windows应急响应

前言

        当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。

常见的应急响应事件分类：

web入侵：网页挂马、主页篡改、Webshell

系统入侵：病毒木马(病毒有传染性、木马没有，一般木马都是做后门)、勒索软件、远控后门

网络攻击：DDOS攻击(护网是不允许ddos的)、DNS劫持、ARP欺骗

针对常见的攻击事件，结合工作中应急响应事件分析和解决的方法，总结了一些Window服务器入侵排查的思路。

一、windows的入侵排查

1. 检查系统账号安全

查看服务器是否存在可以账号、新增账号。

（1）. 可以在cmd终端输入net user或lusrmgr.msc 查看用户信息

（2）.可以右键点击此电脑,左键点击管理，找到本地用户和组，在点击用户，也可以看见当前计算机的用户信息。