对症下药——抢救被***的系统

***者***某个 系统，老是由某个主要目的所驱使的。例如炫耀技术，获得企业机密数据，破坏企业正常的业务流程等等，有时也有可能在***后，***者的***行为，由某种目的变成了另外一种目的，例如，原本是炫耀技术，但在进入系统后，发现了一些重要的机密数据，因为利益的驱使，***者最终窃取了这些机密数据。
　　而***者***系统的目的不一样，使用的***方法也会不一样，所形成的影响范围和损失也就不会相同。所以，在处理不一样的系统***事件时，就应当对症下药，不一样的系统***类型，应当以不一样的处理方法来解决，这样，才有可能作到有的放矢，达到最佳的处理效果。
　　 1、 以炫耀技术目的的系统***恢复
　　对于以修改服务内容为目的的系统***活动，能够不须要停机就可改完成系统恢复工做。
　　 1.应当采用的处理方式
　　(1)、创建被***系统当前完整系统快照，或只保存被修改部分的快照，以便过后分析和留做证据。
　　(2)、当即经过备份恢复被修改的网页。
　　(3)、在 Windows系统下，经过网络监控软件或“netstat -an”命令来查看系统目前的网络链接状况，若是发现不正常的网络链接，应当当即断开与它的链接。而后经过查看系统进程、服务和分析系统和服务的日志文件，来检查系统***者在系统中还作了什么样的操做，以便作相应的恢复。
　　(4)、经过分析系统日志文件，或者经过弱点检测工具来了解***者***系统所利用的漏洞。若是***者是利用系统或网络应用程序的漏洞来***系统的，那么，就应当寻找相应的系统或应用程序漏洞 补丁来修补它，若是目前尚未这些漏洞的相关补丁，咱们就应当使用其它的手段来暂时防范再次利用这些漏洞的***活动。若是***者是利用其它方式，例如社会工程方式***系统的，而检查系统中不存在新的漏洞，那么就能够没必要作这一个步骤，而必需对社会工程***实施的对象进行了解和培训。
　　(5)、修复系统或应用程序漏洞后，还应当添加相应的 防火墙规则来防止此类事件的再次发生，若是安装有IDS/IPS和杀毒软件，还应当升级它们的特征库。
　　(6)、最后，使用系统或相应的应用程序检测软件对系统或服务进行一次完全的弱点检测，在检测以前要确保其检测特征库是最新的。全部工做完成后，还应当在后续的一段时间内，安排专人对此系统进行实时监控，以确信系统已经不会再次被此类***事件***。
　　 2.进一步保证***恢复的成果
　　(1)、修改系统管理员或其它用户账户的名称和登陆密码；
　　(2)、修改数据库或其它应用程序的管理员和用户帐户名称和登陆密码；
　　(3)、检查防火墙规则；
　　(4)、若是系统中安装有杀毒软件和IDS/IPS，分别更新它们的 病毒库和***特征库；
　　(5)、从新设置用户权限；
　　(6)、从新设置文件的访问控制规则；
　　(7)、从新设置数据库的访问控制规则；
　　(8)、修改系统中与网络操做相关的全部账户的名称和登陆密码等。
　　当咱们完成上述所示的全部系统恢复和修补 任务后，咱们就能够对系统和服务进行一次彻底备份，而且将新的彻底备份与旧的彻底备份分开保存。
　　在这里要注意的是：对于以控制系统为目的的***活动，***者会千方百计来隐藏本身不被用户发现。他们除了经过修改或删除系统和防火墙等产生的与他操做相关的日志文件外，高明的***还会经过一些软件来修改其所建立、修改文件的基本属性信息，这些基本属性包括文件的最后访问时间，修改时间等，以防止用户经过查看文件属性来了解系统已经被***。所以，在检测系统文件是否被修改时，应当使用RootKit Revealer等软件来进行文件完整性检测。
　　 2、 以获得或损坏系统中机密数据为目的的系统***恢复
　　机密数据对于一些中小企业来讲，能够说是一种生命，例如客户档案，生产计划，新产品研究档案，新产品图库，这些数据要是泄漏给了竞争对象，那么，就有可能形成被***企业的破产。对于抢救以获得、破坏系统中机密数据为目的的系统***活动，要想最大限度地下降***带来的数据损失，最好的方法就是在数据库尚未被攻破以前就阻止***事件的进一步发展。
