应急响应概念与流程

概念

根据《中华人民共和国突发事件应对法》（2024年修订），突发事件是指“突然发生，造成或者可能造成严重社会危害，需要采取应急处置措施予以应对的自然灾害、事故灾难、公共卫生事件和社会安全事件”。该法明确规定“国家建立健全突发事件应急响应制度”，应急响应级别按照突发事件的性质、特点、可能造成的危害程度和影响范围等因素分为一级、二级、三级和四级，一级为最高级别。

国家标准GB/T 37228-2018《公共安全 应急管理 突发事件响应要求》进一步规定了突发事件响应的基本要求，旨在实现响应组织内部“有效的应急指挥、信息管理、协调和合作”。

应急响应是指为应对突发事件或安全事件，组织所采取的一系列有计划、有步骤的预防、监测、处置和恢复活动，其目的是控制事态发展、减轻危害影响、恢复常态秩序，并从事件中汲取经验以提升未来应对能力。

流程

NIST SP 800-61 四阶段模型

PDCERF 六阶段模型

应急响应基础知识与工具

基础知识

安全事件分类分级

GB/T 20986-2023《信息安全技术 网络安全事件分类分级指南》由国家标准化管理委员会于2023年5月23日发布，2023年10月1日正式实施，替代了此前的指导性技术文件GB/Z 20986-2007，标志着我国网络安全事件分类分级工作从技术指导正式升格为国家标准。该标准由全国网络安全标准化技术委员会（TC260）归口，适用于网络运营者以及相关部门开展网络安全事件研判、信息通报、监测预警和应急处置等活动，是当前我国网络安全应急响应体系建设的基础性技术规范。

事件分类

GB/T 20986-2023 将网络安全事件划分为以下十大类别：

事件分级

GB/T 20986-2023 将网络安全事件按严重程度划分为四个等级：

分级要素

标准规定，对网络安全事件进行定级时，应综合考虑以下三个核心维度：

在实际定级操作中，应以上述三个维度中最高的判定结果作为事件的最终级别，并以此为依据启动相应级别的应急响应程序。

网络安全应急响应预案

网络安全应急响应预案是组织开展应急响应工作的纲领性文件。中央网信办于2017年发布《国家网络安全事件应急预案》，明确了国家层面网络安全事件应急处置的组织体系、监测预警和响应流程；GB/T 38645-2020《信息安全技术 网络安全事件应急演练指南》则对应急演练的组织与实施给出了具体规范。企事业单位应参照国家预案框架，结合自身业务特点编制本级预案，并定期演练、持续修订。

一个完整的应急预案通常包含以下要素：

预案的价值在于”平时预演、战时快反”：只有事先明确”谁来报、报给谁、怎么处置”，真实事件发生时才能避免因职责不清导致的响应迟滞。

工具

应急响应各阶段的常用工具分类整理如下：

Windows 应急响应

一、检查系统账号安全

1. 查看服务器是否有弱口令，远程管理端口是否对公网开放。

2. 查看服务器是否存在可疑账号、新增账号、隐藏账号。
   打开 cmd 窗口，输入lusrmgr.msc命令，查看是否有新增/可疑的账号，如有管理员群组的（Administrators）里的新增账户，如有，请立即禁用或删除掉。

3. 查看服务器是否存在隐藏账号、克隆账号。

   1. 打开注册表 ，查看管理员对应键值计算机\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account。仔细查看列表，重点寻找以“$”结尾的账号。这类账号在net user命令中不可见，是隐藏账号的典型特征。点击每个账号，查看其右侧显示的“类型”数据，如果发现一个非管理员账户，但其“类型”值也是 0x1f4，这极大概率就是一个克隆账号。
      
   2. 使用 D 盾 _web 查杀工具，集成了对克隆账号检测的功能。

4. 结合日志，查看管理员登录时间、用户名是否存在异常。

   1. Win+R 打开运行，输入“eventvwr.msc”，回车运行，打开“事件查看器”。
   2. 导出 Windows 日志–安全，利用 Log Parser 进行分析。

二、检查异常端口、进程

1. 检查端口连接情况，是否有远程连接、可疑连接。

   1. netstat -ano 查看目前的网络连接，定位可疑的 ESTABLISHED
   2. 根据 netstat 定位出的 pid，再通过 tasklist 命令进行进程定位 tasklist  | findstr “PID”
      

