NIPS业务安全 内部ip地址定时访问aliyun

新手509301 2323

{{ttag.title}}
如题在攻击事件汇总中,内部的一个IP总是每隔一个小时对39.156...一个ip进行访问
攻击类型:方法过滤(这个是什么意思)
攻击描述
如下检测到不允许的HTTP请求方法!URL: bugrpt.oss-cn-beijing.aliyuncs.com/LE00DF2818AF6247C99EC28F25362B6C000000000EF
对这个内部IP 进行封堵后,在终端进行EDR查杀以及火狐全盘查杀,没有任何漏洞或者病毒,解开后又会重新出现内部目前有四五个IP都会出现这种情况,有的是路由器IP,有的是电脑IP

解决该疑问,预计可以帮助到 18326 人!

回帖即可获得
2S豆
,被楼主采纳即奖励20S豆+10分钟内回帖奖励10S豆 [已过期] ,了解更多S豆奖励信息

完善手机号和公司名称,让服务更省心更便捷!立即完善

平凡的小网工 发表于 2025-4-3 23:29
  
这个是什么产品的业务安全啊。入侵防御吗?
新手260505 发表于 2025-4-4 11:26
  
攻击者尝试通过非常规HTTP方法绕过安全策略,或触发服务器配置错误以获取敏感信息‌
在内部IP对应主机上执行 netstat -antp 或 lsof -i,定位发起请求的进程‌
使用 ps aux 或任务计划(crontab)检查可疑定时任务‌
王老师 发表于 2025-4-4 14:39
  
问题分析
从描述来看,内部多个 IP 每隔一小时对特定 IP 进行访问,且检测到不允许的 HTTP 请求方法,这种行为可能是由以下几种情况导致的:

恶意软件或木马:尽管进行了 EDR 查杀和火狐全盘查杀没有发现漏洞或病毒,但某些高级恶意软件可能具有隐藏性,能够躲避常规查杀工具的检测。这些恶意软件可能会按照特定的时间间隔向外部服务器发送恶意请求,执行如数据窃取、远程控制等恶意操作。
被入侵的设备:路由器或电脑可能已被黑客入侵,黑客通过控制这些设备发起攻击。黑客可能利用设备的漏洞获取了控制权,并将其作为攻击的跳板,向目标 IP 发送不允许的 HTTP 请求方法。
配置错误或恶意脚本:内部网络中可能存在配置错误的设备或被植入了恶意脚本。例如,某些自动化脚本可能被错误地配置为定时向特定 IP 发送请求,或者攻击者故意植入恶意脚本以实现持续的攻击行为。
“方法过滤”通常指的是对 HTTP 请求方法进行限制和过滤。HTTP 协议定义了多种请求方法,如 GET、POST、PUT、DELETE 等。不同的应用场景和安全策略可能只允许特定的请求方法通过,而禁止其他方法。在这个案例中,检测到不允许的 HTTP 请求方法,说明有请求使用了不被允许的方法来访问目标 URL,这可能是恶意攻击的一种手段。

