對症下藥——搶救被***的系統

***者***某個 系統，老是由某個主要目的所驅使的。例如炫耀技術，獲得企業機密數據，破壞企業正常的業務流程等等，有時也有可能在***後，***者的***行爲，由某種目的變成了另外一種目的，例如，原本是炫耀技術，但在進入系統後，發現了一些重要的機密數據，因爲利益的驅使，***者最終竊取了這些機密數據。
　　而***者***系統的目的不一樣，使用的***方法也會不一樣，所形成的影響範圍和損失也就不會相同。所以，在處理不一樣的系統***事件時，就應當對症下藥，不一樣的系統***類型，應當以不一樣的處理方法來解決，這樣，纔有可能作到有的放矢，達到最佳的處理效果。
　　 1、 以炫耀技術目的的系統***恢復
　　對於以修改服務內容爲目的的系統***活動，能夠不須要停機就可改完成系統恢復工做。
　　 1.應當採用的處理方式
　　(1)、創建被***系統當前完整系統快照，或只保存被修改部分的快照，以便過後分析和留做證據。
　　(2)、當即經過備份恢復被修改的網頁。
　　(3)、在 Windows系統下，經過網絡監控軟件或「netstat -an」命令來查看系統目前的網絡鏈接狀況，若是發現不正常的網絡鏈接，應當當即斷開與它的鏈接。而後經過查看系統進程、服務和分析系統和服務的日誌文件，來檢查系統***者在系統中還作了什麼樣的操做，以便作相應的恢復。
　　(4)、經過分析系統日誌文件，或者經過弱點檢測工具來了解***者***系統所利用的漏洞。若是***者是利用系統或網絡應用程序的漏洞來***系統的，那麼，就應當尋找相應的系統或應用程序漏洞 補丁來修補它，若是目前尚未這些漏洞的相關補丁，咱們就應當使用其它的手段來暫時防範再次利用這些漏洞的***活動。若是***者是利用其它方式，例如社會工程方式***系統的，而檢查系統中不存在新的漏洞，那麼就能夠沒必要作這一個步驟，而必需對社會工程***實施的對象進行了解和培訓。
　　(5)、修復系統或應用程序漏洞後，還應當添加相應的 防火牆規則來防止此類事件的再次發生，若是安裝有IDS/IPS和殺毒軟件，還應當升級它們的特徵庫。
　　(6)、最後，使用系統或相應的應用程序檢測軟件對系統或服務進行一次完全的弱點檢測，在檢測以前要確保其檢測特徵庫是最新的。全部工做完成後，還應當在後續的一段時間內，安排專人對此係統進行實時監控，以確信系統已經不會再次被此類***事件***。
　　 2.進一步保證***恢復的成果
　　(1)、修改系統管理員或其它用戶賬戶的名稱和登陸密碼；
　　(2)、修改數據庫或其它應用程序的管理員和用戶帳戶名稱和登陸密碼；
　　(3)、檢查防火牆規則；
　　(4)、若是系統中安裝有殺毒軟件和IDS/IPS，分別更新它們的 病毒庫和***特徵庫；
　　(5)、從新設置用戶權限；
　　(6)、從新設置文件的訪問控制規則；
　　(7)、從新設置數據庫的訪問控制規則；
　　(8)、修改系統中與網絡操做相關的全部賬戶的名稱和登陸密碼等。
　　當咱們完成上述所示的全部系統恢復和修補 任務後，咱們就能夠對系統和服務進行一次徹底備份，而且將新的徹底備份與舊的徹底備份分開保存。
　　在這裏要注意的是：對於以控制系統爲目的的***活動，***者會千方百計來隱藏本身不被用戶發現。他們除了經過修改或刪除系統和防火牆等產生的與他操做相關的日誌文件外，高明的***還會經過一些軟件來修改其所建立、修改文件的基本屬性信息，這些基本屬性包括文件的最後訪問時間，修改時間等，以防止用戶經過查看文件屬性來了解系統已經被***。所以，在檢測系統文件是否被修改時，應當使用RootKit Revealer等軟件來進行文件完整性檢測。
　　 2、 以獲得或損壞系統中機密數據爲目的的系統***恢復
　　機密數據對於一些中小企業來講，能夠說是一種生命，例如客戶檔案，生產計劃，新產品研究檔案，新產品圖庫，這些數據要是泄漏給了競爭對象，那麼，就有可能形成被***企業的破產。對於搶救以獲得、破壞系統中機密數據爲目的的系統***活動，要想最大限度地下降***帶來的數據損失，最好的方法就是在數據庫尚未被攻破以前就阻止***事件的進一步發展。
