您如何从上一个IT人员那里搜索后门？

#1 楼

真的，真的，真的很难。它需要非常完整的审核。如果您确定老人留下的东西会繁荣起来，或者因为他们是唯一可以扑灭大火的人而要求他们重新雇用，那么该是时候假设您已经被一个人扎根了敌对党。就像一群黑客进来偷东西一样对待它，您必须在他们陷入混乱后清理。因为就是这样。

审核每个系统上的每个帐户，以确保它与特定实体相关联。 。
需要清除与任何内容都不相关的帐户（无论如何都需要清除，但是在这种情况下尤为重要）
更改可以想像得到的所有密码
对于公用事业帐户，这可能是一个真正的问题，因为这些密码往往会被硬编码为事物。
如果它们是响应最终用户呼叫的帮助台类型，请假定其密码为任何受过帮助的人。
如果他们具有Active Directory的Enterprise Admin或Domain Admin，则假定他们在离开之前已抓取了密码哈希的副本。现在它们可以很快被破解，以至于需要在几天之内强行更改公司范围的密码。所有公共密钥SSH密钥用法，以确保其密钥被清除，并检查在您使用时是否暴露了任何私钥。
如果他们可以访问任何电信设备，请更改路由器/交换机/网关/ PBX密码。这可能是一个真正的皇家痛苦，因为这可能会导致严重的中断。
全面审核您的外围安全安排。
确保所有防火墙漏洞都可以追溯到已知的授权设备和端口。
确保所有远程访问方法（VPN，SSH，BlackBerry，ActiveSync，Citrix，SMTP，IMAP，WebMail等）都没有附加的身份验证，并完全审查未经授权的访问方法。
确保远程WAN链接跟踪到充分就业的人，并进行核实。尤其是无线连接。您不希望他们带着公司付费的蜂窝调制解调器或智能手机走开。请与所有此类用户联系，以确保他们拥有正确的设备。
全面审核内部特权访问安排。这些是像SSH / VNC / RDP / DRAC / iLO / IMPI这样的对普通用户没有的服务器的访问，或者对诸如工资单之类的敏感系统的任何访问。
与所有外部供应商和服务提供商合作以确保联系是正确的。
确保将它们从所有联系人和服务列表中删除。无论如何，这都应该在出发后进行，但现在非常重要。
验证所有联系人是否合法并具有正确的联系信息，以便找到可以被假冒的幽灵。
开始寻找逻辑炸弹。 。
检查所有自动化（任务计划程序，cron作业，UPS呼出列表，或按计划运行或被事件触发的任何事物）是否存在恶意迹象。所谓“全部”，是指全部。检查每个crontab。检查监视系统中的每个自动操作，包括探针本身。检查每个Windows Task Scheduler；甚至工作站。除非您在高度敏感的地区为政府工作，否则您将无法承担全部费用。
验证每个服务器上的关键系统二进制文件，以确保它们是正确的。这非常棘手，尤其是在Windows上，并且几乎不可能在一次性系统上进行追溯。
开始寻找rootkit。根据定义，它们很难找到，但是有用于此目的的扫描器。

必须在非常高的水平上做出启动对此难以置信的范围进行审核的决定。您的法律团队将决定将其视为潜在的刑事案件。如果他们选择先进行一些初步调查，请继续进行。开始寻找。
如果发现任何证据，请立即停止。

一旦发现可能的情况，立即通知您的法律团队。
决定将其视为刑事案件的决定将
未经训练的双手进一步采取的行动（您）会破坏证据，而您不希望这样做，除非您不希望犯罪分子自由行走。
如果保留了外部安全专家，您是他们的当地专家。与他们合作，朝着他们的方向发展。他们了解证据的法律要求，您却不了解。
安全专家，您的管理层和法律顾问之间将进行很多谈判。可以预期的，与他们一起工作。


但是，实际上，您还需要走多远？这就是风险管理发挥作用的地方。简而言之，这是一种平衡预期风险与损失的方法。当我们决定要放置备份的异地位置时，系统管理员会执行此操作；银行保险箱与区域外数据中心。找出其中需要遵循的清单是进行风险管理的一种方法。
在这种情况下，评估应从以下几件事开始：

