被入侵系统恢复指南.docVIP

被入侵系统恢复指南? ??? 本文主要讲述UNIX或者NT系统如果被侵入，应该如何应对。?　　注意:你在系统恢复过程中的所有步骤都应该与你所在组织的网络安全策略相符。?A.准备工作?1.商讨安全策略?　　如果你的组织没有自己的安全策略，那么需要按照以下步骤建立自己的安全策略。?1.1.和管理人员协商?　　将入侵事故通知管理人员，可能在有的组织中很重要。在be?aware进行事故恢复的时候，网络管理人员能够得到内部各部门的配合。也应该明白入侵可能引起传媒的注意。?1.2.和法律顾问协商?　　在开始你的恢复工作之前，你的组织需要决定是否进行法律调查。?　　注意CERT(Computer?Emergency?Response?Team)只提供技术方面的帮助和提高网络主机对安全事件的反应速度。它们不会提出法律方面的建议。所以，对于法律方面的问题建议你咨询自己的法律顾问。你的法律顾问能够告诉你入侵者应该承担的法律责任(民事的或者是刑事的)，以及有关的法律程序。?　　现在，是你决定如何处理这起事故的时候了，你可以加强自己系统的安全或者选择报警。?　　如果你想找出入侵者是谁，建议你与管理人员协商并咨询法律顾问，看看入侵者是否触犯了地方或者全国的法律。根据这些，你可以报案，看看警方是否愿意对此进行调查。?　　针对与入侵事件，你应该与管理人员和法律顾问讨论以下问题：?　　如果你要追踪入侵者或者跟踪网络连接，是否会触犯法律。?　　如果你的站点已经意识到入侵但是没有采取措施阻止，要承担什么法律责任。?　　入侵者是否触犯了全国或者本地的法律。?　　是否需要进行调查。?　　是否应该报警。?1.3.报警?　　通常，如果你想进行任何类型的调查或者?***?入侵者，最好先跟管理人员和法律顾问商量以下。然后通知有关执法机构。?　　一定要记住，除非执法部门的参与，否则你对入侵者进行的一切跟踪都可能是非法的。?1.4.知会其他有关人员?　　除了管理者和法律顾问之外，你还需要通知你的恢复工作可能影响到的人员，例如其他网络管理人员和用户。?2.记录恢复过程中所有的步骤?　　毫不夸张地讲，记录恢复过程中你采取的每一步措施，是非常重要的。恢复一个被侵入的系统是一件很麻烦的事，要耗费大量的时间，因此经常会使人作出一些草率的决定。记录自己所做的每一步可以帮助你避免作出草率的决定，还可以留作以后的参考。记录还可能对法律调查提供帮助。?B.夺回对系统的控制权?1.将被侵入的系统从网络上断开?　　为了夺回对被侵入系统的控制权，你需要将其从网络上断开，包括播号连接。断开以后，你可能想进入UNIX系统的单用户模式或者NT的本地管理者(local?administrator)模式，以夺回系统控制权。然而，重启或者切换到单用户/本地管理者模式，会丢失一些有用的信息，因为被侵入系统当前运行的所有进程都会被杀死。?　　因此，你可能需要进入C.5.检查网络嗅探器节，以确定被侵入的系统是否有网络嗅探器正在运行。?　　在对系统进行恢复的过程中，如果系统处于UNIX单用户模式下，会阻止用户、入侵者和入侵进程对系统的访问或者切换主机的运行状态。?如果在恢复过程中，没有断开被侵入系统和网络的连接，在你进行恢复的过程中，入侵者就可能连接到你的主机，破坏你的恢复工作。?2.复制一份被侵入系统的影象?　　在进行入侵分析之前，建议你备份被侵入的系统。以后，你可能会用得着。?　　如果有一个相同大小和类型的硬盘，你就可以使用UNIX命令dd将被侵入系统复制到这个硬盘。?　　例如，在一个有两个SCSI硬盘的Linux系统，以下命令将在相同大小和类型的备份硬盘(/dev/sdb)上复制被侵入系统(在/dev/sda盘上)的一个精确拷贝。?#?dd?if=/dev/sda?of=/dev/sdb?　　请阅读dd命令的手册页获得这个命令更详细的信息。?　　还有一些其它的方法备份被侵入的系统。在NT系统中没有类似于dd的内置命令，你可以使用一些第三方的程序复制被侵入系统的整个硬盘影象。?　　建立一个备份非常重要，你可能会需要将系统恢复到侵入刚被发现时的状态。它对法律调查可能有帮助。记录下备份的卷标、标志和日期，然后保存到一个安全的地方以保持数据的完整性。?C.入侵分析?　　现在你可以审查日志文件和系统配置文件了，检查入侵的蛛丝马迹，入侵者对系统的修改，和系统配置的脆弱性。?1.检查入侵者对系统软件和配置文件的修改?　　a.校验系统中所有的二进制文件?　　在检查入侵者对系统软件和配置文件的修改时，一定要记住:你使用的校验工具本身可能已经被修改过，操作系统的内核也有可能被修改了，这非常普遍。因此，建议你使用一个可信任的内核启动系统，而且你使用的所