Incident Response

1. 告警来源：WAF/IDS/HIDS/SIEM/EDR/蜜罐/用户报告/云审计日志
2. 影响范围：单主机/子网/全域/数据/云账号/容器集群
3. 攻击阶段：侦察/利用/安装/C2/目标达成（判断攻击者是否仍活跃）
4. 是否活跃：攻击者是否仍在系统中（决定遏制优先级）
5. 业务影响：业务中断风险/数据泄露规模/合规上报义务

优先级分 = 资产价值权重(0.3) + 攻击阶段权重(0.3) + 影响面权重(0.2) + 威胁活跃度(0.2)
- 资产价值：核心数据库=5，域控=5，办公PC=2，测试机=1
- 攻击阶段：已达目标=5，C2阶段=4，安装后门=3，利用=2，扫描=1
- 威胁活跃度：EDR 实时拦截=5，告警滞后>24h=3，已清理=1
评分>4 即按 P0/P1 响应，先评估再扑火，避免"所有告警都是紧急"

1. 准备(Preparation)：预案/演练/工具就绪/日志留存的长期投入（决定响应上限）
2. 检测与分析(Detection & Analysis)：告警确认→数据收集→分析定级→范围界定
3. 遏制(Containment)：短期(断网/隔离)与长期(重建/封堵)遏制，防扩散
4. 根除(Eradication)：清除恶意件/移除持久化/删除攻击路径
5. 恢复(Recovery)：备份恢复/业务上线/验证加固
6. 事后活动(Post-Incident)：复盘/报告/指标/改进项落地

0-15分钟：告警确认、初步研判、启动分级、通知响应负责人（IR Commander）
15-60分钟：遏制决策（隔离主机/撤销凭据/阻断C2）、启动取证（易失性数据）
1-4小时：范围界定、时间线初建、攻击入口确认、持续监控攻击者动向
4-24小时：深入取证（内存/磁盘）、恶意样本分析、数据影响面评估
24-72小时：根除与恢复、加固、向管理层/监管第一次正式汇报
3-7天：复盘报告、指标统计、检测规则与流程改进落地

IR Commander(总指挥)：全局决策，唯一有权宣布"遏制完成"
技术调查组：取证、分析、样本分析
业务/运维组：隔离执行、业务恢复评估
法务/合规组：上报义务、取证合规、对外沟通把关
公关/沟通组：对外声明、内部通知（禁止未经法务审查对外发声）
每步操作必须留痕（时间/操作人/对象/结果），保证可审计

1. 初始入口：哪条路径进来的？（钓鱼/0day/弱口令/供应链/云凭据/暴露服务）
2. 工具选择：用了什么？（Cobalt Strike/Metasploit/自定义Loader/LOLBins）
3. 权限目标：先提权到谁？AD 管理员/云高权限角色？
4. 持久化：如何保证下次还能进来？（计划任务/服务/启动项/注册表/AD后门）
5. 横向路径：如何在内网移动？（PTH/WMI/WinRM/RDP/云AssumeRole）
6. 目标与出口：最终要什么？数据从哪里、以什么方式出去？
每个环节都要问：证据在哪？日志源是哪个？查询语句是什么？

1. 锚点法：先找"必须存在"的证据锚点（首次恶意文件创建、首个异常登录、首次C2回连）
2. 双向扩展：从锚点向前追初始访问，向后追横向移动与数据外传
3. 多源对齐：Windows日志、DNS日志、防火墙/NGFW日志、EDR、云审计逐层比对时间戳
4. 时间线工具：Plaso/log2timeline、Timesketch、ELK时间线视图
5. 输出物：带证据引用的攻击链图（每个节点标注：时间/主机/用户/日志源/ATT&CK ID）

勒索软件链：外部暴露RDP/钓鱼→凭据窃取→横向移动→域控→备份删除→全网加密+数据外传
APT数据窃取链：钓鱼(带宏文档)→宏执行→Cobalt Strike→提权→域控→GPO下发→数据汇集→外传
挖矿链：公网漏洞(Redis/Log4j/Docker API)→反弹shell→下载挖矿程序→SSH密钥后门→批量蔓延
云入侵链：泄露AK→枚举S3/ECS→创建新用户→横向到其他账号→数据打包外传→计费炸弹