离职者的预期技能水平
/>遇难者的出没途径
对邪恶已经造成的期望
任何邪恶的潜在损害
报告犯罪与先发制人的邪恶的法规要求。通常，您必须报告前者，而不必报告后者。

决定将上述兔子洞下潜至多深取决于这些问题的答案。对于对邪恶的期望很小的例行行政离职，不需要完整的马戏团；更改管理员级别的密码并重新键入任何面向外部的SSH主机可能就足够了。再次，企业风险管理的安全状况决定了这一点。最坏的情况是偏执的BOFH型，他被告知他们的职位将在2周内被裁掉，因为这给了他们足够的时间准备。在这种情况下，凯尔（Kyle）提出的慷慨解雇费方案可以缓解各种问题。在收到包含4个月工资的支票后，即使偏执狂也可以宽恕许多罪恶。这项检查的成本可能比散布其罪恶所需的安全顾问的成本要低。
但最终，归结为确定是否进行过犯罪的成本与实际进行的任何犯罪的潜在成本。

#2 楼

我要说的是，您所关心的问题与您愿意支付的费用之间取得了平衡。

非常关心：
如果您非常关心，那么您可能想聘请外部安全顾问从内部和外部角度对所有内容进行全面扫描。如果这个人特别聪明，您可能会遇到麻烦，他们可能会休眠一段时间。另一个选择是简单地重建所有内容。这听起来可能太过分了，但是您会很好地了解环境，并且也要进行灾难恢复项目。

稍​​加关注：
如果您只是有点担心，您可能只想这样做：


从外部进行端口扫描。
病毒/间谍软件扫描。 Rootkit Scan for Linux Machines。
查看防火墙配置，了解您不了解的所有内容。
更改所有密码并查找任何未知帐户（确保他们没有激活不再在公司任职的人员，以便他们可以使用该密码，等等）。
这可能也是研究安装入侵检测系统（IDS）的好时机。
比平时更仔细地观察日志。

对于未来：
管理员离开时往前走，会给他开个不错的聚会，然后当他喝醉后，只给他一个兜风的地方-然后把他丢到最近的河流，沼泽或湖泊中。更严重的是，这是给予管理员慷慨解雇费的充分理由之一。您希望他们对离开尽可能多感到满意。即使他们不应该感觉良好，谁在乎？也要吮吸它并使他们快乐。假装这是您的错，而不是他们的错。提高失业保险和遣散费的成本与他们可能造成的损失无法相比。这都是关于减少阻力和创造尽可能少的戏剧的途径。

#3 楼

不要忘记Teamviewer，LogmeIn等之类的东西...我知道已经提到过了，但是每个服务器/工作站的软件审核（很多应用都在那里）不会受到损害，包括使用nmap进行的子网扫描NSE脚本。

#4 楼

首先，首先-备份场外存储中的所有内容（例如，断开连接并放入存储中的磁带或HDD）。这样，如果发生恶意事件，您也许可以稍作恢复。

接下来，梳理防火墙规则。任何可疑的开放端口都应关闭。如果有后门，那么阻止访问将是一件好事。

用户帐户-查找您心怀不满的用户，并确保尽快删除他们的访问权限。如果存在SSH密钥，/ etc / passwd文件或LDAP条目，甚至.htaccess文件，都应进行扫描。

在重要服务器上查找应用程序和活动的侦听端口。确保附在他们上面的运行过程合理。

最终，一个坚定不满的员工可以做任何事情-毕竟，他们了解所有内部系统。人们希望他们有诚信，不要采取负面行动。

#5 楼

一个运行良好的基础架构将拥有适当的工具，监视和控制措施，以在很大程度上防止这种情况的发生。其中包括：


正确的网络分段和防火墙
基于主机的IDS
基于网络的IDS
中央日志记录
访问控制
变更控制

如果这些工具安装正确，您将拥有审核记录。否则，您将必须执行完整的渗透测试。

第一步将是审核所有访问权限并更改所有密码。专注于外部访问和潜在的切入点-这是您花费时间最好的地方。如果外部占用空间不合理，请消除或缩小它。这将使您有时间在内部专注于更多细节。还应注意所有出站流量，因为编程解决方案可能会在外部传输受限数据。

最终，作为系统和网络管理员，您可以完全访问大多数（如果不是全部）内容。随之而来的是高度的责任感。不应轻视这种责任级别的招聘，并且应采取措施将风险从一开始就降至最低。如果雇用了专业人员，即使辞职也很糟糕，他们也不会采取不专业或违法的行动。如果有人解雇该怎么办。这种情况并非如此。

