【干货】应急响应所有流程！

程序员霸哥

于 2025-06-27 10:24:48 发布

阅读量896

点赞数 22

CC 4.0 BY-SA版权

分类专栏：网络安全学习网络操作文章标签： web安全 php 安全网络前端

本文链接：https://blog.youkuaiyun.com/logic1001/article/details/148947541

网络安全同时被 3 个专栏收录

2528 篇文章

订阅专栏

网络操作

14 篇文章

订阅专栏

学习

10 篇文章

订阅专栏

【干货】应急响应所有流程！

应急响应所有流程

重点：一切考虑业务稳定

先启用运维应急预案，保证业务稳定运行系统稳定（网络、系统文件、启动项、库、内存）经验是不可替代的以事件关联思维思考安全事故所有操作必须有记录和时间。

1. 部署安全系统

所有主机时钟同步
服务器监控系统
系统日志系统
NIPS、WAF、HIDS
蜜罐
主机加固
数据库审计
NTA流量可视化
代码密钥泄露扫描
堡垒机
漏洞预警平台
SIEM

2. 收到入侵告警

安骑士
蜜罐
NIDS
DNS日志
外联域名
数据库审计系统
大量拖库日志
服务器崩溃或重启
客服接到黑客信息
服务器响应速度太慢
非工作时间链接服务器
异常网络流量，比如ping或扫描操作；
一批服务器被远程外联
文件完整性报警
客户数据流失
服务器发现文件被加密

3. 信息收集

对业务有什么影响
被入侵项目名称
大体架构
报警信息
受害主机数量
黑客域名、IP
安全系统的日志
木马样本
服务器是否能出网
是否统一管理入口（堡垒机）
对外开放端口
黑客所有行为记录
操作系统版本
补丁情况

4. 入侵分析

情报威胁平台查看URL、病毒文件、IP、域名
定位黑客肉机，或第一入侵点
服务器外联哪个地址，黑客IP
分析入侵点，哪台机器最先被渗透
通过蜜罐看攻击源
查看所有安全设备的日志，定位攻击面
是否是办公网机器执行的操作
通过服务器所属组，是否云账号泄露
病毒分析
所有可能受攻击机器
预加载库配置文件是否被修改
动态链接库配置文件是否被修改
查看系统启动项
使用公司知识库参考以往类似案例

5. 安全事故类型

被远控
木马植入
留后门
CPU飙高
异常流量
rootkit
挖矿
勒索病毒
sql拖库
web渗透
留黑页，网页挂马
webshell
云账号泄露
监守自盗
爆破
账密泄露
办公网被入侵
网络攻击
劫持
查看所有应用的爆破日志和登录日志，比如ssh和mysql，dns；
杀死恶意进程
查看动态链接库后门

6. 快速应急方案

把黑客IP加入黑名单，直接给DD死，把应用切换走
禁止主动出网，阻断黑客远控行为
查对外的端口，如果有高危漏洞应用就加白名单
删除木马文件，杀死进程，如果rootkit就服务器下线
找到还能出网机器重点做安全加固
深度安全检测，不重要服务器直接下线
不允许直接访问服务器，防止正向shell，用代理即可
把黑客IP加入黑名单
查对外的端口，如果有高危漏洞应用就加白名单
禁止主动出网，阻断黑客远控行为
机器直接下线
看公开漏洞就行了，redis、mongodb、MySQL等
不允许直接访问服务器，防止正向shell，用代理即可
把黑客IP加入黑名单
在加一层云waf，只启用owasp防御功能
开发修改接口
给接口添加验证码做人机识别
ip每分钟限制访问10次同一接口
通过ngingx日志找到有漏洞的接口
查服务器上是否有木马和webshell
1. 找到日志，看哪台机器产生的，把关键字找到
1. 去到文件里，确认真的被注入webshell，有很多是黑客的扫描日志
1. 立刻删除，去看从哪个接口进来的，根据webshell内容作为关键字全盘搜索，尤其是Java 日志
1. 找所有nginx 日志，找到这个请求接口，用ack命令，比grep 还好用
1. 确定具体的接口，让开发去修改过滤
立即修改云账号，修改密钥，云平台远程桌面做一次远程连接，第二次就需要手机号验证了，敏感操作和登录启用手机验证码，不要在电脑上用验证码。
把黑客IP加入黑名单
办公电脑断网，重做系统
查堡垒机所有日志
查服务器后门
所有服务器深度安全检测
禁止主动出网，阻断黑客远控行为
更换全部密码和密钥和token
ip每分钟限制访问10次同一接口
挂一个云waf，只启用owasp防御功能
给接口添加验证码做人机识别
加个云锁，做频率限制，iptables也行
做白名单
改个复杂密码或改成密钥
把黑客IP加入黑名单
禁止主动出网，阻断黑客远控行为
不允许直接访问服务器，防止正向shell，用代理即可
修改密码或密钥
深度安全检测
找到代码泄露人和泄露途径，全部改一遍
把黑客IP加入黑名单
把办公网IP全部不是白名单，只用VPN为白名单
不用的机器或下班后，机器全部关机，重做系统
密码全部修改或添加二次验证，手机作为验证码
给IP做限速
加CDN，比如cloudflare
加https
修复百度快照劫持服务器的漏洞
HTTPDNS
查看前端js代码，oss，清cdn缓存，前端代码服务器；

定义后查看动态链接库的方式(动态链接库在/usr/lib64)：echo $PATH echo $LD_PRELOAD cat /etc/ld.so.preload ls /etc/ld.so.conf.d / cat /etc/ld.so.conf 用starce命令检查下系统命令：strace -f -e trace=file /bin/ls
中动态链接库木马的现象：使用普通命令得到的结果，和使用busybox的结果不同；有些命令用stat查看，时间被修改了；ldd elf文件名（如果正常系统没这个库就是木马了）
修复方法：./busybox lsattr -ia /etc/ld.so.preload ./busybox chattr -ia /etc/ld.so.preload ./busybox rm -rf/etc/ld.so.preload /lib/cub3.so

7. 应急收尾工作