内存 > 网络连接 > 进程 > 磁盘 > 日志
先采"关机会丢"的数据；顺序错了证据就没了
取证前禁止：重启、杀毒扫描、删除文件、关闭服务（除非是遏制必须）

# 1. 内存dump（最先）
winpmem.exe --load driver --output RAMDump.raw
DumpIt.exe / DumpIt_x64.exe
Magnet RAM Capture（GUI）

# 2. 网络连接
netstat -ano > netstat.txt
Get-NetTCPConnection | Where-Object {$_.State -eq "Established"} | Export-Csv connections.csv

# 3. 进程信息
tasklist /svc /v > processes.txt
wmic process get ProcessId,Name,ExecutablePath,CommandLine,ParentProcessId > wmic_process.txt
Get-CimInstance Win32_Process | Select-Object ProcessId,ParentProcessId,Name,ExecutablePath,CommandLine | Format-List

# 4. 网络连接+进程关联
netstat -anob > net_process.txt

# 5. 服务与计划任务
sc query type= service state= all > services.txt
schtasks /query /fo LIST /v > scheduled_tasks.txt
wmic startup get Caption,Command,Location > startup.txt

# 6. 注册表（持久化）
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
reg query HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options"

# 7. 用户与登录
net user > users.txt
net localgroup administrators > admins.txt
wevtutil qe Security /q:"*[System[EventID=4624]]" /c:200 /f:text > logins.txt
wevtutil qe Security /q:"*[System[(EventID=4625)]]" /c:200 /f:text > failed_logins.txt

# 8. 最近修改的文件（时间线）
forfiles /P C:\ /S /D +2026-06-27 /C "cmd /c echo @path @fdate @ftime" > recent_files.txt

# 9. 浏览器与远程桌面痕迹（作为补充）
reg query "HKCU\Software\Microsoft\Terminal Server Client\Servers" /s > rdp_servers.txt

# 1. 内存
cat /proc/meminfo
# LiME：insmod lime-$(uname -r).ko "path=memdump.mem format=raw"

# 2. 网络连接
ss -antup > connections.txt
netstat -antup > netstat.txt

# 3. 进程
ps auxef > processes.txt
ls -la /proc/*/exe 2>/dev/null > proc_exe.txt
for p in /proc/[0-9]*; do echo "== $p =="; cat $p/cmdline 2>/dev/null | tr '\0' ' '; echo; done > proc_cmdline.txt

# 4. 用户与登录
last -20 > last_login.txt
lastb -20 > failed_login.txt
cat /etc/passwd > passwd.txt
cat /etc/shadow > shadow.txt
who > who.txt
ls -la /home/*/.ssh/ > ssh_keys.txt
cat /root/.bash_history > root_history.txt

# 5. 计划任务
crontab -l > crontab.txt
cat /etc/crontab >> crontab.txt
ls -la /etc/cron.* >> crontab.txt

# 6. 启动项
systemctl list-unit-files --type=service > services.txt
cat /etc/systemd/system/*.service > systemd_services.txt
cat /etc/init.d/* > init_scripts.txt
cat /etc/rc.local 2>/dev/null

# 7. 日志
cp /var/log/auth.log ./ 2>/dev/null
cp /var/log/secure ./ 2>/dev/null
cp /var/log/syslog ./ 2>/dev/null
cp /var/log/nginx/access.log ./ 2>/dev/null
cp /var/log/apache2/access.log ./ 2>/dev/null
journalctl --since "2026-06-27" > journal.txt 2>/dev/null

# 8. 文件系统时间线
find / -mtime -2 -type f -ls > recent_files.txt 2>/dev/null
find /tmp /var/tmp /dev/shm /var/www -type f -ls > suspicious_dirs.txt 2>/dev/null

