314
10．3 常用命令及工具 315
10．3．1 nslookup命令 315
10．3．2 dig命令 317
10．3．3 traceroute命令 319
10．3．4 Wireshark工具 319
10．3．5 流量嗅探工具 320
10．4 技術(shù)操作指南 321
10．4．1 初步預(yù)判 321
10．4．2 DNS劫持排查 322
10．4．3 HTTP劫持排查 327
10．4．4 TCP劫持排查 328
10．4．5 ARP劫持排查 329
10．5 典型處置案例 330
10．5．1 網(wǎng)絡(luò)惡意流量劫持 330
10．5．2 網(wǎng)站惡意跳轉(zhuǎn) 331
10．5．3 網(wǎng)站搜索引擎劫持 332