组织如何检查“什么”已被黑客入侵？

#1 楼

一言以蔽之：取证。

计算机取证是检查系统并确定先前发生的情况的技术。对文件和内存工件（尤其是文件时间轴）的检查可以非常清晰地描绘出攻击者的行为，攻击者的行为以及所采取的行动。 Windows系统转储时，不仅可以提取攻击者键入的命令行，还可以提取他们由于运行这些命令而看到的输出。在确定影响方面非常有用，是吗？

取决于折衷的新鲜程度，有可能对发生的事情有很多了解。概述各种计算机取证领域和技术非常有用，我很乐意为您做这些工作。它们包括但不限于以下内容（我将使用我的粗略术语；它们不是官方的也不是全面的）：

日志/监控取证：使用“外部”集中式日志，防火墙日志，数据包捕获和IDS命中之类的数据跨越了“检测”和“取证”之间的界限。某些数据，例如日志（甚至是集中式的日志），不能完全或真实地被信任，因为攻击者一旦控制了系统就可以对其进行过滤或注入。诸如防火墙，IDS或数据包记录器（例如（以前）NetWitness）之类的系统外数据包日志记录工具不太可能被篡改，但仅包含有限数量的信息；通常仅记录IP对话，有时还记录与恶意活动相关的签名（例如HTTP URL）。

除非在折衷方案中使用了未加密的网络连接，否则这些工具很少能够详细说明折衷方案期间的活动，因此（回到原始问题）不要“检查被黑的内容”。另一方面，如果使用未加密的连接（ftp）泄露数据，并记录了完整的数据包，则有可能确切地知道攻击者用了什么数据。

实时取证：更准确地说，是“事件响应”的一部分，即所谓的“实时”取证包括登录系统并环顾四周。研究人员可以枚举进程，查看应用程序（例如浏览器历史记录）并浏览文件系统以查找发生了什么情况的迹象。同样，这通常旨在验证是否发生了泄露，而不是确定泄露的程度，因为被泄露的系统能够隐藏文件，进程，网络连接，甚至是它想要的任何东西。有利的一面是，它允许您访问关闭系统以对磁盘进行映像后无法使用的驻留内存的东西（进程，开放的网络连接）（但是，再次，如果系统受到威胁，它可能就在说谎！） ）

文件系统取证：制作完磁盘副本后，可以将其挂载在干净的系统上并进行浏览，从而消除了受到破坏的操作系统“说谎”有关文件的任何可能性地点。存在使用各种时间戳和其他可用元数据来构建时间表的工具，
合并文件数据，注册表数据（在Windows上），甚至是应用程序数据（例如浏览器历史记录）。使用的不仅仅是文件写入时间；文件读取时间可以指示查看了哪些文件以及执行了哪些程序（以及何时执行）。可疑文件可以通过干净的防病毒检查程序，创建和提交的签名，可执行文件加载到调试器中以及浏览用于搜索关键字的“字符串”来运行。在Unix上，“历史”文件-如果没有被攻击者关闭-可能会详细说明攻击者输入的命令。在Windows上，卷影复制服务可能会提供过去已清除的活动的快照。

这是最常用于确定威胁范围和程度并确定哪些数据的步骤可能已经访问过和/或未曾访问过。这是我们“检查被黑客入侵的内容”的最佳答案。

磁盘取证：删除的文件从文件系统中消失，但从磁盘中消失。同样，聪明的攻击者可能会将其文件隐藏在现有文件的“空闲空间”中。这些东西只能通过检查原始磁盘字节才能找到，并且存在诸如The Sleuth Kit之类的工具来将原始数据撕裂并确定其对过去的意义。如果有一个.bash_history文件，并且攻击者在注销前的最后一步将其删除，则该文件可能仍作为磁盘块存在，并且可以恢复。同样，下载的攻击工具和被窃取的临时数据文件可以帮助确定威胁的范围。

内存取证：如果调查人员可以尽快到达那里，并获得有关系统内存的快照，那么他们可以彻底探究折衷的深度。攻击者必须破坏内核才能从程序中隐藏，但是如果可以制作出内核内存的真实映像，则无法隐藏已完成的操作。就像磁盘块中包含的数据已从文件系统中删除一样，内存转储中包含的是过去在内存中的数据（例如命令行历史记录和输出！），但尚未被覆盖...以及大多数数据不会很快被覆盖。

还想要吗？有培训课程和认证以学习法医；可能最常见的公开培训来自SANS。我持有他们的GCFA（“法证分析师”）证书。您还可以查看Honeynet项目的挑战，在其中，当事方竞争，从磁盘上发现映像，内存转储和来自实际折衷的恶意软件样本的情况下展开竞争-他们提交发现结果的报告，以便您查看各种工具