# 9. SUID/Capabilities
find / -perm -4000 -type f -ls > suid.txt 2>/dev/null
getcap -r / > capabilities.txt 2>/dev/null

# 10. Rootkit检测
rkhunter --check --skip-keypress
chkrootkit

# 11. 内核模块与隐藏进程
lsmod > kernel_modules.txt
cat /proc/modules >> kernel_modules.txt

1. 每份采集文件：记录采集时间/主机/采集人/工具/命令
2. 全部计算 SHA-256：Get-FileHash file -Algorithm SHA256
3. 证据介质：只读挂载或写保护（Windows写保护块/ Linux mount -o ro）
4. 时间统一：以协调世界时(UTC)记录，避免时区歧义
5. 采集过程对系统的最小改动也要记录（本身也是"污染证据"）
6. 如涉司法取证：使用 EnCase/FTK 做镜像与校验，建立完整 Chain of Custody

KAPE（Kroll Artifact Parser & Extractor）：Windows 自动化取证，Targets批量提取工件
  kape.exe --tsource C:\ --tdest D:\output --target !SANS_Triage --tlog
UAC（Linux Artifact Collector）：Linux 自动化采集
Velociraptor：大规模远程取证与狩猎（DFIR/IR 一体化）
  velociraptor --config client.config.yaml artifacts collect Windows.Sys.Processes
GRR Rapid Response：Google 开源远程取证平台
F-Response/EnCase Enterprise：远程镜像
原则：能自动化就不手工，能并行就不串行，先采集再分析

Windows：winpmem、DumpIt、Magnet RAM Capture、FTK Imager(内存)
Linux：LiME（内核模块）、avml（Linux内存采集，速度快）
macOS：osxpmem
云端VM：部分云厂商提供内存快照能力；无法直接采集时依赖进程/日志替代
K8s容器内进程：在宿主机上 avml --pid <容器内进程在宿主机的PID>（容器PID在宿主机可见）

# 系统信息与内核基址
vol -f memdump.raw windows.info

# 进程分析（核心三连）
vol -f memdump.raw windows.pslist      # 常规进程列表（对比EDR确认基线）
vol -f memdump.raw windows.pstree      # 父子进程树（发现可疑派生关系）
vol -f memdump.raw windows.psscan      # 扫描隐藏/已退出进程（反取证对抗）
vol -f memdump.raw windows.pstree --pid <PID>   # 单进程族谱

# 网络连接（内存中的socket）
vol -f memdump.raw windows.netscan     # 包括已断开但仍在内存中的连接
vol -f memdump.raw windows.netstat

# 注入与隐蔽代码（无文件攻击核心证据）
vol -f memdump.raw windows.dlllist     # 进程加载的DLL（异常路径/未签名）
vol -f memdump.raw windows.malfind     # 可疑可执行内存段（经典注入检测）
vol -f memdump.raw windows.ldrmodules  # 检查DLL是否从内存中被隐藏（反射注入）
vol -f memdump.raw windows.svcscan     # 服务（隐藏服务检测）

# 凭据与hash
vol -f memdump.raw windows.hashdump    # 本地账户hash
vol -f memdump.raw windows.lsadump     # LSA secrets（含服务账号明文）

# 命令与文件
vol -f memdump.raw windows.cmdline     # 进程命令行（LOLBins滥用证据）
vol -f memdump.raw windows.filescan    # 扫描内存中文件对象
vol -f memdump.raw windows.dumpfiles --pid PID   # 从内存提取文件
vol -f memdump.raw windows.memmap --pid PID > pid_map.txt  # 内存段映射

# Linux 对应插件
vol -f linuxmem.raw linux.pslist linux.bash linux.environ linux.malfind linux.dump_map

KAPE = 集合器(kcollect)+处理器(kpsparse)，分钟级完成 Windows 关键工件采集
常用 Targets：
  !SANS_Triage        # SANS 三线采集（核心推荐）
  !EZ_Triage          # Eric Zimmerman 全家桶格式
  $MFT / Prefetch / ShimCache / AmCache / RecentDocs
  SRUM（应用资源使用，定位执行时间）
  EventLogs / Sysmon
KAPE 输出自动生成时间线，配合 EZ 工具（Timeline Explorer/EvtxECmd/Everything）

