一、案例背景: 内网用户主机感染病毒后沦为跳板机,通过文件共享服务传播内网其他的主机,进行横向攻击 二、处理过程: 1. 内网业务服务器(192.168.x.x)使用某公司EDR进行全盘查杀,发现存在多达2000+条恶意文件。将恶意文件一键隔离后,重新扫描依然存在数量巨多的恶意文件。恶意文件会占用服务器处理性能,导致服务器运行卡顿。
2 .EDR隔离区提取病毒恶意文件样本,在某公司维安全基百科和两个权威病毒网站上查询都是恶意的,lnk快捷方式中携带了恶意域名链接
3.查看edr杀毒安全日志,文件夹有被写入一些病毒,被EDR拦截了 4.部署某公司安全态势感知平台,分析网络中存在的威胁流量,同时联动EDR
5. 通过分析态势感知平台,发现192.168.x.x存在病毒扩散行为到业务服务器192.168.x.x
6.定位到病毒源头后,确认192.168.1.234和192.168.1.4之间不需要进行业务流量交互后。使用EDR下发微隔离策略,隔离流量传输 7. 进行隔离并对服务器进行全盘杀毒后,再次扫描无任何威胁
总结: 病毒杀不干净也是比较头疼的问题,本次通过分析edr查杀的恶意文件,发现恶意文件是用户终端沦为跳板机后,通过网络共享方式上传恶意文件到业务服务器。使用态势感知配合定位源头,再用edr下发微隔离策略进行流量管控
|