HW自学：蓝队初级到中级_护网蓝队初级工作内容

应急响应流程

1）事件发生

运维监控人员、客服审核人员等发现问题，进行安全告警

2）时间信息收集并分析（事件确认及分类）

收集事件信息、分析网络活动相关程序、日志和数据、判断事件的严重性、评估出问题的严重等级、是否向上进行汇报等

3）判断是否上报

否    事件关闭

是

4）事件处理

各个部门通力合作、处理安全问题、具体解决问题、避免存在漏洞未修补、后门未清除等残留问题。

5）编写报告

6）事件关闭

处理完事件后，需要关闭事件，并写出安全应急处理分析报告

拒绝攻击DDOS

1）CC攻击：攻击者借助代理服务器生成指向受害主机的合法请 求，实现DDOS和伪装就叫：CC(Challenge Collapsar)，CC 主要是用来攻击页面的。
2）SYN攻击：SYN攻击是黑客攻击的手段。SYN洪泛攻击的基 础是依靠TCP建立连接时三次握手的设计。
3）纯流量攻击：发送大量垃圾流量

抗D思想和方案：1）负载均衡 2）花钱买流量清洗服务 3）装waf 4）花钱买高防设备

水坑攻击和鱼叉攻击

1）水坑攻击指的就是黑客通过分析被攻击者经常访问的网络活动规律，寻找被攻击者经常访问的网站的 弱点，先攻击该网站植入攻击代码，等待被攻击者来访时实施攻击。 
2）鱼叉攻击是指利用木马程序作为电子邮件的附件，发送到目标电脑，诱导受害者去打开附件感染木马。

设备误报如何处理

1）来自外网的误报说明安全设备需要进行策略升级，不需要处置。

2）如果是来自内网的误报可以和负责人协商一下看能不能解决，有必要的话添加白名单处理。

如何判断是否是误报

首先看ip是内网ip还是外网ip
1）如果是内网ip，并且有明显的恶意请求，比如ipconfig那么此内网服务器可能会失陷。还有可能就是内网的系统有一些业务逻辑问题，因为内网在部署的时候很少会考虑一些安全问题。比如说内网的业务逻辑携带了一些sql语句，这一类属于误报
2）如果是外网ip，根据请求报和响应包的内容进行对比判断。比如sql语句查询用户名密码，然后响应包返回了相应的内容，这一类是属于恶意攻击。

挖矿事件应急处置

1）执行top命令，查看CPU占用情况，有无异常
2）查找恶意文件样本，并确定程序的运行时间
3） 首先获取恶意域名（微步在线、360威胁情报中心…获取），从而根据域名确定木马类型
4）处理异常进程并删除恶意文件，最后排查是否有可疑的计划任务、自启动

勒索病毒应急处置

1）首先就是物理断网、隔离主机，然后判断勒索病毒存活，可以通过创建几个.exe .txt空白文件看是否会被加密判断存活
2）排查业务系统，了解勒索病毒加密时间、中招范围以及影响程度
3）可以根据预留文件、预留邮箱判断出攻击团伙，对后续的溯源也有很大的帮助
4）分析勒索程序，获取ip、域名相关信息，上传至威胁情报中心查询
5）可以将勒索程序上传到一些勒索病毒搜索引擎，比如360、深信服，看能不能进行解密

钓鱼邮件应急处置

1、将受害主机断网隔离，有安全设备可以对所有主机资产进行病毒查杀
2、查看邮件原文

1）看指纹信息（什么发送工具平台）
2）看发送IP地址（服务器IP或攻击IP）
3）根据域名寻找邮件服务器地址(利用红队手段渗透获取信息)
4）可能存在个人的ID昵称用户名（利用社工的技术手段进行画像）

3、上机排查
netstat查外联，然后就是进程定位查找到文件的位置

webshell排查处置

1）首先排查工具方面D盾、河马，手工方面可以对比未上传webshell前的备份文件，可以对比他的MD5值
2）然后就是通过查看webshell的创建时间判断他攻击的时间范围，方便后续的溯源、追踪他的攻击路径
3）对web日志进行分析，以查找攻击路径以及失陷原因
4）最后就是进行漏洞分析，主要分析是什么漏洞导致的webshell攻击
5）最后进行漏洞复现，从而还原他的攻击路径