　　 一、恢复尚未获得或破坏机密数据的被***系统
　　假设咱们发现系统已经被***，而且经过分析系统日志，或者经过直接观察***者对数据库进行的后续***活动，已经了解到机密数据尚未被***者窃取，只是进入了系统而已，那么，咱们就能够按下列方式来应对这样的***活动：若是企业规定在处理这样的系统***事件时，不容许系统停机，那么就应当按这种方式来处理：
　　(1)、当即找到与***源的网络链接并断开，而后经过添加防火墙规则来阻止。一般，当咱们一开始就当即断开与***源的网络链接，***者就会当即察觉到，并由此迅速消失，以防止本身被反向追踪。于是，若是咱们想抓到***者，让他受到法律的惩罚，在知道目前***者进行的******不会对数据库中的机密数据形成影响的前提下，咱们就能够先对系统当前状态作一个快照，用来作过后分析和证据，而后使用IP追捕软件来反向追踪***者，找到后再断开与他的网络链接。
　　不过，咱们要注意的是，进行反向追踪会对正常的系统业务形成必定的影响，同时，若是被***发现，他们有时会作最后一搏，会破坏系统后逃避，于是在追捕的同时要注意安全防范。只是，大部分的企业都是以尽快恢复系统正常运行，减小***损失为主要目的，所以，当即断开与***源的网络链接是最好的处理方式。
　　(2)、对被***系统的当前状态创建快照，以便过后分析和留做证据。
　　(3)、经过分析日志文件和弱点检测工具找到***者***系统的漏洞，而后了解这些系统漏洞是如何获得的。若是漏洞是***者本身分析获得的，那么就可能尚未相应的漏洞修复补丁，于是必需经过其它手段来暂时防范再次利用此漏洞***系统事件的发生；若是漏洞是***者经过互联网获得的，并且漏洞已经出现了至关一段时间，那么就可能存在相应的漏洞修复补丁，此时，就能够到系统供应商创建的服务网站下载这些漏洞补丁修复系统；若是***者是经过社会工程方式获得的漏洞，咱们就应当对当事人和全部员工进行培训，以减小被再次利用的机率。
　　(4)、修改数据库管理员账号名称和登陆密码，从新为操做数据的用户创建新的账户和密码，而且修改数据库的访问规则。至于剩下的系统恢复工做，能够按恢复以控制系统为目的的系统***恢复方式来进行。
　　 二、恢复已经获得或删除了机密数据的被***系统
　　若是当咱们发现系统已经被***时，***者已经获得或删除了系统中所有或部分的机密数据，那么，如今要作的不是试图抢救已经损失了的数据，而是保护没有影响到的数据。因为此类系统***事件已经属于特别严重的***事件，咱们的第一个动做，就是尽快断开与***源的网络链接。
　　若是容许系统停机处理这类严重系统***事件，那么就能够直接拔掉网线的方式断开被***系统与网络的直接链接。当系统仍然不容许停机处理时，就应当经过网络链接监控软件来找到系统与***源的网络链接，而后断开，并在防火墙中添加相应的规则来拦截与***源的网络链接。这样作的目的，就是防止这次系统***事件进一步的恶化，保护其它没有影响到的数据。
　　断开与***源的链接后，咱们就应当当即分析数据损失的范围和严重程度，了解哪些数据尚未被影响到，而后当即将这些没有影响到的数据进行备份或隔离保护。对于丢失了数据的系统***事件，咱们还能够将它概括成如下的三个类别：
　　(1)、数据被窃取。
　　当咱们检测数据库时发现数据并无被删除或修改，可是经过分析系统日志和防火墙日志，了解***者已经进入了数据库，打开了某些数据库表，或者已经复制了这些数据库表，那么就能够肯定***者只是窃取了数据而没有进行其它活动。此时，应当按前面介绍过的方法先恢复系统到正常状态，然修补系统和数据库应用程序的漏洞，并对它们进行弱点检测，发现没有问题后分别作一次彻底备份。还应当修改系统管事员和数据库管理员账户的名称和登陆密码，全部的操做与前面提到过的方式相同。只是多出了数据库的恢复工做。
　　(2)、数据被修改
