检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
步骤3:网络分析 该章节为您介绍如何通过TCPView工具查看当前TCP连接状态,排查可疑进程,可疑进程一般用红色标记。 前提条件 推荐下载“TCPView”工具。 操作步骤 打开“TCPView”文件夹,双击“Tcpview.exe”文件,在弹出的对话框中,单击“Agree”。
Path”列是否存在异常文件(非系统和正常业务部署创建文件)。 如果发现可疑进程,双击该进程名,可直接定位到注册表位置。可以在“Filter”中过滤可疑进程的名字。 图3 打开注册表编辑器 父主题: 方案一:工具溯源排查
单击“登录保护”区域的。 图2 安全设置 在弹出的“登录保护”对话框,根据需要,选择“验证方式”为“手机”、“邮件地址”或“虚拟MFA”,单击“确定”。 图3 登录保护界面 开启敏感操作保护 开启敏感操作保护后,您或者您账号中的用户进行敏感操作时,例如删除资源、生成访问密钥等,需要输入密码和验证码
方案一:工具溯源排查 步骤1:进程分析 步骤2:自启动分析 步骤3:网络分析 步骤4:异常用户分析 父主题: 排查过程
VirusTotal.com”,勾选“Check VirusTotal.com”和“Submit Unknown Executables”。 图3 options > VirusTotal.com 此时,系统会将当前进程的hash值同virustotal库比对,可快速发现木马进程。 图4
Sybase/DB2(数据库) TCP:69 TFTP(简单文件传送协议) TCP:5432 PostgreSQL(数据库) TCP:110 POP3(邮局协议版本3) TCP:5900-5902 VNC(虚拟网络控制台,远控) TCP:111、2049 NFS(网络文件系统) TCP:5984 CouchDB(数据库)
-nn -r /home/udp.pcap|awk -F'.' '{print $1}'|sort|uniq -c 图2 抓包分析结果 根据步骤3可知,图中被检查的设备正在对另一个IP地址发送数十个UDP长度为1460Byte的数据包,明显超出正常业务数据包的范畴,说明该设备正在被利用为UDP反射攻击的“放大器”对外攻击。