应急响应——Linux入侵排查

事件响应可以定义为每当发生计算机或网络安全事件时所采取的行动过程。作为事件响应者，您应该始终了解系统中应该出现和不应该出现的内容。
排查思路

（1）首先监测用户账号安全，比如新增的账号、可疑账号，重点查看可以远程登录的账号以及高权限账号。
（2）利用linux的history指令查看历史linux指令，uptime指令查看登录多久、多少用户。
（3）检查异常端口和进程，netstat检查异常端口，ps检查异常进程，可以观看资源占用的进程id来判断是否有挖矿木马等嫌疑。
（4）检查linux的启动项和系统的定时任务crontab，crontab -l查看是否有异常的任务编写进来。
（5）检查linux的日志信息/var/log/一些系统日志信息、安全日志等。
（6）自动化查杀软件，在线查杀工具，查杀脚本来查杀。

linux应急响应可按4个环节进行：

• 识别现象——清除病毒——闭环兜底——系统加固 首先从服务器异常现象出发，根据服务器CPU、内存占用，网络流量，识别出病毒的可疑迹象
• 然后通过进程、端口开放、历史命令、进出站流量、日志审计等定位到具体的病毒进程及病毒文件，进行清除
• 因为病毒一般会通过一些自启动项及守护进程进行重复感染，所以我们要对攻击者账户、定时任务、恶意自启动服务、系统文件劫持、守护进程等进行排查，防止重复感染
• 将主机上的病毒项清除干净后，最后对系统进行加固，分析日志，发现漏洞出现的具体位置，是未打补丁，未升级或弱密码，对漏洞进行针对性的处置，防止病毒从web再次入侵
  

识别现象

通过系统运行状态、安全设备警告、监控系统发现主机上具有异常行为:异常流量、异常端口、CPU/内存占用率异常等等
针对不同的现象评估可能出现的问题：

• SSH暴力破解：22端口上具有不明地址的连接，/var/log/secure中存在大量登录失败记录
• 短链接：监控设备发现服务器不断向某地址发起请求，多次刷新端口、进程时发现短链接
• 挖矿病毒：服务器持续向外部ip发送连接，下载病毒源；不规则的异常进程、异常下载
• 盖茨病毒：CPU资源异常，异常进程占用大量网络带宽，异常IP连接、异常进程、异常启动项
• DDOS病毒：服务器网络资源异常、带宽占用率高，影响网络业务使用

进程

连接到系统服务器后开始对现象进行调查，查看CPU、内存、进程、系统挂载等
#top命令降序查看cpu占用率

top

CPU占用率达到70%以上，且名字比较可疑的进程，可能就是病毒

枚举进程

ps -aux

病毒多携带可疑的命令行，当发现命令行中带有url或奇怪字符时，就要注意是否它是否是个病毒下载程序

定位某一进程

lsof -p <PID>

查看安全网关或监控系统
查看网关或监控系统中与目标ip通信的进程，并通过命令行列举出此进程

##列举网络Socket连接的进程
while true;do netstat -antp | grep <ip>; done

有时后检测到的是个域名，其对应的ip在不断变化，用上述方法过滤ip并不适用，可疑在hosts文件中将域名绑定为一个随机的ip，对其进行监控