追查路径：
1. 内存证据：Volatility malfind/ldrmodules 找注入；提取内存样本做YARA匹配
2. 注册表负载：RunKeys/服务ImagePath指向powershell脚本、WMI EventSubscription持久化
   reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WMI" /s
   Get-WmiObject -Namespace root\subscription -Class __EventConsumer  # 查看WMI消费器
3. 计划任务内嵌脚本：schtasks /query /fo LIST /v | findstr /i "powershell"
4. LOLBins 滥用：powershell.exe -enc、mshta、regsvr32、rundll32 启动链
   （对 4688/Sysmon EID1 做命令行规则检测是关键防线）
5. .NET CLR 劫持：AppDomainManager 注入（内存中托管代码）
6. 无文件勒索：直接在内存中加密或仅用系统工具（如部分 BlackCat/Medusa 变种行为）
判活确认后：内存样本+YARA规则留档，禁止直接杀掉重启（证据丢失）

Timestomping（篡改时间戳）：对比 MFT/PreFetch/日志时间，使用 MFTECmd 检查
日志清除：1102(安全日志清空)/104(系统日志清空)本身就是告警信号
ADS（NTFS 备用数据流）：dir /r 检测，可疑文件藏于隐藏流
卷影副本删除：vssadmin list shadows 对比记录
进程名欺骗/伪装：镜像路径与签名校验（sigcheck -a）
禁用安全工具：EDR/AV被停用的服务状态变化日志（7045/7036）

# 异常登录检测（高频源IP）
grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head -20

# 成功登录后源IP
grep "Accepted" /var/log/auth.log | awk '{print $(NF-3), $9}' | sort | uniq -c | sort -rn

# 权限提升
grep "sudo:" /var/log/auth.log
grep "su:" /var/log/auth.log

# 命令历史（重点：下载、wget/curl、ssh隧道、反弹shell）
cat ~/.bash_history | grep -E "wget|curl|nc |bash -i|python.*socket"

# Web日志分析
awk '$9 >= 400' access.log | head -100                      # 4xx/5xx
awk -F'"' '{print $6}' access.log | sort | uniq -c | sort -rn | head  # UA画像
grep -E "eval|base64|cmd=|/proc/self|\.jsp|\.php\?" access.log | head -100  # 注入特征
grep -E "passwd|shadow|\.ssh|\.git|\.env|config\.php|wp-config" access.log  # 敏感文件探测

# DNS隧道/异常DNS
# 用 tcpdump 抓DNS：tcpdump -i eth0 -nn port 53 -w dns.pcap
# 关注：超长子域名、TXT记录频繁查询（dnscat2/iodine特征）

# 反连检测（防火墙/网关侧更可靠）
# ss -antup | grep ESTAB；关注 4444/8080/53/443 等非常规反连端口

1. 时间线法：将 Windows 日志、Linux 日志、防火墙、DNS、EDR、云审计拉平到统一时间轴
   工具：Timesketch（推荐）、ELK、Splunk timeline
2. 图关联法：以"账号→主机→IP→文件"为节点画关系图（BloodHound 反向用法）
   例：域管账号在3:47登录了DB服务器，DB服务器同刻访问了外网IP X
3. 入口寻找法：先找最早的异常事件（首次恶意登录/首次C2回连），再向前找初始访问
4. 交叉验证原则：单一日志结论不成立，至少两个独立源印证（如4688+网络流）

Splunk（SPL）：
  index=windows EventCode=4624 Logon_Type=10 | stats count by src_ip, user | sort -count
  index=windows EventCode=4688 | where match(CommandLine,"(?i)(-enc|bypass|IEX|DownloadString)")
KQL（Sentinel/Defender）：
  SecurityEvent | where EventID==4688 | where CommandLine contains "powershell"
  IdentityLogonEvents | where LogonType=="RemoteInteractive"
Sigma（跨平台规则）：sigma convert -t splunk -p 通用规则（社区共享检测规则）