内存马应急

1）进程分析:通过查看系统中所有进程的信息，包括进程名称、PID、所属用户、内存占用等，可以尝试发现异常进程并排除其中是否存在内存马
2）系统日志分析:通过分析系统日志文件，可以查看系统启动、服务开启、网络连接等活动，以了解是否有可疑的行为发生内存分析工具:使用专业的内存分析工具，例如 Volatility Framework、Mandiant Memoryze、Rekall等，可以在内存中查找潜在的内存马代码或痕迹，并进行初步分析和定位
3）网络监测工具:通过网络监测工具，例Wireshark、Tcpdump等，可以捕获网络流量，了解是否有可疑的网络请求或通信行为，进步定位内存马的来源和命令控制中心
4）安全软件扫描:利用杀毒软件和安全扫描工具，例如 Norton Power Eraser、 Kaspersky、TDSsKiller等，可以对系统进行全面的扫描和检测，以发现并清除可能存在的内存马

暴力破解如何研判

1）可以通过规律，如果请求的次数与这个正常请求的次数有一定差距，则需要进一步分析
2）特征字符，比如它是对smb协议进行暴力破解，然后我们可以看有没有相应的关键字

如何判断是否蜜罐

1）查看页面源代码，一般都会有那个很长的一段js加密代码
2）可以通过360网络空间测绘进行查询

sql注入告警，怎么判断是否攻击成功

根据请求包和响应包对比进行判断。比如看下请求包内是否有sql语句，如果有sql语句,并且响应包内容有执行成功的回显,那么判定sql注入攻击成功。

命令执行的告警，怎么判断是否攻击成功

根据请求包和响应包进行对比判断，看下请求包内是否有系统命令，比如看下请求包内是否有ipconfig，然后看下响应包回显是否有ip相关的内容，如果有的话说明攻击成功，如果没有，说明攻击未成功，但是确实也还是恶意攻击

ssrf告警，没有明显的回显，怎么判断是否攻击成功

如果能做漏洞验证的话，我会进行复现验证下。如果不能做漏洞验证的话，就查下日志看看他探测的目标有没有流量交互，如果有流量交互的话应当是攻击成功

sqlmap的流量特征

1）sqlmap的关键字特征：user-agent、 xss测试语句、随机数的位数
2）sqlmap的攻击流程具有一定的顺序和规律
3）sqlmap的一些payload测试语句具有模板特征

CS流量特征

心跳包60s，默认端口50050，0.0.0.0是Cobalt Strike DNS Beacon特征
HTTP：
1）根据源码特征
可以用Wireshark抓取他的HTTP请求包，然后提取他的请求url路径通过checksum8解密算法，如果得到的结果为92或93，则可以判断他的cs是没有进行魔改的
2）使用流量样本解密心跳请求
https://blog.didierstevens.com/didier-stevens-suite/
python 1768.py xxxx.vir

HTTPS：
1）源码特征（ja3 ja3s）
同一系统下的cs得到它的ja3 ja3s值是一致的

log4j流量

Log4j就是java的日志插件，处理日志存在”KaTeX parse error: Expected '}', got 'EOF' at end of input: …入，流量特点就是数据包里面有”{“字段。