2. 进程

   1. 开始–运行–输入 msinfo32，依次点击“软件环境→正在运行任务”就可以查看到进程的详细信息，比如进程路径、进程 ID、文件创建日期、启动时间等。
   2. 打开 D 盾 _web 查杀工具，进程查看，关注没有签名信息的进程。
   3. 通过微软官方提供的 Process Explorer 等工具进行排查 。
   4. 查看可疑的进程及其子进程。可以通过观察以下内容：
      • 没有签名验证信息的进程
      • 没有描述信息的进程
      • 进程的属主
      • 进程的路径是否合法
      • CPU 或内存资源占用长时间过高的进程

三、检查启动项、计划任务、服务

1. 检查服务器是否有异常的启动项。
   1. 登录服务器，单击【开始】>【所有程序】>【启动】，默认情况下此目录在是一个空目录，确认是否有非业务程序在该目录下。
   2. 单击开始菜单 >【运行】，输入 msconfig，查看是否存在命名异常的启动项目，是则取消勾选命名异常的启动项目，并到命令中显示的路径删除文件。
   3. 单击【开始】>【运行】，输入 regedit，打开注册表，查看开机启动项是否正常，特别注意如下三个注册表项：
      HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run
      HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
      HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce
      检查右侧是否有启动异常的项目，如有请删除，并建议安装杀毒软件进行病毒查杀，清除残留病毒或木马。
   4. 利用安全软件查看启动项、开机时间管理等。
   5. 组策略，运行 gpedit.msc。

四、检查系统相关信息

1. 查看系统版本以及补丁信息
   单击【开始】>【运行】，输入 systeminfo，查看系统信息
2. 查找可疑目录及文件
   1. 查看用户目录，新建账号会在这个目录生成一个用户目录，查看是否有新建用户目录。
      Window 2003 :
      C:\Documents and Settings
      Window 2008R2 :
      C:\Users\
   2. 单击【开始】>【运行】，输入 %UserProfile%\Recent，分析最近打开分析可疑文件。
   3. 在服务器各个目录，可根据文件夹内文件列表时间进行排序，查找可疑文件。

五、自动化查杀

1. 病毒查杀
   下载安全软件，更新最新病毒库，进行全盘扫描。
2. webshell 查杀
   选择具体站点路径进行 webshell 查杀，建议使用两款 webshell 查杀工具同时查杀，可相互补充规则库的不足。

六、日志分析

1. 系统日志
   1. 前提：开启审核策略，若日后系统出现故障、安全事故则可以查看系统的日志文件，排除故障，追查入侵者的信息等。
   2. Win+R 打开运行，输入“eventvwr.msc”，回车运行，打开“事件查看器”。
   3. 导出应用程序日志、安全日志、系统日志，利用 Log Parser 进行分析。
2. WEB 访问日志
   1. 找到中间件的 web 日志，打包到本地方便进行分析。
   2. 推荐工具：
      Window 下，推荐用 EmEditor 进行日志分析，支持大文本，搜索效率还不错。
      Linux 下，使用 Shell 命令组合查询分析

Linux 应急响应

一、检查系统账号安全

1. 排查可疑账号与特权账号。
   1. cat /etc/passwd 查看全部账号，重点关注近期新增、不熟悉或命名模仿系统账号（如 roOt、adm1n）的条目。
   2. awk -F: '$3==0 {print $1}' /etc/passwd 查找 UID 为 0 的账号——除 root 外任何 UID 0 账号都等价于 root，极可能是攻击者留下的后门账号。
   3. awk -F: 'length($2)==0 {print $1}' /etc/shadow 查找空口令账号。
   4. cat /etc/sudoers 与 ls /etc/sudoers.d/ 检查 sudo 授权是否被篡改。
2. 检查登录痕迹。
   1. last 查看成功登录记录（对应 /var/log/wtmp），关注异常来源 IP 与非工作时间登录。
   2. lastb 查看登录失败记录（对应 /var/log/btmp），大量失败记录说明存在爆破行为。
   3. lastlog 查看所有账号的最近登录时间，排查”从不登录”的服务账号突然登录的情况。
   4. w、who 查看当前在线用户。
3. 检查 SSH 后门。
   1. cat ~/.ssh/authorized_keys 检查各账号（尤其 root）是否被写入陌生公钥。
   2. 检查 sshd 配置 /etc/ssh/sshd_config 是否被篡改（如 PermitRootLogin、AuthorizedKeysFile 被改为其他路径）。

二、检查异常端口、进程

1. 检查端口连接情况。

   1. netstat -antup 或 ss -antup 查看所有网络连接，定位处于 ESTABLISHED 状态的可疑外联（反弹 shell 特征）与异常 LISTEN 端口。
      

