应急响应——Windows入侵排查

Windows安全应急处置

从以下方面进行排查windows主机

1.是否有异常进程、用户
2.异常的服务、计划任务、启动项
3.注册表信息
4.端口开放情况
5.文件及文件共享
6.防火墙设置
7.异常会话
8.日志
9.其他
10.工具

进程

获取系统上正在运行的所有进程列表,
可以根据以下内容查找可疑进程

CUP、内存占用率长时间过高的进程
没有签名或描述信息的进程
非法路径的进程 进程的属主

也可以使用某些软件，如D盾_web查杀工具，微软的Process Explorer工具等进行排查

##win+r
msinfo32
##软件环境————正在运行的任务

##管理员权限下的cmd
tasklist

##powershell
get-process

##WMIC
wmic process list full

##确定父进程ID、进程名称、进程id
wmic process get name,parentprocessid,processid
tasklist | findstr "572"

##获取进程路径
wmic process where "processid=4420" get commandline

用户

1.查找是否存在可疑账号、新增账号，如有新增账号，立即删除过禁用此账号。
可能的话，开启用户账号的操作日志，从日志审计服务器账号信息
产看当前用户的方式：

##win+r
lusrmgr.msc

##管理员权限运行
##cmd
net user

##cmd中将本地或域用户添加、删除出组，创建新组、删除现有组
net localgroup administrators

##PowerShell
Get-LocalUser

2.查看服务器是否存在隐藏账号，克隆账号
有时候攻击者创建的用户被隐藏起来了，通过上述查询并不能查询到隐藏用户，所以我们通过注册表去查询是否具有隐藏账号

##win+r
regedit
注册表中项
HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names

##使用D盾——web查杀工具，对克隆账号进行检测

3.结合日志，查看账户管理、登录事件（具体见下面的日志部分）

服务

确定系统中是否有异常服务运行或某些服务运行不正常

##win+r
services.msc

##cmd
net start
#查看服务是否正在运行并获取更多详细信息，如服务名称、显示名称等
s