一、服务流程
沟通确认安全事件
在与客户第一次沟通时，应及时提醒客户对受害机器及时进行断网隔离操作。已知的安全事件包括但不限于如下：
1. 恶意代码威胁，即僵尸网络、恶意木马、蠕虫病毒、勒索病毒等恶意代码导致的安全事件
2. 高级持续性威胁(APT)攻击事件，即具有潜伏性、隐蔽性、目的性、持续性等特点的安全事件
3. 非法入侵事件，包括但不限于业务系统受到入侵致使数据泄露、丢失等；外网网站被入侵，导致网站被恶意篡改植入暗链或出现其他非法的宣传标语；服务器被入侵导致受到勒索攻击等安全事件
4. 漏洞事件，即0day公布；在野漏洞发现；已知漏洞被发现受到通报等安全事件
5. 数据泄露事件，即重要数据因受到了入侵导致的泄露；应用配置不当导致的泄露；员工误操作导致的泄露；内鬼泄露等安全事件
6. 分布式拒绝服务攻击（DDOS）事件，即网站受到了各类DOS攻击，包括但不限于CC攻击、洪水攻击、流量放大攻击等安全事件
7. 流量劫持，DNS劫持、HTTP劫持
8. 其他归于网络安全的事件
注意事项：一定要亲自确认，切不可盲目相信他人所述。
确认后，应尽量收集与本次安全事件相关的信息，例如什麽时候发现的攻击，之前有无出现过安全事件等。
在确认安全事件后明确应急目的：
1. 病毒、后门清除工作
2. 协助业务系统安全的恢复上线
3. 攻击溯源工作。（仅溯源至攻击者的攻击切入点）
现场保护
在与客户沟通时，应提醒客户注意保护现场，千万不要直接重装系统，以方便后续的溯源工作及可能存在的电子取证工作。在处置受害机器时，应尽量保持受害机器的原样，如虚拟机处置时，可以让客户进行快照存储。
了解客户网络状况
对客户的网络拓扑应尽早进行了解，特别是网络的进出口、负载均衡、防火墙、DNS服务器。
确定事件影响 确定工作方向 确立工作目标
明确现场工作任务归属
无论现场的环境，主导本次安全事件，合理分配现场工作为应急人员的必备技能。
对现场的可能存在的工作应具备清晰的认知。通常会存在以下工作内容：病毒分析处置、业务恢复、安全加固、溯源分析、临时需求处置、产品对接与使用、应急指挥与协调。
二、技术部分
1. 系统
1.1 Windows
1.1.1 熟悉现场环境
对受害机器进行了解，分析可能存在的共同弱点，进而提供溯源思路。
如：是否存在弱口令（例如3389、FTP、中间件、数据库）
是否存在对外映射的端口，或WEB应用等
1.1.2 账号安全风险分析
查看当前已登录的账号
query user
使用logoff ID 命令注销已登录用户，当可疑账号处于登录状态时，也可以使用mimikatz抓取密码。
查看用户目录 是否存在新建用户目录
C:\Documents and Settings
C:\Users
查看对应用户的desktop与download目录下是否存在异常文件
查看是否存在可疑账号、新增账号（注意Guest用户是否开启）
Win+R输入lusrmgr.msc net user username查看详细
查看是否存在隐藏账号、克隆账号
运行 — regedit.exe查看注册表
或使用工具PC hunter与D盾进行排查
建立隐藏用户参考链接：
http://www.qpfangyu.com/news/qt/283.htm
1.1.3 日志风险分析
Win+R 输入 eventvwr.msc
打开事件查看器，注意日志事件是否存在缺失现象（日志出现断点或发现存在清除痕迹）。
日志事件查看器本身支持筛选功能。也可以导出为CSV 或者TXT使用Excel或者Notepad进行分析
使用微软Log Parser进行分析（Log ParserUI封装了语句gui界面）
运行 — %UserProfile%\Recent，分析最近打开可疑文件，或根据最近修改时间进行排查
查看U盘使用痕迹，对比各时间点，排查可疑使用记录
//*注意采集日志时，应注意日志是否存在时间断点、或部分日志丢失情况
1.1.4 病毒风险排查
使用360杀毒离线版，并下载最新病毒库下载地址：http://sd.360.cn/download_center.html
使用其他杀软，并注意客户现场是否存在友商产品。
1.1.5 异常风险分析
1.1.5.1端口状态
cmd命令
netstat -ano
netstat -ano | findstr “port”查看端口对应的活动连接
tasklit | findstr “PID” 查看相应PID的进程
TCP端口状态说明
http://www.qpfangyu.com/news/qt/284.htm
工具使用
PC Hunter、D盾
1.1.5.2进程
运行 — msinfo32 –软件环境–正在运行任务，查看详细
运行 — taskmgr 任务管理器进行查看，可由进程打开相应文件位置，及相应服务。
排查可疑进程及子进程（多涉及感染型病毒）
观察内容包括：
没有签名验证信息的进程
没有描述信息的进程
属主异常的进程
路径不合法的进程
CPU或内存资源 长时间或过高占用的进程
存在异常活动连接的进程
工具使用：
PC Hunter、D盾、Process Explorer、Process Hacker、Autoruns
1.1.5.3启动项
注意当前系统时间是否有问题，病毒可能存在篡改系统时间，或利用系统时间异常的可能性。
单击–开始–所有程序–启动
输入命令查看启动项wmic startup list full
运行 – 输入msconfig查看是否存在可疑的启动项目
打开注册表，查看是否存在可疑开机启动项，特别注意如下三个注册表项：
HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce
运行 — gpedit.msc组策略中查看启动
工具使用:
Autoruns、PC Hunter、360安全卫士
1.1.5.4计划任务
控制面板 — 管理工具 — 任务计划程序
或运行 — taskschd.msc
通过命令查看计划任务schtasks /query /fo table /v
或者注册表下手动排查（其使用了XML格式，若出现特殊字符，可导致打开报错）
HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Schedule \ TaskCache \ Tree
运行 — 管理员运行cmd — at 检查计算机与网络上其他计算机之间的会话或者计划任务，如有确认是否为正常连接。
1.1.5.5系统服务
运行 — services.msc 注意服务状态和启动类型，检查是否存在可疑服务。
运行 — taskmgr 任务管理器内查看服务
工具使用：
PC Hunter
1.1.6 系统风险分析
1.1.6.1 系统后门排查
对当前操作系统版本、操作系统补丁、应用版本进行确认，分析可能存在的威胁因素。
如“永恒之蓝”漏洞未打补丁，是否存在利用痕迹。
IIS低版本漏洞。
检查方法：
1. 运行 — systeminfo查看系统信息
2. Shift后门排查使用OD 分析C:\WINDOWS\system32\dllcache\sethc.exe
3. 对于一些windows常见的持久化痕迹基本都很明显
1.1.6.2 敏感目录排查
可能存在问题的敏感目录
%WINDIR%
%WINDIR%\system32%TEMP%
%LOCALAPPDATA%
%APPDATA%各盘下的tmp缓存目录，例如C:\Windows\Temp
1.1.7 综合分析得出结论
1. 系统漏洞直接造成的入侵事件。如“永恒之蓝”、弱口令
2. 系统漏洞间接造成的入侵事件。如WebShell后，本地提权。
3. 应用漏洞直接或间接造成的入侵事件。如Struts 2远程命令执行、WebLogic弱口令或远程代码执行、IIS PUT上传漏洞、FTP弱口令或溢出攻击等。