　　 一、恢復尚未獲得或破壞機密數據的被***系統
　　假設咱們發現系統已經被***，而且經過分析系統日誌，或者經過直接觀察***者對數據庫進行的後續***活動，已經瞭解到機密數據尚未被***者竊取，只是進入了系統而已，那麼，咱們就能夠按下列方式來應對這樣的***活動：若是企業規定在處理這樣的系統***事件時，不容許系統停機，那麼就應當按這種方式來處理：
　　(1)、當即找到與***源的網絡鏈接並斷開，而後經過添加防火牆規則來阻止。一般，當咱們一開始就當即斷開與***源的網絡鏈接，***者就會當即察覺到，並由此迅速消失，以防止本身被反向追蹤。於是，若是咱們想抓到***者，讓他受到法律的懲罰，在知道目前***者進行的******不會對數據庫中的機密數據形成影響的前提下，咱們就能夠先對系統當前狀態作一個快照，用來作過後分析和證據，而後使用IP追捕軟件來反向追蹤***者，找到後再斷開與他的網絡鏈接。
　　不過，咱們要注意的是，進行反向追蹤會對正常的系統業務形成必定的影響，同時，若是被***發現，他們有時會作最後一搏，會破壞系統後逃避，於是在追捕的同時要注意安全防範。只是，大部分的企業都是以儘快恢復系統正常運行，減小***損失爲主要目的，所以，當即斷開與***源的網絡鏈接是最好的處理方式。
　　(2)、對被***系統的當前狀態創建快照，以便過後分析和留做證據。
　　(3)、經過分析日誌文件和弱點檢測工具找到***者***系統的漏洞，而後瞭解這些系統漏洞是如何獲得的。若是漏洞是***者本身分析獲得的，那麼就可能尚未相應的漏洞修復補丁，於是必需經過其它手段來暫時防範再次利用此漏洞***系統事件的發生；若是漏洞是***者經過互聯網獲得的，並且漏洞已經出現了至關一段時間，那麼就可能存在相應的漏洞修復補丁，此時，就能夠到系統供應商創建的服務網站下載這些漏洞補丁修復系統；若是***者是經過社會工程方式獲得的漏洞，咱們就應當對當事人和全部員工進行培訓，以減小被再次利用的機率。
　　(4)、修改數據庫管理員賬號名稱和登陸密碼，從新爲操做數據的用戶創建新的賬戶和密碼，而且修改數據庫的訪問規則。至於剩下的系統恢復工做，能夠按恢復以控制系統爲目的的系統***恢復方式來進行。
　　 二、恢復已經獲得或刪除了機密數據的被***系統
　　若是當咱們發現系統已經被***時，***者已經獲得或刪除了系統中所有或部分的機密數據，那麼，如今要作的不是試圖搶救已經損失了的數據，而是保護沒有影響到的數據。因爲此類系統***事件已經屬於特別嚴重的***事件，咱們的第一個動做，就是儘快斷開與***源的網絡鏈接。
　　若是容許系統停機處理這類嚴重系統***事件，那麼就能夠直接拔掉網線的方式斷開被***系統與網絡的直接鏈接。當系統仍然不容許停機處理時，就應當經過網絡鏈接監控軟件來找到系統與***源的網絡鏈接，而後斷開，並在防火牆中添加相應的規則來攔截與***源的網絡鏈接。這樣作的目的，就是防止這次系統***事件進一步的惡化，保護其它沒有影響到的數據。
　　斷開與***源的鏈接後，咱們就應當當即分析數據損失的範圍和嚴重程度，瞭解哪些數據尚未被影響到，而後當即將這些沒有影響到的數據進行備份或隔離保護。對於丟失了數據的系統***事件，咱們還能夠將它概括成如下的三個類別：
　　(1)、數據被竊取。
　　當咱們檢測數據庫時發現數據並無被刪除或修改，可是經過分析系統日誌和防火牆日誌，瞭解***者已經進入了數據庫，打開了某些數據庫表，或者已經複製了這些數據庫表，那麼就能夠肯定***者只是竊取了數據而沒有進行其它活動。此時，應當按前面介紹過的方法先恢復系統到正常狀態，然修補系統和數據庫應用程序的漏洞，並對它們進行弱點檢測，發現沒有問題後分別作一次徹底備份。還應當修改系統管事員和數據庫管理員賬戶的名稱和登陸密碼，全部的操做與前面提到過的方式相同。只是多出了數據庫的恢復工做。
　　(2)、數據被修改
