t05安全服務應急處置工具網絡分析系統_第1頁
t05安全服務應急處置工具網絡分析系統_第2頁
t05安全服務應急處置工具網絡分析系統_第3頁
已閱讀5頁，還剩2頁未讀， 繼續免費閱讀

下載本文檔

版權說明：本文檔由用戶提供并上傳，收益歸屬內容提供方，若內容存在侵權，請進行舉報或認領

文檔簡介

1、網絡分析系統快速分析說明文檔深信服擬制安全服務團隊日期審核日期批準日期1、網絡分析系統使用步驟網絡分析系統 11.1（技術交流版）路徑（注意：根據自己操作系統位數）：安裝分析系統開啟：網絡可以進行持續性的抓包檢測，實時發現客戶的異常或者是ip 地址請求，并且能夠識別異常流量的進程。第一步，安裝根據無腦下一步安裝即可；第二步，選擇自己的網卡，選擇全面分析，開啟；第三步，通過左樹的 Internet 地址查看用戶連接的和 ip 地址。左樹的 Internet 地址可以查看主機的和地址，一般來說查看主機對外的連接太多，基本能夠直出來，優先查看海外的。右邊窗口的窗口可以是哪個進程的數據，如下圖：可以根

2、據上述進程號查看進程瀏覽器，查看該進程的所有數據包嗎，如下（注：32 位的沒有進程瀏覽器）：如果發現有的連接，說明已經被了，需要用 EDR 等終端工具殺或者 windows 系統里面的訪毒，對于出現的或者是 ip 地址通過問策略進行封堵。2、網絡分析系統挖礦案例某客戶服務器進程用戶量不大，但是經常卡頓，通過任務管理器查看發現 cpu 使用率比較高，經常出現 100%使用率，安全感知設備發現顯示服務器與xmr.crypto-pool.fr 這個了。通信。客戶要求我們到終端確認服務器是否真的2.1 使用抓包確定使用抓包，發現服務器確實有不正常流量請求。選擇 IP 瀏覽器，打開 Internet地址

3、，可以發現服務器與 xmr.crypto-pool.fr 這個法國的通信，截圖取證。2.2 查看 TCP 會話查看 TCP 會話， 發現進程 NsCpuCNMiner64.exe 2308 與 xmr.crypto- pool.fr:7777 通信，截圖取證，通信流量如下："method": "login", "params": "login":"4A21A2RWVQhNZ79unBSD2iCeWXUnJJvpjgoYcNMLReDgMTNERf4ofwZZzCv8grgeSpd2ZxyhWo1ujBDs

4、Z1xotyPt4C97ioj", "pass": "x", "agent": "cpuminer-multi/0.1", "id":1查看通信流量，采用 stratum 協議進行挖礦，錢包地址為：4A21A2RWVQhNZ79unBSD2iCeWXUnJJvpjgoYcNMLReDgMTNERf4ofwZZzCv8grgeSpd2ZxyhWo1ujBDsZ1xotyPt4C97ioj行為確認2.3此時基本可以確定服務器中挖礦木馬。可通過輸入錢包地址，錢包中門羅幣的數量，截圖取證。瀏覽器中xmr.crypto-pool.fr，很明顯該為門羅幣（monero）礦池，截圖取證。結合威脅情報分析，使用微步該，被微步標記為礦池，確認服務器中挖礦后門，截圖取證。2.4 使用殺毒軟件進行查殺取證完畢，使用 EDR 查殺木馬即可（如果 EDR 無法查殺，可以更換其他廠商殺毒軟件進行查殺

溫馨提示

  • 1. 本站所有資源如無特殊說明，都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等，如果需要附件，請聯系上傳者。文件的所有權益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙，網頁內容里面會有圖紙預覽，若沒有圖紙預覽就沒有圖紙。
  • 4. 未經權益所有人同意不得將文件中的內容挪作商業或盈利用途。
  • 5. 人人文庫網僅提供信息存儲空間，僅對用戶上傳內容的表現方式做保護處理，對用戶上傳分享的文檔內容本身不做任何修改或編輯，并不能對任何下載內容負責。
  • 6. 下載文件中如有侵權或不適當內容，請與我們聯系，我們立即糾正。
  • 7. 本站不保證下載資源的準確性、安全性和完整性, 同時也不承擔用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。

評論

0/150

提交評論