#6 楼

聪明的BOFH可以执行以下任何操作：定期程序，该程序在众所周知的端口上启动netcat出站连接以接收命令。例如。端口80。如果做得好，则来回流量将具有该端口的流量。因此，如果在端口80上，它将具有HTTP标头，并且有效载荷将是嵌入在图像中的块。
非周期性命令，在特定位置查找要执行的文件。位置可以位于用户计算机，网络计算机，数据库中的附加表，临时假脱机文件目录中。
程序，用于检查是否还存在一个或多个其他后门。如果不是，则安装它的变体，并将详细信息通过电子邮件发送给BOFH。由于现在磁盘备份已完成很多方式，因此请修改备份以至少包含一些根套件。

如何保护自己免受此类伤害：


当BOFH班级员工离开时，请在DMZ中安装一个新盒子。它获取通过防火墙的所有流量的副本。查找此流量中的异常。后者并非易事，特别是如果BOFH擅长模仿正常的流量模式。也就是说，如果您要修改/ bin / ps，则必须转到计算机，将交换机从RO物理地移到RW，重新启动单用户，重新安装该分区rw，安装新的ps副本，同步，重新启动，拨动开关。以这种方式完成的系统至少具有一些受信任的程序和一个受信任的内核，用于进行进一步的工作。

当然，如果您使用的是Windows，则会遇到麻烦。 br />分隔您的基础结构。对于中小型公司来说，这是不合理的。

防止此类事情的方法。


仔细地审核申请人。不满并提前解决人事问题。

当您解雇具有这些权力的管理员时，会变得更好：

a。他的薪水或薪水的一部分会持续一段时间，或直到IT员工无法解释的系统行为发生重大变化为止。这可能是指数衰减的。例如。他可以获得6个月的全薪，为6个月获得80％，接下来的6个月为80％。

b。他的部分薪水以股票期权的形式出现，在他离开后的一到五年内不会生效。他离开时不会删除这些选项。他有动力确保公司在5年内运作良好。

#7 楼

令我惊讶的是，即使在管理员离开之前，问题仍然存在。只是那个时候更多地注意到了这个问题。

->一个人需要一个过程来审核每项更改，而过程的一部分是仅通过更改来应用更改。

#8 楼

每个人都有一个很大的遗漏。

请记住，不仅仅是系统。


供应商是否知道这个人不在工作人员中，不应被允许访问（colo，telco）
是否有任何外部托管服务可能具有单独的密码（exchange，crm）
它们是否仍可能存在勒索信息（可以开始使用位...）

#9 楼

确保离开公司后告诉公司中的每个人。这将消除社会工程学攻击媒介。如果公司很大，那么请确保需要认识的人。

如果管理员还负责编写代码（公司网站等），那么您将需要进行代码审核，因为好吧。

#10 楼

除非您真的很偏执，否则我的建议是只运行几个TCP / IP扫描工具（tcpview，wireshark等），以查看是否有任何可疑的尝试与外界联系。

更改管理员密码，并确保没有不需要的“其他”管理员帐户。

此外，请不要忘记更改无线访问密码并检查安全软件设置（尤其是AV和防火墙）

#11 楼

检查服务器（及其直接运行的计算机）上的日志。不仅要查找其帐户，还要查找未知管理员的帐户。在日志中寻找孔。如果最近在服务器上清除了事件日志，则很可疑。

检查Web服务器上文件的修改日期。运行一个快速脚本，以列出所有最近更改的文件并查看它们。

检查AD中所有组策略和用户对象的最后更新日期。

验证所有备份是否正常工作，并且现有备份仍然存在。

检查正在运行卷影复制服务的服务器，以免丢失以前的历史记录。

我已经看到很多不错的东西，只是想添加这些其他东西可以快速检查。全面审查所有内容都是值得的。但是，从发生最新变化的地方开始。其中一些事情可以快速检查，并且可以提早发出一些危险信号来帮助您。

#12 楼

基本上，我想说的是，如果您有能力胜任BOFH，那么您注定要失败……有很多方法可以引起人们的注意。而且，如果您的公司习惯于将“手动”炸弹驱逐出局，请确保在裁员之前将炸弹很好地植入！！！

