下载文档原格式
windows入侵排查思路随着互联网的快速发展，网络安全问题也日益突出。
作为最广泛使用的操作系统之一，Windows系统的安全性备受关注。
然而，即使是最安全的系统也无法完全避免入侵的风险。
因此，对于Windows系统的入侵排查思路显得尤为重要。
首先，了解常见的入侵方式是非常必要的。
黑客常常利用漏洞、弱密码、恶意软件等手段来入侵系统。
因此，及时了解最新的安全漏洞信息，及时更新系统补丁，加强密码策略，安装可靠的杀毒软件和防火墙是防范入侵的基本措施。
其次，建立完善的日志监控系统也是非常重要的。
Windows系统提供了丰富的日志功能，可以记录系统的各种操作和事件。
通过对日志的监控和分析，可以及时发现异常行为和潜在的入侵行为。
例如，登录失败、异常进程、异常网络连接等都可能是入侵的迹象。
因此，定期检查和分析系统日志，及时发现并处理异常情况，是防范入侵的重要手段。
此外，加强对系统的访问控制也是必不可少的。
合理设置用户权限，限制用户的访问范围，可以有效防止未经授权的访问。
同时，定期审查和更新用户账号和密码，禁用不必要的账号，及时删除离职员工的账号，也是防范入侵的重要措施。
另外，定期进行系统漏洞扫描和安全评估也是非常重要的。
通过使用专业的漏洞扫描工具，可以及时发现系统中存在的安全漏洞，并及时修补。
同时，定期进行安全评估，检查系统的安全性，发现潜在的安全风险，并采取相应的措施加以解决。
最后，建立应急响应机制也是非常关键的。
即使做了充分的防护措施，也无法保证系统百分之百安全。
因此，建立应急响应机制，及时发现和处理入侵事件，可以最大程度地减少损失。
应急响应包括及时备份重要数据、隔离受感染的系统、追踪入侵者的行踪等。
总之，Windows系统的入侵排查思路需要综合运用多种手段和方法。
只有全面、系统地进行安全防护和入侵排查，才能有效地保护系统的安全。
因此，加强安全意识教育，定期进行安全培训，提高用户的安全意识和技能，也是非常重要的。
第1篇一、实验目的1. 理解主机入侵检测系统的基本原理和组成。
2. 掌握主机入侵检测系统的搭建过程。
3. 学习如何使用主机入侵检测系统进行入侵检测。
4. 提高网络安全意识和防护能力。
二、实验环境1. 操作系统：Windows 102. 主机入侵检测系统：OSSEC3. 实验网络拓扑：单主机局域网三、实验步骤1. 系统环境准备（1）安装操作系统：在实验主机上安装Windows 10操作系统。
（2）安装OSSEC：从OSSEC官网下载最新版本的OSSEC安装包，按照安装向导完成安装。
2. 配置OSSEC（1）配置OSSEC服务器：- 编辑`/etc/ossec.conf`文件，设置OSSEC服务器的基本参数，如服务器地址、日志路径等。
- 配置OSSEC服务器与客户端的通信方式，如SSH、SSL等。
- 配置OSSEC服务器接收客户端发送的日志数据。
（2）配置OSSEC客户端：- 在客户端主机上安装OSSEC客户端。
- 编辑`/etc/ossec.conf`文件，设置客户端的基本参数，如服务器地址、日志路径等。
- 配置客户端与服务器之间的通信方式。
3. 启动OSSEC服务（1）在服务器端，启动OSSEC守护进程：```bashsudo ossec-control start```（2）在客户端，启动OSSEC守护进程：```bashsudo ossec-control start```4. 模拟入侵行为（1）在客户端主机上，执行以下命令模拟入侵行为：```bashecho "test" >> /etc/passwd```（2）在客户端主机上，修改系统配置文件：```bashecho "test" >> /etc/hosts```5. 检查OSSEC日志（1）在服务器端，查看OSSEC日志文件：```bashcat /var/log/ossec/logs/alerts.log```（2）分析日志文件，查找与入侵行为相关的报警信息。
Windows系统检查主要事项
Windows系统的入侵检测方法主要包括：检查所有相关的日志，检查相关文件，鉴定未授权的用户账号或组，寻找异常或隐藏文件，检查系统的运行的进程，检查系统开放的端口等。
可以采用手工和工具检查相结合的方式进行。
一、手工检查与审计
下面就各种检查项目做一下详细说明。
1、检查端口与网络连接
Netstat.exe 是一种命令行实用工具，可以显示TCP 和UDP 的所有打开的端口。
如果发现的已打开的端口无法识别，则应对它们进行调查以确定在该计算机上是否需要对应的服务。
如果不需要该服务，则应禁用或删除相关的服务以防止计算机在该端口上监听。
也可以通过该命令检查有哪些相关的连接，也许恶意的连接就在这里。
方法：
Netstat –an（系统命令）（windows2003使用命令Netstat –ano可检测出端口对应的进程）Netstat –a（系统命令）（windows2003使用命令Netstat –ao可检测出端口对应的进程）Fport（第三方工具）
木马端口列表：
/main.htm
/threat/threat-ports.htm
http://www.chebucto.ns.ca/~rakerman/port-table.html
2、检查账户安全
服务器被入侵之后，通常会表现在系统的用户账户上，我们可以在系统日志上察看相关的信息。
除了察看事件日志外，也应该检查所有账户的信息，包括他们所属的组。
有些黑客入侵后常常将添加他们自己的账号，或者将那些偏僻的用户修改了权限，从而方便他们以后再次入侵。
方法：
可以在“计算机管理”—“用户管理”中查看系统帐号。
可以使用命令查看：net user ；net localgroup administrators；
可以cca.exe（第三方工具）检查是否有克隆帐号的存在。
3、查找恶意进程
可以通过以下工具和方法检查系统运行的进程，找出异常的进程。
方法：
任务管理器（系统工具）
Psinfo.exe（第三方工具）
Windows2000基本的系统进程如下：
smss.exe Session Manager 会话管理
csrss.exe 子系统服务器进程
winlogon.exe 管理用户登录
services.exe 包含很多系统服务
lsass.exe 管理IP 安全策略以及启动ISAKMP/Oakley (IKE) 和IP 安全驱动程序。
(系统服务)