# 基础信息
file sample
strings -a -n 6 sample | head -100
sha256sum sample
ssdeep sample                      # 模糊Hash（变种聚类）

# PE分析
python -m pefile sample.exe        # 导入表/资源/节区（不常见的节名如.upx=加壳）
sigcheck -a sample.exe             # 签名/版本信息（VS)
# 加壳检测：DIE(Detect It Easy)、UPX、检查导入表密度

# 恶意文档
python -m oletools.olevba sample.doc        # 宏代码提取
python -m oletools.oleid sample.doc         # OLE结构风险标识
# 恶意PDF：pdfid、peepdf

# YARA规则匹配
yara -r rules/ sample               # 使用 MalwareBazaar/YARA-Forge 社区规则集
# 在线：VirusTotal、Hybrid Analysis（上传前确认样本无敏感信息）

# 配置提取（勒索/远控家族）
# 使用公开解密工具：如 DragonBuster 等勒索解密工具、通用C2配置提取器

沙箱环境（必隔离）：
- Any.Run（在线交互式，可看进程树+网络）
- Joe Sandbox（在线深度报告）
- Cuckoo/CAPE Sandbox（本地自动化）
- 本地VM（禁用共享/快照回滚/仅主机网络+NAT代理）

监控项（对照记录）：
- 进程创建/注入（进程树形态）
- 文件操作（创建/修改/删除，重点自启动路径）
- 注册表操作（RunKeys/服务/WMI）
- 网络通信（DNS/HTTP/TCP，抓包分析C2协议）
- 互斥量/管道（去重与家族识别）
- 持久化机制（重启后是否存活）

行为结论输出：文件hash、C2域名/IP、家族归属、持久化点、窃取数据清单

1. VT/沙箱多引擎：命中数>10 → 高度恶意（先看家庭/行为标签）
2. 签名+加壳：未签名+加壳+高熵 → 可疑（提取静态配置）
3. 网络行为：主动外连非常规端口/域名 → 恶意概率大增
4. 持久化行为：写入自启动 → 确认恶意
5. 输出：该样本是"已知家族变种"还是"新型"，决定后续溯源与规则发布

Ghidra（免费）/ IDA Pro：静态反编译定位关键逻辑
x64dbg / WinDbg：动态调试（需在隔离环境）
分析重点：C2字符串、解密密钥、加密算法（勒索）、外传目标
进阶：脱壳（unpack）、混淆还原、行为指纹提取（用于YARA）

IOC类型：
- Hash（MD5/SHA256/SSDeep/TLSH）
- IP/Domain/URL/注册域名（whois/证书指纹JA3/JA3S）
- 文件名/路径/互斥量名称
- 注册表键值/计划任务名
- C2协议特征（User-Agent、Beacon间隔、公钥）
- YARA规则/Sigma规则

共享格式：STIX 2.1 / TAXII 2、OpenIOC、MISP 事件
共享渠道：MISP、企业威胁情报平台、行业CERT、国家CERT

分析维度：
- 攻击时间规律（工作时区推断：UTC+8/UTC+3/UTC-5）
- 使用语言（代码注释/文件名/字符串：中文/俄语/英语/阿拉伯语）
- 工具特征（C2框架：Cobalt Strike/Metasploit/Sliver/自定义）
- TTPs映射（MITRE ATT&CK 分组匹配：APT28/Lazarus/BlackCat等）
- 目标选择（行业/地域偏好、社会工程话术）
- 基础设施（历史域名注册模式、托管商偏好、基础设施复用）

1. C2基础设施：域名whois反查注册人邮箱（注意隐私保护）、历史解析记录（Passive DNS）
2. 证书指纹：JA3/JA3S 匹配公开威胁情报库（如 ja3er）
3. 基础设施共享：IP段/ASN 聚类、域名关联图
4. 样本聚类：SSDeep 相似度、代码同源性（复用样本比较）
5. 攻击归因注意事项：归因需高置信度，避免误报；公开报告由专业团队（Mandiant/奇安信等）主导