最好的方法是最大程度地降低发生爆炸的风险生气的管理员...避免“削减成本裁员”（如果他是一个干练而邪恶的BOFH，您可能蒙受的损失可能比裁员所造成的损失还要大）...一些无法接受的错误，最好让他解决（无薪）以替代解雇...他下次会更谨慎，不要重蹈覆辙（这将增加他的价值）...但是一定要达到好目标（通常，具有超凡魅力的不称职的人会拒绝自己对有能力但社会性较低的人的错误）。

如果您面对的是最糟糕的真正BOFH（并且这种行为是裁员的原因），您最好准备从头开始重新安装他所接触的所有系统（这可能意味着每台计算机er）。

别忘了一点点更改可能会使整个系统崩溃……（setuid位，如果进行则跳转，如果不进行则跳转，...），甚至编译工具可能已损坏。

#13 楼

如果他真的知道什么，并且事先设置好了，那就祝你好运。即使是昏昏欲睡的人，也可以在断开连接的情况下致电/发送电子邮件/传真该电信公司，甚至可以要求他们在白天在电路上运行完整的测试模式。减轻风险。

是的，如果他们打来“要求输入密码或其他东西”，请提醒他们您的1099费率以及每次通话1小时的最低费用和100的差旅费用，无论您是否必须随处...

嘿，那和我的行李一样！ 1,2,3,4！

#14 楼

我建议您从外围开始。验证防火墙配置，以确保您没有意外的网络入口点。确保网络在物理上安全，以防他重新进入并访问任何计算机。

请确认您具有完整的工作备份和可还原的备份。如果他做一些破坏性的事情，那么好的备份将使您避免丢失数据。

检查外围允许的任何服务，并确保他被拒绝访问。确保这些系统具有适当的工作日志记录机制。

#15 楼

删除所有内容，然后重新开始;）

#16 楼

烧掉...。全部烧掉。

这是唯一可以确定的方法。

然后烧掉所有外部利益，域名注册商和信用卡付款提供者很多。

再三考虑，也许更容易要求任何Bikie伙伴说服个人，让他们不打扰您更健康。

#17 楼

据推测，在此过程中，一位称职的管理员对基本系统配置进行了备份。假设已经以合理的频率进行了备份，可以从已知的安全备份中还原，这也是安全的。

鉴于某些事情确实发生了变化，因此运行它是一个好主意。从备份中进行虚拟化（如果可能的话），直到可以确保主要安装不会受到损害。

假设情况变得最糟，则可以合并所有内容，然后手动输入其余内容。
我很震惊，没有人提到我之前使用过安全备份。这是否意味着我应该将简历提交给您的人事部门？

#18 楼

尝试以他的观点。

您知道您的系统及其作用。因此，即使您不再是系统管理员，也可以尝试想象从外部进行连接的发明方法。

取决于网络基础结构的工作方式和所有这些工作原理，您是最好的

但是您似乎在尝试过的bofh上讲话时，必须在附近到处搜索...

网络跟踪

由于主要目标是通过网络连接来远程控制系统，因此您可以监视（甚至替换，因为它也可能会损坏！）防火墙并尝试识别每个活动的防火墙。连接。

更换防火墙将无法确保全面保护，但请确保没有任何隐藏物。因此，如果您监视防火墙转发的数据包，则必须查看所有内容，包括不需要的流量。

您可以使用tcpdump跟踪所有内容（例如美国偏执狂；）并使用高级工具（例如wireshark）浏览转储文件。花一些时间看一下此命令的内容（需要100Gb磁盘可用空间）：

tcpdump -i eth0 -s 0 -C 100 -w tcpdump- -W 1000 >tcpdump.log 2>tcpdump.err </dev/null &

不要相信所有内容

即使您会发现某些东西，您将无法确定自己被发现完全是坏东西！

最后，在重新安装一切（从可信赖的来源）之前，您不会真正安静！）

#19 楼

如果您无法重做服务器，那么下一个最好的办法就是尽可能多地锁定防火墙。遵循每个可能的入站连接，并确保将其减少到绝对最小值。

更改所有密码。

替换所有ssh密钥。

#20 楼

通常它很难...

，但是如果它是一个网站，请查看登录按钮后面的代码。

我们发现了“ if username ='admin “”一次输入内容...

#21 楼

从本质上讲，使以前的IT人员的知识变得毫无价值。

在不影响IT基础架构的情况下更改所有可以更改的内容。

改变供应商或使其多样化是另一种好的做法。