名　創(chuàng)

攻擊者入侵某個(gè)系統(tǒng)，總是由某個(gè)主要目的所驅(qū)使的。例如炫耀技術(shù)、得到企業(yè)機(jī)密數(shù)據(jù)、破壞企業(yè)正常的業(yè)務(wù)流程等等。有時(shí)也有可能在入侵后，攻擊者的攻擊行為由某種目的變成了另一種目的，例如：本來是炫耀技術(shù)，但在進(jìn)入系統(tǒng)后，發(fā)現(xiàn)了一些重要的機(jī)密數(shù)據(jù)，由于利益的驅(qū)使，攻擊者最終竊取了這些機(jī)密數(shù)據(jù)。

而攻擊者入侵系統(tǒng)的目的不同，使用的攻擊方法也會(huì)不同，所造成的影響范圍和損失也就不會(huì)相同。因此，在處理不同的系統(tǒng)入侵事件時(shí)，就應(yīng)當(dāng)對(duì)癥下藥。不同的系統(tǒng)入侵類型，應(yīng)當(dāng)以不同的處理方法來解決，這樣，才有可能做到有的放矢，達(dá)到最佳的處理效果。

一、以炫耀技術(shù)為目的的系統(tǒng)入侵恢復(fù)

對(duì)于以修改服務(wù)內(nèi)容為目的的系統(tǒng)入侵活動(dòng)，不需要停機(jī)就可以完成系統(tǒng)恢復(fù)工作。

1、應(yīng)當(dāng)采用的處理方式

(1)建立被入侵系統(tǒng)當(dāng)前完整的系統(tǒng)快照，或只保存被修改部分的快照，以便事后分析和留作證據(jù)。

(2)立即通過備份恢復(fù)被修改的網(wǎng)頁。

(3)在Windows系統(tǒng)下，通過網(wǎng)絡(luò)監(jiān)控軟件或“netsiat-an”命令來查看系統(tǒng)目前的網(wǎng)絡(luò)連接情況，如果發(fā)現(xiàn)不正常的網(wǎng)絡(luò)連接，應(yīng)當(dāng)立即斷開與它的連接。然后通過查看系統(tǒng)進(jìn)程、服務(wù)和分析系統(tǒng)和服務(wù)的日志文件，來檢查系統(tǒng)攻擊者在系統(tǒng)中還做了什么樣的操作，以便做相應(yīng)的恢復(fù)。

(4)通過分析系統(tǒng)日志文件，或者通過弱點(diǎn)檢測(cè)工具來了解攻擊者入侵系統(tǒng)所利用的漏洞。如果攻擊者是利用系統(tǒng)或網(wǎng)絡(luò)應(yīng)用程序的漏洞來入侵系統(tǒng)的，那么，就應(yīng)當(dāng)尋找相應(yīng)的系統(tǒng)或應(yīng)用程序漏洞補(bǔ)丁來修補(bǔ)它，如果目前還沒有這些漏洞的相關(guān)補(bǔ)丁。我們就應(yīng)當(dāng)使用其他的手段來暫時(shí)防范再次利用這些漏洞的入侵活動(dòng)。如果攻擊者是利用其他方式，例如社會(huì)工程方式入侵系統(tǒng)的，而檢查系統(tǒng)中不存在新的漏洞，那么就可以不必進(jìn)行這一個(gè)步驟，而必須對(duì)社會(huì)工程攻擊實(shí)施的對(duì)象進(jìn)行了解和培訓(xùn)。

(5)修復(fù)系統(tǒng)或應(yīng)用程序漏洞后，還應(yīng)當(dāng)添加相應(yīng)的防火墻規(guī)則來防止此類事件的再次發(fā)生，如果安裝有IDS/IPS和殺毒軟件，還應(yīng)當(dāng)升級(jí)它們的特征庫。

(6)最后，使用系統(tǒng)或相應(yīng)的應(yīng)用程序檢測(cè)軟件對(duì)系統(tǒng)或服務(wù)進(jìn)行一次徹底的弱點(diǎn)檢測(cè)，在檢測(cè)之前要確保其檢測(cè)特征庫是最新的。所有工作完成后，還應(yīng)當(dāng)在后續(xù)的一段時(shí)間內(nèi)，安排專人對(duì)此系統(tǒng)進(jìn)行實(shí)時(shí)監(jiān)控，以確信系統(tǒng)已經(jīng)不會(huì)再次被此類入侵事件攻擊。