1. 加密不再是主手段：纯数据窃取（不加密只偷）+ 双重勒索成为主流——"谈判位置"比"恢复"更重要
2. 身份失陷主导：攻击者通过凭据/云身份进入，而非漏洞——响应要围绕身份而非病毒
3. 攻击周期加快：从初始访问到引爆可能仅数天；凌晨/节假日/周末发起是常见"武器化时间"
4. RaaS 化：勒索即服务降低门槛，攻击者多样（技术小组+运营小组分工）
5. AI 辅助：AI 生成的钓鱼、自动化扫描、动态命令生成提升攻击效率
6. 响应含义：第一动作可能是"取证界定被窃走了什么+法律评估+准备谈判立场"，而非只隔离恢复

第0阶段-检测(加密前是最佳窗口)：canary文件/EDR行为/异常批量加密API调用/卷影删除
第1阶段-隔离(30分钟内)：拔网线或断网卡（虚拟机快照/云主机先拍快照再隔离）
   禁用被攻陷账号、轮换密码、阻断出口C2（防火墙/云安全组）
第2阶段-取证：保留加密样本/勒索信/内存/日志；禁止重启与尝试解密（可能二次损坏）
第3阶段-评估：界定泄露数据范围、加密范围、恢复可行性（含解密工具查询 no-more-ransom）
第4阶段-决策：是否谈判（见9.4）、是否联系执法
第5阶段-恢复：验证备份→逐业务恢复→加固
第6阶段-复盘：泄露面全量评估（数据窃取是永久性损失，必须对外披露评估）

# 检测变种线索（勒索信/文件扩展名/加密特征）
find / -name "*.locky" -o -name "*.wannacry" 2>/dev/null   # 按已知扩展名
find / -name "*.txt" -newer /etc/hostname -exec grep -l "bitcoin" {} \; 2>/dev/null

# 识别加密进程与卷影删除
ps auxef | grep -iE "vssadmin|wmic|gpupdate"
ls -la /var/log/syslog | grep -i "vss" 2>/dev/null

# 隔离命令（Windows：禁用网络适配器）
Disable-NetAdapter -Name "以太网" -Confirm:$false
# Linux：ifdown eth0 或 iptables -P INPUT DROP; iptables -P OUTPUT DROP

# 判定是否在mimikatz转储（LSASS访问）
wevtutil qe Security /q:"*[System[EventID=4689]]" /f:text | findstr /i "lsass"

# 查询解密工具（免费官方渠道）
# https://www.nomoreransom.org/ 提供官方免费解密工具检索

1. 法律先行：攻击者可能位于制裁名单（如美国OFAC），支付可能违法——法务必须介入
2. 技术评估：备份可用性、解密器可用性、数据是否已外泄（支付无法消除泄露）
3. 支付≠保证：约1/4受害者支付后未获解密；二次勒索比例高
4. 谈判：若决定谈，由专业谈判团队执行，不直接暴露决策权限
5. 不因恐慌决策：公司政策预先明确"是否允许支付"，避免临时决定

备份策略 3-2-1-1：3份副本、2种介质、1份离线（air-gap）、1份异地
身份恢复计划：域管/高权限账号轮换、云AK轮换、IAM策略核查（2026攻击多经身份路径）
离线备份验证：定期在隔离环境测试恢复（备份也会被加密/删除，2026年勒索攻击先打备份）
加固重点：RDP暴露最小化+多因素认证、补丁管理、EDR全量部署、出口流量监控

演练场景（2026推荐）：
- 场景A：凌晨收到勒索信，数据已被外传（重点练"泄露面评估+法律+谈判准备"）
- 场景B：加密进行中，备份可能已被删（练隔离+恢复决策）
- 场景C：跨职能桌面推演（安全+法务+公关+高管同一时钟，暴露沟通断层）
跨职能演练是关键：只练技术团队会让真正的断层（法务时限/公关口径）漏网