t05安全服務應急處置工具網(wǎng)絡分析系統(tǒng)

1、網(wǎng)絡分析系統(tǒng)快速分析說明文檔深信服擬制安全服務團隊日期審核日期批準日期1、網(wǎng)絡分析系統(tǒng)使用步驟網(wǎng)絡分析系統(tǒng) 11.1（技術交流版）路徑（注意：根據(jù)自己操作系統(tǒng)位數(shù)）：安裝分析系統(tǒng)開啟：網(wǎng)絡可以進行持續(xù)性的抓包檢測，實時發(fā)現(xiàn)客戶的異常或者是ip 地址請求，并且能夠識別異常流量的進程。第一步，安裝根據(jù)無腦下一步安裝即可；第二步，選擇自己的網(wǎng)卡，選擇全面分析，開啟；第三步，通過左樹的 Internet 地址查看用戶連接的和 ip 地址。左樹的 Internet 地址可以查看主機的和地址，一般來說查看主機對外的連接太多，基本能夠直出來，優(yōu)先查看海外的。右邊窗口的窗口可以是哪個進程的數(shù)據(jù)，如下圖：可以根

2、據(jù)上述進程號查看進程瀏覽器，查看該進程的所有數(shù)據(jù)包嗎，如下（注：32 位的沒有進程瀏覽器）：如果發(fā)現(xiàn)有的連接，說明已經(jīng)被了，需要用 EDR 等終端工具殺或者 windows 系統(tǒng)里面的訪毒，對于出現(xiàn)的或者是 ip 地址通過問策略進行封堵。2、網(wǎng)絡分析系統(tǒng)挖礦案例某客戶服務器進程用戶量不大，但是經(jīng)?？D，通過任務管理器查看發(fā)現(xiàn) cpu 使用率比較高，經(jīng)常出現(xiàn) 100%使用率，安全感知設備發(fā)現(xiàn)顯示服務器與xmr.crypto-pool.fr 這個了。通信?？蛻粢笪覀兊浇K端確認服務器是否真的2.1 使用抓包確定使用抓包，發(fā)現(xiàn)服務器確實有不正常流量請求。選擇 IP 瀏覽器，打開 Internet地址

3、，可以發(fā)現(xiàn)服務器與 xmr.crypto-pool.fr 這個法國的通信，截圖取證。2.2 查看 TCP 會話查看 TCP 會話， 發(fā)現(xiàn)進程 NsCpuCNMiner64.exe 2308 與 xmr.crypto- pool.fr:7777 通信，截圖取證，通信流量如下："method": "login", "params": "login":"4A21A2RWVQhNZ79unBSD2iCeWXUnJJvpjgoYcNMLReDgMTNERf4ofwZZzCv8grgeSpd2ZxyhWo1ujBDs

4、Z1xotyPt4C97ioj", "pass": "x", "agent": "cpuminer-multi/0.1", "id":1查看通信流量，采用 stratum 協(xié)議進行挖礦，錢包地址為：4A21A2RWVQhNZ79unBSD2iCeWXUnJJvpjgoYcNMLReDgMTNERf4ofwZZzCv8grgeSpd2ZxyhWo1ujBDsZ1xotyPt4C97ioj行為確認2.3此時基本可以確定服務器中挖礦木馬?？赏ㄟ^輸入錢包地址，錢包中門羅幣的數(shù)量，截圖取證。瀏覽器中xmr.crypto-pool.fr，很明顯該為門羅幣（monero）礦池，截圖取證。結合威脅情報分析，使用微步該，被微步標記為礦池，確認服務器中挖礦后門，截圖取證。2.4 使用殺毒軟件進行查殺取證完畢，使用 EDR 查殺木馬即可（如果 EDR 無法查殺，可以更換其他廠商殺毒軟件進行查殺