《网络安全应急响应培训》

《攻防瞬息万变，应急必须可控》

——网络安全应急响应培训

主讲：孙灵平老师

【课程背景】

随着企业信息化、数字化建设不断深入，业务系统、服务器、终端设备数量持续增长，网络攻击、恶意入侵、病毒感染、恶意代码渗透等安全事件呈现高频化、多样化、复杂化趋势。等保2.0明确要求必须建立常态化应急响应机制、具备突发事件处置能力、完成事件闭环管理，应急响应能力已经成为网络安全运维人员的必备核心能力。但在日常安全运维与应急处置过程中，维护人员普遍存在以下共性痛点问题：

安全事件发生后慌乱处置，无标准化流程，容易造成攻击扩散、数据二次损坏；

操作系统入侵不会系统排查，只会简单杀毒，无法溯源、无法彻底清后门；

恶意代码清除不彻底，系统恢复后反复感染、反复沦陷；

本课程基于网络安全应急响应全生命周期管理理念，结合安全事件案例、标准化处置流程与实操工具，系统梳理入侵排查、事件研判、病毒处置、系统恢复、事后加固的完整体系，帮助运维人员快速补齐应急短板，实现遇事不慌、排查精准、处置规范、闭环到位。

【课程收益】

熟练掌握Windows系统入侵特征识别、全维度排查方法与现场应急处置手段，快速处置常见入侵事件。

精通Windows典型安全事件研判逻辑、处置步骤，解决暴力破解、后门植入、权限劫持等高频问题。

掌握Linux服务器专项入侵排查命令、排查维度与处置策略，精准排查隐蔽后门、恶意进程与定时任务。

掌握标准化应急响应综合处置流程，实现事件发现、研判、隔离、溯源、处置、恢复全流程闭环。

掌握勒索病毒、挖矿木马两类高危事件的专项止损、查杀、封堵、加固方案，有效规避重大安全损失。

掌握恶意代码彻底清除、系统修复、业务恢复、基线加固全套实操方法，杜绝二次感染与后门残留。

【课程对象】网络安全运维人员、系统管理员、信息化值班人员、安全合规人员、应急值守与处置岗位人员

【课程时间】0.5天（6小时/天）

【课程大纲】

Windows入侵排查与处置——终端服务器常规入侵实战排查

1. Windows系统入侵典型特征汇总：

异常账号

异常进程

异常端口

异常外联

开机自启篡改

计划任务异常

日志异常

关键文件新增篡改

2. 账号安全专项排查：

可疑管理员账号

隐藏账号

克隆账号

权限越权账号识别与清理

3. 进程与服务排查：

伪装系统恶意进程

后台驻留进程

异常服务启动核查与终止处置

4. 网络行为排查：

异常开放端口、

陌生IP外联、

远程服务异常开启排查与封堵

5. 日志溯源排查：

安全日志

登录日志

系统日志审计

溯源暴力破解

非法登录

异常操作

6. 启动项与计划任务排查：

恶意开机启动程序

定时恶意脚本筛查与清除

7. 现场应急处置规范：

可疑账号禁用

恶意进程查杀

高危端口封堵

攻击源阻断

临时隔离防护

二、Windows典型事件应急

1. Webshell入侵应急

确认入侵

隔离与取证

Webshell排查

清除与加固

2. 暴力破解攻击应急

识别攻击：安全日志告警、异常登录模式、异常IP来源

评估影响：登录后操作审计、帐户变更检查、横向移动排查

遏制威胁：帐户紧急处置、攻击源封禁、强化访问控制

加固措施：源地址限制、服务加固、加强手段建设

三、Linux入侵排查与处置

1. Linux入侵排查概述

基础进程查看

深入分析

网络与连接

文件与日志

2. Linux进程排查

非结构化面试优化

关键行为面试实操

隐藏进程检测

3、Linux网络连接排查

网络连接状态查看

排查重点

防火墙检查

4、Linux文件系统排查

系统目录

配置目录

临时目录

内存目录

Web目录

排查技巧

5、Linux日志分析

系统日志

认证日志

Web日志

6、Linux后门排查

检查计划任务目录

检查SSH配置

检查PAM配置

检查异常启动项

检查用户帐户

检查特权帐户

四、应急响应综合处置

1. 应急响应流程：

事件发现

事件研判

隔离遏制

排查溯源

清除处置

恢复加固

2. 网络安全事件分级标准：

一般、较大、重大事件判定依据与响应要求

3. 攻击遏制核心动作：

主机隔离

网络阻断

业务保护

权限锁定

横向扩散阻断

4. 全方位溯源分析：

攻击入口溯源、攻击路径溯源、影响范围溯源、漏洞根源溯源

5. 应急处置合规留痕：

过程记录、证据保存、台账更新、闭环归档

6. 事后复盘与长效整改：

问题复盘、漏洞整改、策略优化、制度完善、常态化防护升级

五、勒索病毒、挖矿木马专项处置

1. 挖矿木马专项处置

挖矿木马识别特征：系统资源异常占用、设备卡顿、隐蔽后台进程、外联矿池IP、开机自启驻留

挖矿木马应急响应流程：确认挖矿行为、定位挖矿程序、清除挖矿程序、加固与监控

2. 勒索病毒专项处置

勒索病毒感染特征：文件批量加密、后缀变更、勒索文档生成、业务系统瘫痪

勒索病毒应急响应流程：立即断网隔离、保留勒索文件加密文件样本、确认加密文件范围、阻断横向扩散、保护未感染数据、清除病毒进程与文件、及时安装系统补丁、禁用病毒传播端口、修复漏洞、恢复文件、加强手段建设

六、勒索病毒、挖矿木马专项处置

1. 恶意代码全方位清除：

进程清理、启动项清理、注册表修复、恶意脚本删除、隐藏后门查杀、残留文件清零

2. 系统异常修复：

权限修复、服务重置、网络配置还原、日志功能修复、系统基线恢复

3. 数据与业务恢复规范：

备份校验、数据恢复、灰度上线、恢复后安全核查

4. 事件后安全加固：

全员密码重置、权限收紧、漏洞补丁更新、安全策略优化、基线核查

5. 二次风险复核机制：

恢复后全维度复查，确保无后门残留、无恶意代码驻留、无安全漏洞