svchost.exe 包含很多系统服务
spoolsv.exe 将文件加载到内存中以便迟后打印。
(系统服务)
explorer.exe 资源管理器
internat.exe 输入法
4、监视已安装的服务和驱动程序
许多针对计算机的攻击都是这样实现的：攻击安装在目标计算机上的服务，或者将有效的驱动程序替换为包含特洛伊木马的驱动程序版本，以给予攻击者访问目标计算机的权限。
1、通过服务控制台查看服务。
服务MMC 控制台用于监视本地计算机或远程计算机的服务，并允许管理员配置、暂停、停止、启动和重新启动所有已安装的服务。
可使用此控制台确定是否存在已配置为自动启动的服务当前未启动的情况。
2、通过注册表项查看服务和驱动程序：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
5、检查注册表的关键项：
一般来说，木马或者后门都会利用注册表来再次运行自己，所以，校验注册表来发现入侵也是常用的手法之一。
使用REGEDIT注册表编辑器可以查看注册表。
在注册表里，我们着重要查看
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion、HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\、HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\下面的子树。
特别是要查看Run, RunOnce, RunOnceEx, RunServices, 和RunServicesOnce 文件夹，查找是否存在异常的条目。
HKEY_LOCAL_MACHINE\SOFTWAREMicrosoft\Windows NT\CurrentVersion\WinLogon也是需要检查的地方。
主要检查内容：Shell项内容正常情况应该为Explorer.exe；Userinit项内容应该为C:\WINNT\system32\userinit.exe；检查是否有增加的项目其内容包括.exe .sys .dll
等各种可执行文件。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
NT\CurrentVersion\Winlogon\Notify是否有异常的项。
正常的项目主要有：crypt32chain, cryptnet, cscdll, sclgntfy, SensLogn, wzcnotif.可能还会包括显卡、防病毒等项。
检查类似txt等文本或其它后缀映射是否正常。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options，映像劫持主要是用来调试程序。
通常此项下不应设置任何子项、值。
6、检查所有相关的日志
windows日志对于系统安全的作用是很重要的，网络管理员应该非常重视日志。
Windows 的系统日志文件有应用程序日志，安全日志、系统日志等等。
可以通过“事件管理器”查看。
建议日志的文件大小不小于100M。
安全日志文件：%systemroot%\system32\config\SecEvent.EVT
系统日志文件：%systemroot%\system32\config\SysEvent.EVT
应用程序日志文件：%systemroot%\system32\config\AppEvent.EVT
7、检查用户目录：
检查C:\Documents and Settings\目录各用户的目录。
主要检查内容：用户最近一次的登陆时间；检查用户目录下的文件内容；检查Local Settings目录下的历史文件（History）、临时文件（Temp）、访问网页的临时文件（Temporary Internet Files）、应用数据文件（Application Data）等内容。
8、检查文件系统
检查C: \、C: \winnt、C: \winnt\System 、C: \winnt\System32、C: \winnt\\System32\dllcache、C: \winnt\\System32\drivers、各个Program Files目录下的内容，检查他们目录及文件的属性，若无版本说明，多为可疑文件；若某文件的建立时间异常，也可能是可疑的文件。
维护一份文件和目录的完整列表，定期地进行更新和对比，这可能会加重过度操劳的管理员的负担，但是，如果系统的状态不是经常变动的话，这是发现很多恶意行为踪迹最有效的方法。
9、环境变量
右键点击“我的电脑”-属性-选择“高级”-“环境变量”
检查内容：temp变量的所在位置的内容；
后缀映射PATHEXT是否包含有非windows的后缀；
有没有增加其他的路径到PATH变量中；
（对用户变量和系统变量都要进行检查）
10、检查防病毒
检查防病毒系统是否正常工作、病毒库是否正常更新、是否有异常的报警。
11、检查应用
检查相关应用的日志信息：
Internet信息服务FTP日志默认位置：%sys temroot%\sys tem32\logfiles\msftpsvc1\
Internet信息服务WWW日志默认位置：%sys temroot%\sys tem32\logfiles\w3svc1\
DNS日志文件：%systemroot%\system32\config
Scheduler服务日志默认位置：%sys temroot%\schedlgu.txt
Sqlserver的日志。
通过sqlserver控制台来查看。
有的管理员很可能将这些日志重定位。
其中EVENTLOG下面有很多的子表，里面可查到以上日志的定位目录。
Schedluler服务日志在注册表中的位置：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SchedulingAgent
12、文件签名
以上工作完成后，运行sigverif对%systemroot%\system32\下的*.exe、*.dll、*.sys等文件进行校验。
二、工具检查
1、IceSword：综合的入侵检测工具。
可检测进程、端口、网络连接、服务等项。
2、procexp.exe 检查进程以及所调用的相关文件。
3、Autoruns列出所有随系统自动运行的程序、文件和映像劫持项目。
