「每日一记」目前已开展9期,已有近400余位工程师参与并坚持不懈的进行技能输出,征集到5000余篇技术笔记,共派发出近1000000+S豆,送出36份精美好礼!>>【每日一记】第10期正在进行中 |
客户打电话给我说,发现内网有点不对劲,有些终端被断网几分钟,在FW上还发现了DOS攻击事件,于是上门排查
现场环境:
1、出口部署某公司FW; 2、FW下联深信AC,网桥部署,控制用户上网行为及流控; 3、AC下联核心交换机,再下来就是二层交换机,连接内网; 4、以下是客户拓扑图
问题现象:
查看安全日志,发现内网有DOS攻击事件,日期为8月2号
处理过程:
1、查看问题主机任务管理器,未发现异常情况,有可能被隐藏进程;
2、使用Autoruns查看服务、WMI、启动项等未发现异常;
3、开始怀疑是蠕虫病毒导致这个问题,使用专杀工具进行查杀,并没有卵用;
4、于是申请了EDR试用授权,在受害终端上安装EDR客户端,进行全盘查杀,发现Trojan木马;
5、将文件上传到微步等平台进行检测,均检测为恶意文件;
6、在内网所有问题终端上安装EDR客户进行全盘查杀;
7、持续观察网络环境是否有改善;
处置结果: 处置完成,查杀完成后内网未出现DOS攻击导致断网情况。
|