计算机安全检测
Linux
进程检查
使用“top”命令或“ps -aux”命令查看进程,检查进程名字异常(如随机数)或者在非常规目录(如/tmp)情况,检查CPU、内存占用过高进程。
网络连接检查
使用命令“netstat -ano”查看当前的网络连接,检查本地端口开放及外部连接情况。
启动项检查
检查计划任务命令:crontab -l
检查服务启动项:ls -alt /etc/init.d/
检查开机启动项程序:cat /etc/rc.local
账户检查
使用“cat /etc/passwd”命令查看passwd文件内容,根据每行第三段用户UID,检查除root用户外是否存在其他用户的UID为0,以及其他非正常用户信息。
登陆日志检查
查看位于/var/log/secure的Linux SSH登录日志会存储中,是否出现连续大量的登录错误信息,是否遭受口令破解攻击。
可疑命令检查
使用如下命令筛选可疑历史命令:history | grep -E "(whois|sqlmap|nmap|tar|wget|zip|miner)" | grep-vgrep
检查是否曾被执行涉及资产探测、病毒传播的恶意指令。
内网环境检查
隔离检查
使用 ARP、ICMP 探测,确认内网不同系统是否有安全隔离。
内网扫描
授权情况下开展内网探测、高危漏洞检测。推荐fscan、routerscan。
网站应用检查
日志检查
检查网站中间件日志记录,网站用户登陆、重要操作日志记录是否完整,是否存在异常。
上传检查
检查是否允许上传任意类型文件,找上传点尝试上传恶意后缀文件。
网站后门检查
Windows 系统使用 D 盾、Linux 系统使用河马,进行恶意后门检测。
漏洞检查
检查中间件或者其他组件版本查询是否存在漏洞。
权限检查
检查网站目录权限,上传等敏感路径遵守权限最小化原则,防止恶意后门执行。
口令检查
检查网站后台、管理员账户密码是否弱口令。
数据库检查
口令检查
检查数据库口令是否符合安全要求,是否存在Redis 未授权等权限配置风险。
字段检查
检查数据库敏感字段是否加密存储。
日志检查
检查日志是否正常留存,查看日志是否记录恶意攻击。
MySQL查看日志存放路径:show variables like 'general_log_file'
Oracle日志存放路径:showparameter dump
备份检查
检查是否有数据库备份机制,是否有应对数据勒索、篡改攻击应对措施。
Windows
补丁安装情况
通过命令行“systeminfo”获取系统版本、主机名称以及补丁安装情况。检查补丁是否及时修复,Windows 系统重点关注漏洞。
进程检查
任务管理器或者tasklis 命令,查看是否有可疑进程,对 CPU、内存过高进程检查是否是挖矿病毒。第三方工具推荐processhacker。
网络连接检查
使用 netstat -ano 命令,检查本机端口开放情况,检查可疑外部连接。本地高端口访问远程固定端口的情况,才称为可疑外部连接。外部 IP 高端口访问本地固定端口的不作为异常情况。
启动项检查
使用“msconfig”、“taskschd.msc”命令,检查本地启动项、服务、计划任务是否存在可疑项目。第三方工具推荐Autoruns。5)账户检查
使用“net user”命令查看系统账户,检查可疑账户,管理员不认识账户。
登陆日志检查
使用“eventvwr”命令,打开“Windows 日志”/“安全”,筛选事件 ID“4624”,查看成功登陆系统的事件,筛选事件ID“4625”,查看异常登陆情况。检查访问源IP 是否有异常,是否有内网攻击。
![微信公众号二维码](https://images.cnblogs.com/cnblogs_com/aeolian/1679458/o_wechat_gzh_qrcode.jpg)