2、進(jìn)一步保證入侵恢復(fù)的成果

(1)修改系統(tǒng)管理員或其他用戶賬戶的名稱和登錄密碼；

(2)修改數(shù)據(jù)庫或其他應(yīng)用程序的管理員和用戶賬戶名稱和登錄密碼；

(3)檢查防火墻規(guī)則；

(4)如果系統(tǒng)中安裝有殺毒軟件和IDS／IPS。分別更新它們的病毒庫和攻擊特征庫：

(5)重新設(shè)置用戶權(quán)限；

(6)重新設(shè)置文件的訪問控制規(guī)則；

(7)重新設(shè)置數(shù)據(jù)庫的訪問控制規(guī)則；

(8)修改系統(tǒng)中與網(wǎng)絡(luò)操作相關(guān)的所有賬戶的名稱和登錄密碼等。

當(dāng)我們完成上述的所有系統(tǒng)恢復(fù)和修補(bǔ)任務(wù)后，我們就可以對(duì)系統(tǒng)和服務(wù)進(jìn)行一次完全備份，并且將新的完全備份與舊的完全備份分開保存。

在這里要注意的是：對(duì)于以控制系統(tǒng)為目的的入侵活動(dòng)，攻擊者會(huì)想方設(shè)法來隱藏自己不被用戶發(fā)現(xiàn)。他們除了通過修改或刪除系統(tǒng)和防火墻等產(chǎn)生的與他的操作相關(guān)的日志文件外，高明的黑客還會(huì)通過一些軟件來修改其所創(chuàng)建、修改文件的基本屬性信息，這些基本屬性包括文件的最后訪問時(shí)間、修改時(shí)間等，以防止用戶通過查看文件屬性來了解系統(tǒng)已經(jīng)被入侵。因此，在檢測(cè)系統(tǒng)文件是否被修改時(shí)，應(yīng)當(dāng)使用RootKit Revealer等軟件來進(jìn)行文件完整性檢測(cè)。

二、以得到或損壞系統(tǒng)中機(jī)密數(shù)據(jù)為目的的系統(tǒng)入侵恢復(fù)

機(jī)密數(shù)據(jù)對(duì)于一些中小企業(yè)來說，可以說是一種生命，例如客戶檔案、生產(chǎn)計(jì)劃、新產(chǎn)品研究檔案、新產(chǎn)品圖庫，這些數(shù)據(jù)要是泄漏給了競(jìng)爭(zhēng)對(duì)象，那么，就有可能造成被入侵企業(yè)的破產(chǎn)。對(duì)于搶救以得到、破壞系統(tǒng)中機(jī)密數(shù)據(jù)為目的的系統(tǒng)入侵活動(dòng)，要想最大限度地降低入侵帶來的數(shù)據(jù)損失，最好的方法就是在數(shù)據(jù)庫還沒有被攻破之前就阻止入侵事件的進(jìn)一步發(fā)展。

1、恢復(fù)還沒有得到或破壞機(jī)密數(shù)據(jù)的被入侵系統(tǒng)

假設(shè)我們發(fā)現(xiàn)系統(tǒng)已經(jīng)被入侵，并且通過分析系統(tǒng)日志，或者通過直接觀察攻擊者對(duì)數(shù)據(jù)庫進(jìn)行的后續(xù)入侵活動(dòng)，已經(jīng)了解到機(jī)密數(shù)據(jù)還沒有被攻擊者竊取，只是進(jìn)入了系統(tǒng)而已。那么，我們就可以按下列方式來應(yīng)對(duì)這樣的入侵活動(dòng)：如果企業(yè)規(guī)定在處理這樣的系統(tǒng)入侵事件時(shí)，不允許系統(tǒng)停機(jī)，那么就應(yīng)當(dāng)按這種方式來處理。

(1)立即找到與攻擊源的網(wǎng)絡(luò)連接并斷開。然后通過添加防火墻規(guī)則來阻止。通常，當(dāng)我們一開始就立即斷開與攻擊源的網(wǎng)絡(luò)連接。攻擊者就會(huì)立即察覺到。并由此迅速消失，以防止自己被反向追蹤。因而，如果我們想抓到攻擊者，讓他受到法律的懲罰。在知道目前攻擊者進(jìn)行的入侵攻擊不會(huì)對(duì)數(shù)據(jù)庫中的機(jī)密數(shù)據(jù)造成影響的前提下，我們就可以先對(duì)系統(tǒng)當(dāng)前狀態(tài)做一個(gè)快照，用來做事后分析和證據(jù)，然后使用IP追捕軟件來反向追蹤攻擊者，找到后再斷開與他的網(wǎng)絡(luò)連接。