　　若是咱们在分析数据库受损状况时发现***者并无打开数据库表，而是经过数据库命令增长、修改了数据库某个表中的相关内容。那么，咱们不得不一一找出这些非受权的数据表相关行，而后将它们所有修正或删除。若是修改的内容有关某个行业，例如×××的政府机关，×××的教育机构，或者办理其它各类执照相关单位等，那么，还要将***者修改的内容向外界公布，说明这些被***者修改或添加的内容是无效的，以避免形成没必要要的社会影响。其它的系统和数据库恢复处理方式与数据被窃取方式相同。
　　(3)、数据被删除
　　若是咱们在分析数据库受损状况时，发现***者不只获得了机密数据，并且将系统中的相应数据库表彻底删除了，那么，咱们在断开与其网络链接时，要当即着手恢复这些被删除了的数据。
　　当咱们经过备份的方式来恢复被删除的数据时，在恢复以前，必定要肯定系统被***的具体时间，这样才知道何时的备份是可使用的。这是由于，若是咱们对数据库设置了每日的增量备份，当***者删除其中的内容时，非法修改后的数据库一样被备份了，所以，在***后的增量备份都不可用。一样，若是在系统被***期间，还对数据库进行了彻底备份，那么，这些彻底备份也不可用。
　　若是容许咱们停机进行处理，咱们能够拆下系统上的硬盘，接入其它系统，而后经过文件恢复软件来恢复这些被删除的文件，可是，对于数据库表中内容的删除，咱们只能经过留下的纸质文档，来本身慢慢修正。
　　在这里咱们就能够知道，备份并不能解决全部的系统***问题，但仍然是最快、最有效恢复系统正常的方式之一。经过这咱们还能够知道，及时发现系统已经被***对于抢救系统中的机密数据是多么的重要。
　　 3、 以破坏系统或业务正常运行为目的的系统***恢复
　　当***者***系统的目的，就是为了让系统或系统中的正常业务不能正常运行，若是咱们发现不及时，当这类系统***事件***成功后，就会形成系统意外停机事件和业务意外中断事件。
　　处理这类系统***事件时，已经没有必需再考虑系统需不须要停机处理的问题了，既然系统都已经不能正常运行了，考虑这些都是多余的，最紧要的就是尽快恢复系统正常运行。对于这类事件，也有下列这几种类别，每种类别的处理方式也是有一点区别的：
　　 一、系统运行正常，但业务已经中断
　　对于此类系统***事件，咱们能够不停机进行处理，直接以系统在线方式经过备份来恢复业务的正常运行，但在恢复前要肯定系统被***的具体时间，以及何时的备份可使用，而后按本文前面介绍的相关系统***恢复方式来恢复系统和业务到正常状态。
　　对于没有冗余系统的企业，若是当时很是迫切须要系统业务可以正常运行，那么，也只有在经过备份恢复业务正常运行后直接使用它。但在没有修复系统或应用程序漏洞以前，必需安排专人实时监控系统的运行情况，包括网络链接情况，系统进程情况，经过提升IDS/IPS的检测力度，添加相应的防火墙检测规则来暂时保护系统安全。
　　 二、系统不能正常运行，但系统中与业务相关的内容没有受到破坏 　　此时，咱们首要的任务就是尽快让系统恢复正常运行，可是要保证系统中与业务相关的数据不能受到损害。若是与业务相关的重要数据不在系统分区，那么，将系统从网络中断开后，咱们就能够经过另外保存的系统彻底备份来迅速恢复系统到正常状态，这是最快速的解决方法。 　　可是，若是与业务相关的数据所有或部分存放在系统分区，那么，为了防止当前业务数据的完整性，咱们应当先经过像WinPE光盘系统的方式启动Winpe系统，而后将与业务相关的重要数据所有备份到其它独立的存储设备中，再对系统分区进行备份恢复操做。 　　若是咱们发现系统的彻底备份不可用，咱们就只能在保证与业务相关的重要数据不损失的状况下，进行全新的操做系统安装方式来恢复系统正常运行，而后再安装业务应用程序，来恢复整个系统业务的正常运行。可是，因为这种方式是从新全新安装的操做系统，所以，如没有特殊的要求，应当对系统和应用程序作好相应的安全防范措施并彻底备份后，才将系统连入网络当中。 　　至于剩下的系统恢复工做，能够按恢复以控制系统为目的的系统***恢复方式来进行。