日本服务器木马应急响应

日本服务器木马应急响应手册
一、目标与处置原则

• 目标：在最短时间内实现止血、取证、溯源、恢复，并降低二次入侵与业务中断风险。
• 原则：优先保护现场（避免关机/重启，先备份内存与关键状态）；隔离风险（通过网络ACL/安全组/iptables限制双向通信，必要时物理断网）；取证优先（保存进程、网络连接、登录与系统日志）；根除与恢复（能修复则修复，不能修复则重装系统后恢复干净数据）；合规与通报（涉及数据泄露或业务连续性影响时，按企业流程与当地法规及时上报管理层与法务/监管）。

二、0–30分钟紧急处置

• 隔离与止损
• 云上优先：在控制台将实例置于隔离网段/暂停实例，仅保留跳板/VPN管理通道；安全组与ACL白名单仅放行业务必需来源IP与端口（如80/443）。
• 物理/系统层：如必须立刻断网，执行“断网但不关机”（便于内存取证），例如：iptables -A INPUT -j DROP；iptables -A OUTPUT -j DROP 或 ifconfig eth0 down。
• 保护现场与快速取证
• 建立应急目录与时间线：mkdir -p /tmp/incident_$(date +%Y%m%d_%H%M%S)；date > timeline.txt；who >> timeline.txt。
• 保存关键快照：ps auxwww > processes.txt；pstree -p > process_tree.txt；lsof > open_files.txt；netstat -antp > network_connections.txt；ss -tuln > socket_stats.txt；必要时对关键文件做MD5/sha256校验。
• 日志与登录取证：/var/log/messages、/var/log/secure（或 auth.log）、last、lastb、crontab -l、/etc/crontab、systemctl list-units --type=service；Web日志（Nginx/Apache）与关键应用日志。
• 临时遏制
• 禁用可疑账户、停止异常服务；封禁异常来源IP；必要时将业务临时切换至维护页/备用实例，避免被用作跳板扩散。

三、30–24小时取证与溯源

• 入侵路径排查
• Web侧：扫描Web目录Webshell（如 find /var/www -user nobody；对近期修改/可疑脚本人工复核），结合 access.log 按时间/IP/UA/请求特征定位攻击入口与参数（如 union select、常见WebShell特征）。
• 认证侧：分析 /var/log/secure 的失败/成功登录，提取爆破IP与成功登录证据（如 grep "Accepted password" /var/log/secure）。
• 持久化：全面核查crontab、systemd服务、/etc/rc.local、/etc/init.d、启动项、内核模块等是否被植入后门。
• 横向渗透：检查内网连接、代理/隧道（如socks5）、同网段主机异常行为。
• 恶意代码与Rootkit检测
• Linux：ClamAV 全盘扫描；rkhunter/chkrootkit 检测Rootkit与篡改；对比/bin/ps、/bin/netstat等关键命令哈希，排查被替换风险。
• 内存与流量：条件允许时对内存镜像做进一步分析；抓取可疑流量（tcpdump -w）并用Wireshark/IDS规则复核。
• 情报与归因
• 对可疑IP/域名/文件HASH查询威胁情报平台（如 VirusTotal、AbuseIPDB），结合UA、频率、路径特征推断攻击工具与团伙特征。

四、根除与恢复

• 清除与修复
• 删除木马文件与关联持久化（crontab、服务、启动脚本、内核模块等）；无法彻底清除或存在内核/引导层Rootkit时，直接重装系统（从官方镜像），再恢复干净数据与配置。
• 凭证与访问控制
• 重置所有账户密码与密钥（含SSH/RDP/数据库/后台），启用MFA；安全组/IP白名单仅放行业务必需来源；管理通道走VPN/跳板机。
• 补丁与加固
• 操作系统与中间件/CMS/插件全面升级；关闭不必要端口与服务；SSH禁用密码登录、仅用密钥；开启防火墙最小暴露面。
• 恢复与验证
• 从干净备份恢复（先离线校验完整性），上线前再次用 ClamAV/rkhunter 与基线检查；恢复后持续监控告警与连接基线，确认无异常外联与反弹。

五、日本节点专项与合规提示

• 网络与架构
• 接入具备日本本地高防节点与流量清洗能力的云厂商；使用高防CDN隐藏源站IP；通过反向代理/负载均衡分散流量；准备备用实例/跨地域容灾与弹性带宽。
• 监控与响应
• 常驻 WAF、IDS/IPS、集中日志审计与告警；建立7×24监控响应机制与演练；对关键业务设置快速切换/回滚预案。
• 合规与通报
• 涉及个人信息泄露、业务中断或重大风险时，按企业流程同步管理层/法务/合规，必要时向日本当地执法或网络安全机构报案或报告，并保留完整取证材料与处置记录。