解决方案
深入分析网络流量
使用专业的网络流量分析工具,如 Wireshark 等,对内部网络流量进行深度分析。重点关注那些频繁发起异常请求的 IP 地址,查看请求的具体内容、频率、目标端口等信息,以确定攻击的特征和来源。
分析网络流量的时间规律,确认是否确实存在每隔一小时的固定访问模式,并尝试找出这种模式与其他网络活动之间的关联。
检查设备配置和日志
对出现异常的路由器和电脑进行详细的配置检查。查看路由器的访问控制列表(ACL)、防火墙规则等配置,确保没有错误的配置导致异常请求的发出。
检查电脑的系统日志、应用程序日志等,寻找异常的登录记录、进程启动信息等,以确定是否有可疑的活动。
隔离和修复受感染设备
将出现异常的 IP 地址对应的设备从网络中隔离出来,防止其继续对其他设备或网络造成影响。
对隔离的设备进行全面的安全检查和修复。可以尝试使用不同的查杀工具进行深度扫描,或者使用系统还原、重装系统等方法来清除潜在的恶意软件。
更新和强化安全策略
更新网络设备的安全策略,加强对 HTTP 请求方法的过滤。明确允许和禁止的请求方法列表,并在防火墙、入侵检测系统(IDS)/入侵防御系统(IPS)等安全设备上进行相应的配置。
定期审查和更新安全策略,以适应不断变化的安全威胁。
加强用户安全意识培训
对内部用户进行安全意识培训,提高他们对网络安全的认识和防范能力。教育用户不要随意点击可疑链接、下载未知来源的文件,避免使用弱密码等。
建立安全事件报告机制,鼓励用户及时报告发现的异常情况,以便及时采取措施进行处理。
持续监控和响应
建立持续的网络监控机制,实时监测网络流量和设备状态。一旦发现异常情况,及时进行分析和处理,防止攻击的扩散和升级。
制定应急响应计划,明确在发生安全事件时的处理流程和责任分工,确保能够快速、有效地应对安全威胁。
小鱼儿 发表于 2025-4-4 16:20
  

问题分析
从描述来看,内部多个 IP 每隔一小时对特定 IP 进行访问,且检测到不允许的 HTTP 请求方法,这种行为可能是由以下几种情况导致的:

恶意软件或木马:尽管进行了 EDR 查杀和火狐全盘查杀没有发现漏洞或病毒,但某些高级恶意软件可能具有隐藏性,能够躲避常规查杀工具的检测。这些恶意软件可能会按照特定的时间间隔向外部服务器发送恶意请求,执行如数据窃取、远程控制等恶意操作。
被入侵的设备:路由器或电脑可能已被黑客入侵,黑客通过控制这些设备发起攻击。黑客可能利用设备的漏洞获取了控制权,并将其作为攻击的跳板,向目标 IP 发送不允许的 HTTP 请求方法。
配置错误或恶意脚本:内部网络中可能存在配置错误的设备或被植入了恶意脚本。例如,某些自动化脚本可能被错误地配置为定时向特定 IP 发送请求,或者攻击者故意植入恶意脚本以实现持续的攻击行为。
“方法过滤”通常指的是对 HTTP 请求方法进行限制和过滤。HTTP 协议定义了多种请求方法,如 GET、POST、PUT、DELETE 等。不同的应用场景和安全策略可能只允许特定的请求方法通过,而禁止其他方法。在这个案例中,检测到不允许的 HTTP 请求方法,说明有请求使用了不被允许的方法来访问目标 URL,这可能是恶意攻击的一种手段。

解决方案
深入分析网络流量
使用专业的网络流量分析工具,如 Wireshark 等,对内部网络流量进行深度分析。重点关注那些频繁发起异常请求的 IP 地址,查看请求的具体内容、频率、目标端口等信息,以确定攻击的特征和来源。
分析网络流量的时间规律,确认是否确实存在每隔一小时的固定访问模式,并尝试找出这种模式与其他网络活动之间的关联。
检查设备配置和日志
对出现异常的路由器和电脑进行详细的配置检查。查看路由器的访问控制列表(ACL)、防火墙规则等配置,确保没有错误的配置导致异常请求的发出。
检查电脑的系统日志、应用程序日志等,寻找异常的登录记录、进程启动信息等,以确定是否有可疑的活动。
隔离和修复受感染设备
将出现异常的 IP 地址对应的设备从网络中隔离出来,防止其继续对其他设备或网络造成影响。
对隔离的设备进行全面的安全检查和修复。可以尝试使用不同的查杀工具进行深度扫描,或者使用系统还原、重装系统等方法来清除潜在的恶意软件。
更新和强化安全策略
更新网络设备的安全策略,加强对 HTTP 请求方法的过滤。明确允许和禁止的请求方法列表,并在防火墙、入侵检测系统(IDS)/入侵防御系统(IPS)等安全设备上进行相应的配置。
定期审查和更新安全策略,以适应不断变化的安全威胁。
加强用户安全意识培训
对内部用户进行安全意识培训,提高他们对网络安全的认识和防范能力。教育用户不要随意点击可疑链接、下载未知来源的文件,避免使用弱密码等。
建立安全事件报告机制,鼓励用户及时报告发现的异常情况,以便及时采取措施进行处理。
持续监控和响应
建立持续的网络监控机制,实时监测网络流量和设备状态。一旦发现异常情况,及时进行分析和处理,防止攻击的扩散和升级。
制定应急响应计划,明确在发生安全事件时的处理流程和责任分工,确保能够快速、有效地应对安全威胁。
是小鲤鱼哦 发表于 2025-4-4 16:29
  