shiro流量

1.2.4 key是写在源码里的，找到key就能构造攻击链，1.2.4之后的775key是随机生成的，但我们还可以构造cookie，尝试构造攻击链。

Shiro流量特征:数据包含有多个$$$符号，C参数含有base64编码。

fastjson流量

原理也是jdni注入 利用就是构造一个json字符，用@type指定一个类库，流量特征就是json autotype

Weblogic流量

xml的反序列化漏洞，通过xmldecoder还是什么导致的xml解析代码执行。弱口令。

流量特征:不加密，常见的出网协议也可以用。有很多T3协议的特征，文件操作和冰蝎一样有fileoutstream字段。

一台主机在内网进行横向攻击，你应该怎么做？

1）确定攻击来源，是不是员工内部误操作，比如询问运维是否有自动化轮询脚本

2）如果没有，确定是攻击，结合时间点，根据设备信息，看一下安全事件，进程，流量

3）找到问题主机，开始应急响应流程：准备、检测、遏制、根除、恢复、跟踪，具体的操作要交给现场运维去处理

0day

确定存在真实攻击行为，在客户允许的情况下，可以采取断网隔离措施，不行就采取白名单连接防火墙策略

看告警、确定资产，poc复现、确认是否攻击成功

溯源

1、溯源事件调查分析可以根据目标和深度的不同分为三个级别，即攻击路径调查、攻击团伙调查、攻击人员调查
2、攻击路径调查是最基本的也是最重要的调查取证工作。
1）攻击源捕获（设备告警、日志流量分析、蜜罐系统），获得攻击者真实IP，定位目标，利用精准IP定位目标的位置，IP数据
2）利用常规的渗透测试思路找出攻击者攻击的手法，比如说当前系统使用的是鱼跃cms，然后我们可以通过查询鱼跃cms历史漏洞看有没有可以利用的点，然后逆向判断出攻击者的攻击手段
3、有时候我们可以判断出发动攻击的团伙是哪个，然后更全面的了解该攻击同伙惯用的攻击手法，这也有利于溯源的进行或者进而部署更全面的安全防护方案，这就是攻击团伙调查
4、接下来就是要获取攻击人员信息，ID追踪术，利用搜索引擎、社交平台、技术论坛、社工库匹配
具体技巧：
1）域名、ip 反查目标个人信息
2）支付宝转账,确定目标姓氏
3）淘宝找回密码,确定目标名
4）企业微信手机号查公司名称
5）REG007 查注册应用、网站
6）程序 PDB 信息泄露，如果能拿到攻击木马样本，因为攻击者在编译攻击样本的时候会有那个调试信息，这也是一种信息泄漏
7）还有就是各大src排行榜，各种社交微博，vx都可以进行这个id的追踪

溯源技巧

1）通常情况下我们接到溯源任务的时候，可以获取到很多信息，如攻击者ip、攻击类型、恶意文件、攻击详情可以作为我们溯源的入手点。
2）通过攻击类型分析攻击详情的请求包，看有没有攻击者特征，通过获取到的 IP 地址进行威胁情报查询来判断所用的 IP 具体是代理 IP 还是真实 IP 地址。
3）如果遇到端口扫描，大概率为个人vps或者空间搜索引擎，在接到大量溯源任务时可以优先溯源
4）如果遇到命令执行，大概率为未经任何隐匿的网络、移动网络、接到脚本扫描任务的肉鸡，在接到大量溯源任务时可以优先溯源
5）如果遇到爬虫大概率为空间搜索引擎，可放到最后溯源

通用入侵检测方案

入侵检测是一项必不可少的终端安全功能。通常可以根据攻击者发起攻击的不同阶段设计出不同的检测方法。
1、流量检测方案
可以通过部署流量探针，对流量的源头ip、源头端口、协议类型等使用规则或特征进行入侵检测
1）威胁情报ioc检测：连接本机的ip被标记为活跃攻击源或者被标记为c&C服务器，则可能是一次入侵攻击
2）流量特征检测：通过匹配特征码的方式检测已知威胁
3）异常流量检测：寻找流量中不合常理的异常行为，比如非预期的异地登录、频繁尝试登录

2、行为检测方案
1）可疑程序执行，可以对可执行的程序或命令进行鉴别，如果不符合预期，则可能已经被入侵。通常的检测模型有零信任模型、非白即黑模型等等
2）可疑shell执行，攻击者在攻击成功之后通常都会执行一些持久化的脚本比如powershell脚本等等
3）异常行为检测：攻击者入侵肯定会有一些目的，比如频繁的读取文件（勒索病毒）窃取文件、创建后门账号等，如果发现执行这些敏感操作的进程都是非预期的则可能已经被入侵

3、痕迹检测方案
1）可疑程序检测：可以查看有无遗留的恶意程序或者非预期的可以程序，则有可能已经被入侵
2）持久化攻击检测：对程序的一些自启动服务（如注册表启动项、注册表）
3）安全日志检测：攻击者的入侵过程会在系统安全日志留下事件信息，如登录成功或者登录失败
4）日志完整性检测：有些攻击者为了不留下攻击痕迹，会清除或者替换系统日志。如果发现日志被清空，或者某段时间日志被删除，则可能已经被入侵