不過。我們要注意的是，進(jìn)行反向追蹤會(huì)對(duì)正常的系統(tǒng)業(yè)務(wù)造成一定的影響，同時(shí)，如果被黑客發(fā)現(xiàn)，他們有時(shí)會(huì)做最后一搏，會(huì)破壞系統(tǒng)后逃避，因而在追捕的同時(shí)要注意安全防范。只是，大部分的企業(yè)都是以盡快恢復(fù)系統(tǒng)正常運(yùn)行，減少入侵損失為主要目的，因此，立即斷開與攻擊源的網(wǎng)絡(luò)連接是最好的處理方式。

(2)對(duì)被入侵系統(tǒng)的當(dāng)前狀態(tài)建立快照，以便事后分析和留作證據(jù)。

(3)通過分析日志文件和弱點(diǎn)檢測(cè)工具找到攻擊者入侵系統(tǒng)的漏洞，然后了解這些系統(tǒng)漏洞是如何得到的。如果漏洞是攻擊者自己分析得到的，那么就可能還沒有相應(yīng)的漏洞修復(fù)補(bǔ)丁，因而必須通過其他手段來暫時(shí)防范再次利用此漏洞入侵系統(tǒng)事件的發(fā)生；如果漏洞是攻擊者通過互聯(lián)網(wǎng)得到的，而且漏洞已經(jīng)出現(xiàn)了相當(dāng)一段時(shí)間，那么就可能存在相應(yīng)的漏洞修復(fù)補(bǔ)丁。此時(shí)，就可以到系統(tǒng)供應(yīng)商建立的服務(wù)網(wǎng)站下載這些漏洞補(bǔ)丁修復(fù)系統(tǒng)；如果攻擊者是通過社會(huì)工程方式得到的漏洞。我們就應(yīng)當(dāng)對(duì)當(dāng)事人和所有員工進(jìn)行培訓(xùn)。以減少被再次利用的機(jī)率。

(4)修改數(shù)據(jù)庫管理員賬號(hào)名稱和登錄密碼，重新為操作數(shù)據(jù)的用戶建立新的賬戶和密碼，并且修改數(shù)據(jù)庫的訪問規(guī)則。至于剩下的系統(tǒng)恢復(fù)工作，可以按恢復(fù)以控制系統(tǒng)為目的的系統(tǒng)入侵恢復(fù)方式來進(jìn)行。

2、恢復(fù)已經(jīng)得到或刪除了機(jī)密數(shù)據(jù)的被入侵系統(tǒng)

如果當(dāng)我們發(fā)現(xiàn)系統(tǒng)已經(jīng)被入侵時(shí)，攻擊者已經(jīng)得到或刪除了系統(tǒng)中全部或部分的機(jī)密數(shù)據(jù)，那么，現(xiàn)在要做的不是試圖搶救已經(jīng)損失了的數(shù)據(jù)，而是保護(hù)沒有影響到的數(shù)據(jù)。由于此類系統(tǒng)入侵事件已經(jīng)

屬于特別嚴(yán)重的入侵事件，我們的第一個(gè)動(dòng)作，就是盡快斷開與攻擊源的網(wǎng)絡(luò)連接。

如果允許系統(tǒng)停機(jī)處理這類嚴(yán)重系統(tǒng)入侵事件，那么就可以直接拔掉網(wǎng)線斷開被入侵系統(tǒng)與網(wǎng)絡(luò)的直接連接。當(dāng)系統(tǒng)仍然不允許停機(jī)處理時(shí)，就應(yīng)當(dāng)通過網(wǎng)絡(luò)連接監(jiān)控軟件來找到系統(tǒng)與攻擊源的網(wǎng)絡(luò)連接，然后斷開，并在防火墻中添加相應(yīng)的規(guī)則來攔截與攻擊源的網(wǎng)絡(luò)連接。這樣做的目的。就是防止此次系統(tǒng)入侵事件進(jìn)一步的惡化，保護(hù)其他沒有影響到的數(shù)據(jù)。

斷開與攻擊源的連接后，我們就應(yīng)當(dāng)立即分析數(shù)據(jù)損失的范圍和嚴(yán)重程度，了解哪些數(shù)據(jù)還沒有被影響到，然后立即將這些沒有影響到的數(shù)據(jù)進(jìn)行備份或隔離保護(hù)。對(duì)于丟失了數(shù)據(jù)的系統(tǒng)入侵事件，我們還可以將它歸納成以下的三個(gè)類別：