　　若是咱們在分析數據庫受損狀況時發現***者並無打開數據庫表，而是經過數據庫命令增長、修改了數據庫某個表中的相關內容。那麼，咱們不得不一一找出這些非受權的數據表相關行，而後將它們所有修正或刪除。若是修改的內容有關某個行業，例如×××的政府機關，×××的教育機構，或者辦理其它各類執照相關單位等，那麼，還要將***者修改的內容向外界公佈，說明這些被***者修改或添加的內容是無效的，以避免形成沒必要要的社會影響。其它的系統和數據庫恢復處理方式與數據被竊取方式相同。
　　(3)、數據被刪除
　　若是咱們在分析數據庫受損狀況時，發現***者不只獲得了機密數據，並且將系統中的相應數據庫表徹底刪除了，那麼，咱們在斷開與其網絡鏈接時，要當即着手恢復這些被刪除了的數據。
　　當咱們經過備份的方式來恢復被刪除的數據時，在恢復以前，必定要肯定系統被***的具體時間，這樣才知道何時的備份是可使用的。這是由於，若是咱們對數據庫設置了每日的增量備份，當***者刪除其中的內容時，非法修改後的數據庫一樣被備份了，所以，在***後的增量備份都不可用。一樣，若是在系統被***期間，還對數據庫進行了徹底備份，那麼，這些徹底備份也不可用。
　　若是容許咱們停機進行處理，咱們能夠拆下系統上的硬盤，接入其它系統，而後經過文件恢復軟件來恢復這些被刪除的文件，可是，對於數據庫表中內容的刪除，咱們只能經過留下的紙質文檔，來本身慢慢修正。
　　在這裏咱們就能夠知道，備份並不能解決全部的系統***問題，但仍然是最快、最有效恢復系統正常的方式之一。經過這咱們還能夠知道，及時發現系統已經被***對於搶救系統中的機密數據是多麼的重要。
　　 3、 以破壞系統或業務正常運行爲目的的系統***恢復
　　當***者***系統的目的，就是爲了讓系統或系統中的正常業務不能正常運行，若是咱們發現不及時，當這類系統***事件***成功後，就會形成系統意外停機事件和業務意外中斷事件。
　　處理這類系統***事件時，已經沒有必需再考慮系統需不須要停機處理的問題了，既然系統都已經不能正常運行了，考慮這些都是多餘的，最緊要的就是儘快恢復系統正常運行。對於這類事件，也有下列這幾種類別，每種類別的處理方式也是有一點區別的：
　　 一、系統運行正常，但業務已經中斷
　　對於此類系統***事件，咱們能夠不停機進行處理，直接以系統在線方式經過備份來恢復業務的正常運行，但在恢復前要肯定系統被***的具體時間，以及何時的備份可使用，而後按本文前面介紹的相關係統***恢復方式來恢復系統和業務到正常狀態。
　　對於沒有冗餘系統的企業，若是當時很是迫切須要系統業務可以正常運行，那麼，也只有在經過備份恢復業務正常運行後直接使用它。但在沒有修復系統或應用程序漏洞以前，必需安排專人實時監控系統的運行情況，包括網絡鏈接情況，系統進程情況，經過提升IDS/IPS的檢測力度，添加相應的防火牆檢測規則來暫時保護系統安全。
　　 二、系統不能正常運行，但系統中與業務相關的內容沒有受到破壞 　　此時，咱們首要的任務就是儘快讓系統恢復正常運行，可是要保證系統中與業務相關的數據不能受到損害。若是與業務相關的重要數據不在系統分區，那麼，將系統從網絡中斷開後，咱們就能夠經過另外保存的系統徹底備份來迅速恢復系統到正常狀態，這是最快速的解決方法。 　　可是，若是與業務相關的數據所有或部分存放在系統分區，那麼，爲了防止當前業務數據的完整性，咱們應當先經過像WinPE光盤系統的方式啓動Winpe系統，而後將與業務相關的重要數據所有備份到其它獨立的存儲設備中，再對系統分區進行備份恢復操做。 　　若是咱們發現系統的徹底備份不可用，咱們就只能在保證與業務相關的重要數據不損失的狀況下，進行全新的操做系統安裝方式來恢復系統正常運行，而後再安裝業務應用程序，來恢復整個系統業務的正常運行。可是，因爲這種方式是從新全新安裝的操做系統，所以，如沒有特殊的要求，應當對系統和應用程序作好相應的安全防範措施並徹底備份後，纔將系統連入網絡當中。 　　至於剩下的系統恢復工做，能夠按恢復以控制系統爲目的的系統***恢復方式來進行。