恶意软件或木马:尽管进行了 EDR 查杀和火狐全盘查杀没有发现漏洞或病毒,但某些高级恶意软件可能具有隐藏性,能够躲避常规查杀工具的检测。这些恶意软件可能会按照特定的时间间隔向外部服务器发送恶意请求,执行如数据窃取、远程控制等恶意操作。
被入侵的设备:路由器或电脑可能已被黑客入侵,黑客通过控制这些设备发起攻击。黑客可能利用设备的漏洞获取了控制权,并将其作为攻击的跳板,向目标 IP 发送不允许的 HTTP 请求方法。
配置错误或恶意脚本:内部网络中可能存在配置错误的设备或被植入了恶意脚本。例如,某些自动化脚本可能被错误地配置为定时向特定 IP 发送请求,或者攻击者故意植入恶意脚本以实现持续的攻击行为。
“方法过滤”通常指的是对 HTTP 请求方法进行限制和过滤。HTTP 协议定义了多种请求方法,如 GET、POST、PUT、DELETE 等。不同的应用场景和安全策略可能只允许特定的请求方法通过,而禁止其他方法。在这个案例中,检测到不允许的 HTTP 请求方法,说明有请求使用了不被允许的方法来访问目标 URL,这可能是恶意攻击的一种手段。
taoyb 发表于 2025-4-4 17:19
  
问题分析
从描述来看,内部多个 IP 每隔一小时对特定 IP 进行访问,且检测到不允许的 HTTP 请求方法,这种行为可能是由以下几种情况导致的:
taoyb 发表于 2025-4-4 17:22
  
恶意软件或木马:尽管进行了 EDR 查杀和火狐全盘查杀没有发现漏洞或病毒,但某些高级恶意软件可能具有隐藏性,能够躲避常规查杀工具的检测。这些恶意软件可能会按照特定的时间间隔向外部服务器发送恶意请求,执行如数据窃取、远程控制等恶意操作。
蔺嘉宾 发表于 2025-4-4 17:33
  
这个是什么产品的业务安全啊。入侵防御吗?
小小胖吃不胖 发表于 2025-4-4 17:39
  
解决方案
深入分析网络流量
使用专业的网络流量分析工具,如 Wireshark 等,对内部网络流量进行深度分析。重点关注那些频繁发起异常请求的 IP 地址,查看请求的具体内容、频率、目标端口等信息,以确定攻击的特征和来源。

等我来答:

换一批

发表新帖
热门标签
全部标签>
每日一问
新版本体验
产品连连看
安全效果
纪元平台
标准化排查
GIF动图学习
功能体验
信服课堂视频
【 社区to talk】
安装部署配置
社区新周刊
流量管理
平台使用
云化安全能力
畅聊IT
技术笔记
上网策略
每周精选
高手请过招
全能先锋系列
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
测试报告
日志审计
问题分析处理
每日一记
运维工具
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
排障笔记本
产品预警公告
玩转零信任
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
2023技术争霸赛专题
卧龙计划
华北区拉练
天逸直播
以战代练
秒懂零信任
技术晨报
技术盲盒
山东区技术晨报
文档捉虫
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
西北区每日一问
升级&主动服务
高频问题集锦
POC测试案例
专家说
热门活动
产品动态
行业实践
产品解析
关键解决方案

本版版主

5
10
7

发帖

粉丝

关注

0
2
1

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

BGP网络

本周分享达人

BGP网络

本周提问达人