(1)數(shù)據(jù)被竊取

當(dāng)我們檢測(cè)數(shù)據(jù)庫時(shí)發(fā)現(xiàn)數(shù)據(jù)并沒有被刪除或修改，但是通過分析系統(tǒng)日志和防火墻日志，了解攻擊者已經(jīng)進(jìn)入了數(shù)據(jù)庫，打開了某些數(shù)據(jù)庫表，或者已經(jīng)復(fù)制了這些數(shù)據(jù)庫表，那么就可以確定攻擊者只是竊取了數(shù)據(jù)而沒有進(jìn)行其他活動(dòng)。此時(shí)，應(yīng)當(dāng)按前面介紹過的方法先恢復(fù)系統(tǒng)到正常狀態(tài)，然后修補(bǔ)系統(tǒng)和數(shù)據(jù)庫應(yīng)用程序的漏洞，并對(duì)它們進(jìn)行弱點(diǎn)檢測(cè)，發(fā)現(xiàn)沒有問題后分別做一次完全備份。還應(yīng)當(dāng)修改系統(tǒng)管理員和數(shù)據(jù)庫管理員賬戶的名稱和登錄密碼，所有的操作與前面提到過的方式相同，只是多出了數(shù)據(jù)庫的恢復(fù)工作。

(2)數(shù)據(jù)被修改

如果我們?cè)诜治鰯?shù)據(jù)庫受損情況時(shí)，發(fā)現(xiàn)攻擊者并沒有打開數(shù)據(jù)庫表，而是通過數(shù)據(jù)庫命令增加、修改了數(shù)據(jù)庫某個(gè)表中的相關(guān)內(nèi)容。那么，我們不得不一一找出這些非授權(quán)的數(shù)據(jù)表相關(guān)行，然后將它們?nèi)啃拚騽h除。如果修改的內(nèi)容有關(guān)某個(gè)行業(yè)，例如辦理駕駛證的政府機(jī)關(guān)，辦理畢業(yè)證的教育機(jī)構(gòu)，或者辦理其他各種執(zhí)照的相關(guān)單位等，那么，還要將攻擊者修改的內(nèi)容向外界公布，說明這些被攻擊者修改或添加的內(nèi)容是無效的，以免造成不必要的社會(huì)影響。其他的系統(tǒng)和數(shù)據(jù)庫恢復(fù)處理方式與數(shù)據(jù)被竊取方式相同。

(3)數(shù)據(jù)被刪除

如果我們?cè)诜治鰯?shù)據(jù)庫受損情況時(shí)，發(fā)現(xiàn)攻擊者不僅得到了機(jī)密數(shù)據(jù)，而且將系統(tǒng)中的相應(yīng)數(shù)據(jù)庫表完全刪除了，那么，我們?cè)跀嚅_與其網(wǎng)絡(luò)連接時(shí)，要立即著手恢復(fù)這些被刪除了的數(shù)據(jù)。

當(dāng)我們通過備份的方式來恢復(fù)被刪除的數(shù)據(jù)時(shí)，在恢復(fù)之前，一定要確定系統(tǒng)被入侵的具體時(shí)間，這樣才知道什么時(shí)候的備份是可以使用的。這是因?yàn)?，如果我們?duì)數(shù)據(jù)庫設(shè)置了每日的增量備份，當(dāng)攻擊者刪除其中的內(nèi)容時(shí)，非法修改后的數(shù)據(jù)庫同樣被備份了，因此，在入侵后的增量備份都不可用。同樣，如果在系統(tǒng)被入侵期間。還對(duì)數(shù)據(jù)庫進(jìn)行了完全備份，那么。這些完全備份也不可用。

如果允許我們停機(jī)進(jìn)行處理，我們可以拆下系統(tǒng)上的硬盤，接入其他系統(tǒng)，然后通過文件恢復(fù)軟件來恢復(fù)這些被刪除的文件。但是，對(duì)于數(shù)據(jù)庫表中內(nèi)容的刪除，我們只能通過留下的紙質(zhì)文檔，來自己慢慢修正。

在這里我們就可以知道，備份并不能解決所有的系統(tǒng)入侵問題，但仍然是最快、最有效恢復(fù)系統(tǒng)正常的方式之一。我們還可以知道，及時(shí)發(fā)現(xiàn)系統(tǒng)已經(jīng)被入侵對(duì)于搶救系統(tǒng)中的機(jī)密數(shù)據(jù)是多么的重要。

三、以破壞系統(tǒng)或業(yè)務(wù)正常運(yùn)行為目的的系統(tǒng)入侵恢復(fù)

當(dāng)攻擊者入侵系統(tǒng)的目的，就是為了讓系統(tǒng)或系統(tǒng)中的正常業(yè)務(wù)不能正常運(yùn)行，如果我們發(fā)現(xiàn)不及時(shí)，當(dāng)這類系統(tǒng)入侵事件攻擊成功后，就會(huì)造成系統(tǒng)意外停機(jī)事件和業(yè)務(wù)意外中斷事件。

