16、网络安全事件调查与处理指南

网络安全事件调查与处理指南

1. 事件初步分析

当发现外部系统通过 TCP 端口 135 连接到我们的服务器时，这可能是攻击的开始。紧接着，外部系统尝试（可能成功）绑定到服务器上运行的 Microsoft DCE RPC 服务中的 ISystemActivator。不到一秒后，服务器从同一外部系统下载了一个名为 mslaugh.exe 的可疑程序文件。这一系列事件表明我们有足够的线索来追踪此次攻击。

一旦掌握了攻击的基本信息，就可以进一步研究以确定系统是否已被入侵。可以从以下安全网站开始调查：
- Security Focus：http://www.securityfocus.com/
- Microsoft Security：http://www.microsoft.com/security/
- Linux Security：http://www.linuxsecurity.org/
- Whitehats Network Security：http://www.whitehats.com/

同时，也建议搜索杀毒软件供应商的网站：
- McAfee：http://www.mcafee.com/
- Sophos：http://www.sophos.com/virusinfo/
- Symantec (Norton)：http://securityresponse.symantec.com/
- Trend Micro：http://www.trendmicro.com/vinfo/

此外，还可以使用常见的搜索引擎，如 Google（http://www.google.com/）、Goo