   2. lsof -i :<port> 或 lsof -p <pid> 定位端口对应的进程及其打开的文件。

2. 排查可疑进程。
   1. ps auxf 以进程树形式查看，重点关注：父进程异常（如父进程是 nginx 的 bash/sh）、CPU/内存占用长期过高的进程（挖矿特征）、名称伪装成系统进程（如 [kworker] 拼写变形）的进程。
   2. ls -l /proc/<PID>/exe 查看进程对应的可执行文件真实路径，cat /proc/<PID>/cmdline 查看启动命令，路径在 /tmp、/dev/shm 或已删除（deleted）的进程高度可疑。
   3. 排查隐藏进程：ps -ef 与 ls /proc 的 PID 列表做对比，出现在 /proc 却不在 ps 输出中的 PID 即被隐藏的进程；也可用 unhide 工具自动化检测。

三、检查启动项、计划任务、服务

1. 计划任务（反弹 shell 与持久化重灾区）。
   1. crontab -l 查看当前用户任务，并逐一切换排查其他用户（/var/spool/cron/ 下按用户名存放）。
   2. cat /etc/crontab，检查 /etc/cron.d/、/etc/cron.daily/、/etc/cron.hourly/ 等目录下的可疑脚本。
2. 开机自启项。
   1. cat /etc/rc.local、ls /etc/rc.d/ 与 /etc/init.d/ 下的启动脚本。
   2. systemctl list-unit-files | grep enabled 排查自启服务，对陌生 unit 用 systemctl cat <name> 查看其执行的命令。
3. Shell 启动脚本与动态库劫持。
   1. 检查 /.bashrc、/.bash_profile、/etc/profile、/etc/profile.d/ 下是否被追加恶意命令（常见挖矿/后门驻留手法）。
   2. cat /etc/ld.so.preload 正常情况下应为空或文件不存在，若有内容则说明存在 LD_PRELOAD 级别的动态库劫持（rootkit 常见特征）。

四、检查系统相关信息

1. uname -a、cat /etc/*-release 确认系统版本与内核，为漏洞排查提供依据。
2. history 或 cat ~/.bash_history 查看历史命令，攻击者常在此留下操作痕迹（注意 history 可能被清空，清空本身也是痕迹）。
3. 按时间排查可疑文件。
   1. find / -mtime -3 -type f 2>/dev/null 查找最近 3 天内被修改的文件，结合入侵时间线缩小范围。
   2. 重点检查 /tmp、/var/tmp、/dev/shm 等临时目录下的可执行文件。
   3. find / -perm -4000 -type f 2>/dev/null 排查新增 SUID 文件（提权后门常见形式）。
4. 文件完整性校验。
   1. RPM 系：rpm -Va 校验系统文件是否被篡改（输出中 S 表示大小变化、5 表示 MD5 变化）。
   2. Debian 系：debsums -s 只输出校验失败的文件。

五、自动化查杀与 rootkit 检测

1. 病毒查杀：clamscan -r / --bell -i 使用 ClamAV 全盘扫描；webshell 可用河马等工具对站点目录专项查杀。
2. Rootkit 检测：
   1. rkhunter --check --skip-keypress 扫描已知 rootkit、后门与本地提权漏洞痕迹。
   2. chkrootkit 作为第二款工具交叉验证，两者规则库互补。

六、日志分析

1. 认证日志（SSH 爆破与登录排查）。
   1. CentOS/RHEL 在 /var/log/secure，Debian/Ubuntu 在 /var/log/auth.log。
   2. 统计爆破来源：grep "Failed password" /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c | sort -nr | head。
   3. 查看成功登录：grep "Accepted" /var/log/secure | awk '{print $1,$2,$3,$9,$11}'。
2. 二进制登录日志：wtmp（last）、utmp（w）、btmp（lastb），不可直接 cat，需用对应命令解析。
3. 系统与计划任务日志：/var/log/messages 或 /var/log/syslog 排查系统级异常；/var/log/cron 核对计划任务的实际执行情况；systemd 系统可用 journalctl -xe、journalctl -u <服务名> 查询。
4. Web 访问日志分析（access.log）。
   1. 统计访问量 TOP IP：awk '{print $1}' access.log | sort | uniq -c | sort -nr | head -20。
   2. 统计状态码分布：awk '{print $9}' access.log | sort | uniq -c | sort -nr。
   3. 检索可疑请求：grep -E "select|union|eval|cmd|\.jsp\?|\.php\?" access.log，结合入侵时间窗定位 webshell 的首次上传与后续访问记录。
   4. 找到攻击 IP 后反查其全部请求：grep "<攻击IP>" access.log | awk '{print $7}' | sort -u，还原攻击路径。