反法医学是评论中的热门话题-基本上，“攻击者难道不能隐藏他们的踪迹吗？”有很多方法可以解决这个问题-请参阅此技术列表-但它远非完美，也不是我所说的可靠。当您认为“网络间谍的'上帝'”竟然占据了硬盘驱动器的固件以维持对系统的访问而又不对系统本身留下任何痕迹时-仍然被发现-很明显最后，发现证据要比删除证据容易。

#2 楼

在技​​术部门工作时，我将如何操作如下：


查找hack，漏洞，薄弱环节。
检查系统日志，dmesg，访问权限.log和error.log来确认论文。 （当入侵网络时，通常在TalkTalk是MySQL注入的情况下中断系统，这样做会在mysql.err日志中留下错误，以至于您必须中断它。） />复制hack，复制hack将使您了解hack的深度，并可以估算出破坏程度。攻击，您将看到攻击者看到的内容。

#3 楼

除了对取证（和评论）的出色回答外，一些组织还使用入侵检测系统（例如“ Snort”（网络入侵检测）和OSSEC（基于主机的检测系统）以及许多其他供应商，例如Cisco等进行记录）

例如，基于主机的入侵检测系统经常在服务器上记录文件更改，因此法医调查可以显示在给定时间内哪些文件已被更改，法医调查员可以使用此工具将某些用户或攻击者的活动汇总在一起。

攻击者还将在整个基础架构中的日志中留下跟踪，从防火墙日志到服务器日志，服务日志（Web，SMTP等）以及这些可以提供重要的线索。但是，攻击者可能会更改这些日志，除非它们被设计为安全且不可更改，例如通过将日志集中在只写介质上。

一旦攻击者获得特权访问，手套就可以脱下来，并且可以篡改或删除日志。

最后，一切都取决于准备-组织是否已准备好应对入侵和随后的取证工作。这应该是每个公司安全计划的一部分。

#4 楼

我还没有看到它，这是likley进行此类调查的主要资源，尤其是围绕数据访问的一项资源：

RDBMS审核可以是确定确切数据已被访问的主要资源。 ，何时，由谁。当然，这取决于配置方式或配置方式。

例如，SQL Server审核允许检索用户ID，时间戳和提交给服务器的实际查询，从而允许完全重新配置。 -构造被盗的数据集。

审计系统应内置冗余，以防止篡改审计线索。其中一些可能存储在RDBMS中，而另一些可能写入外部源。 SQL Server可以将审核记录到Windows安全日志中。

#5 楼

gowenfawr提到了系统取证，但是几乎总是通过日志来识别受感染的资产。如果您进行了足够的搜索，则日志/应该/始终表示受感染的资产。无论您是否具有检测外部登录/ bruteforce尝试/ SQL注入尝试的IDS，还是手动搜索日志中提到的内容，都有几种方法可以引起您的注意。资产已被识别，您可以开始对该资产进行法医检查。大多数情况下，日志可能不会报告其他信息，尤其是看起来好像文件已删除以维护攻击者访问权限时。内存抓取和逐步分析丢弃的文件的功能将帮助安全团队/ IR团队了解正在发生的事情，最初发生的危害，利用的漏洞以及潜在的攻击源（真正的来源）。

#6 楼

他们可以检查一些我可以随机提及的内容：


防火墙的日志
IDS和路由器的日志
文件系统/>事件
计划任务

#7 楼

如果有人用被盗的钥匙闯入您的房子，却没有偷东西，您怎么知道？通常，您会的。想想如何检测事件的方式。就像在厨房台面上打开的一封信一样愚蠢，您可能不记得阅读该书了。这里基本上没有区别。如果您在防盗程序最终确定哪个钥匙实际上是您的钥匙之前，从前十次进入尝试中发现锁上有划痕，将很有帮助。

#8 楼

就采取的措施（而非采取的措施）而言，较大的企业和代理机构利用深度数据包检查来记录已传入/传出其网络的内容。

设备记录所有流量，并且可以利用IDS进行提醒。发生事件后，他们可以分析攻击的严重程度。

一些常见的行业标准工具包括：
吹鼻（用于IDS）

#9 楼

在Talk Talk的情况下，我们知道所窃取的数据正被用于瞄准人群。


我们知道这些人正在被自称来自Talk Talk的人打电话，然后被骗去提供他们的银行详细信息。
我们知道，银行详细信息自
因此，我们知道，如果从TalkTalk中获取被窃取的银行详细信息，将会很快被使用。

英国银行等进行了大量监视，以了解其影响，该监视将收集足够的案例，以及银行客户报告的案例，以便对影响产生一个理想的认识。