處理這類系統(tǒng)入侵事件時(shí)，已經(jīng)沒有必要再考慮系統(tǒng)需不需要停機(jī)處理的問題了，既然系統(tǒng)都已經(jīng)不能正常運(yùn)行了，考慮這些都是多余的，最緊要的就是盡快恢復(fù)系統(tǒng)正常運(yùn)行。對(duì)于這類事件，也有下列這幾種類別，每種類別的處理方式也是有一點(diǎn)區(qū)別的：

1、系統(tǒng)運(yùn)行正常，但業(yè)務(wù)已經(jīng)中斷

對(duì)于此類系統(tǒng)入侵事件，我們可以不停機(jī)進(jìn)行處理，直接以系統(tǒng)在線方式通過備份來恢復(fù)業(yè)務(wù)的正常運(yùn)行，但在恢復(fù)前要確定系統(tǒng)被入侵的具體時(shí)間，以及什么時(shí)候的備份可以使用，然后按本文前面介紹的相關(guān)系統(tǒng)入侵恢復(fù)方式來恢復(fù)系統(tǒng)和業(yè)務(wù)到正常狀態(tài)。

對(duì)于沒有冗余系統(tǒng)的企業(yè)，如果當(dāng)時(shí)非常迫切需要系統(tǒng)業(yè)務(wù)能夠正常運(yùn)行，那么，也只有在通過備份恢復(fù)業(yè)務(wù)正常運(yùn)行后直接使用它。但在沒有修復(fù)系統(tǒng)或應(yīng)用程序漏洞之前，必須安排專人實(shí)時(shí)監(jiān)控系統(tǒng)的運(yùn)行狀況，包括網(wǎng)絡(luò)連接狀況、系統(tǒng)進(jìn)程狀況。通過提高IDS／IPS的檢測(cè)力度。添加相應(yīng)的防火墻檢測(cè)規(guī)則來暫時(shí)保護(hù)系統(tǒng)安全。

2、系統(tǒng)不能正常運(yùn)行。但系統(tǒng)中與業(yè)務(wù)相關(guān)的內(nèi)容沒有受到破壞

此時(shí)，我們首要的任務(wù)就是盡快讓系統(tǒng)恢復(fù)正常運(yùn)行，但是要保證系統(tǒng)中與業(yè)務(wù)相關(guān)的數(shù)據(jù)不能受到損害。如果與業(yè)務(wù)相關(guān)的重要數(shù)據(jù)不在系統(tǒng)分區(qū)，那么，將系統(tǒng)從網(wǎng)絡(luò)中斷開后，我們就可以通過另外保存的系統(tǒng)完全備份來迅速恢復(fù)系統(tǒng)到正常狀態(tài)，這是最快速的解決方法。

但是，如果與業(yè)務(wù)相關(guān)的數(shù)據(jù)全部或部分存放在系統(tǒng)分區(qū)，那么，為了保證當(dāng)前業(yè)務(wù)數(shù)據(jù)的完整性，我們應(yīng)當(dāng)先通過像winPE光盤系統(tǒng)的方式啟動(dòng)WinPE系統(tǒng)，然后將與業(yè)務(wù)相關(guān)的重要數(shù)據(jù)全部備份到其他獨(dú)立的存儲(chǔ)設(shè)備中，再對(duì)系統(tǒng)分區(qū)進(jìn)行備份恢復(fù)操作。

如果我們發(fā)現(xiàn)系統(tǒng)的完全備份不可用。我們就只能在保證與業(yè)務(wù)相關(guān)的重要數(shù)據(jù)不損失的情況下，通過全新的操作系統(tǒng)安裝方式來恢復(fù)系統(tǒng)正常運(yùn)行，然后再安裝業(yè)務(wù)應(yīng)用程序，來恢復(fù)整個(gè)系統(tǒng)業(yè)務(wù)的正常運(yùn)行。但是，由于這種方式是重新全新安裝操作系統(tǒng)，因此。如沒有特殊的要求，應(yīng)當(dāng)對(duì)系統(tǒng)和應(yīng)用程序做好相應(yīng)的安全防范措施并完全備份后，才將系統(tǒng)連入網(wǎng)絡(luò)當(dāng)中。

至于剩下的系統(tǒng)恢復(fù)工作，可以按恢復(fù)以控制系統(tǒng)為目的的系統(tǒng)入侵恢復(fù)方式來進(jìn)行。