[發明專利]基于黑客行為的Linux系統入侵排查方法

在審

• 申請號: 202110293438.3
• 申請日: 2021-03-19
• 公開（公告）號: CN112702360A
• 公開（公告）日: 2021-04-23
• 發明（設計）人: 郝龍
• 申請（專利權）人: 遠江盛邦（北京）網絡安全科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/56
• 代理公司: 北京遠大卓悅知識產權代理有限公司 11369
• 代理人: 靳雪華

1.一種基于黑客行為的Linux系統入侵排查方法，其特征在于，包括以下步驟：

步驟S1，對服務器自身進行安全性檢查，確定是否存在自身安全隱患；

步驟S2，通過腳本執行命令分析、文件分析和日志分析從而確定是否存在黑客定點打擊行為；

步驟S3，通過腳本執行進程分析、工具分析和網絡地址分析從而確定是否存在黑客橫向打擊行為；

步驟S4，根據步驟S1至步驟S3中獲取的自身安全隱患信息、黑客定點打擊行為信息和黑客橫向打擊行為信息生成黑客行為排查報告。

2.如權利要求1所述基于黑客行為的Linux系統入侵排查方法，其特征在于，

所述步驟S1中對服務器自身進行安全性檢查，包括但不限于以下任一項或它們的組合：端口排查、root權限賬戶排查、空口令賬戶排查、sudoers文件用戶權限排查、各賬戶下登錄公鑰排查、賬戶密碼文件權限排查、DNS配置排查、Iptables防火墻配置排查、hosts配置排查、Web系統漏洞檢測。

3.如權利要求1所述基于黑客行為的Linux系統入侵排查方法，其特征在于，

所述步驟S2中所述執行命令分析、文件分析和日志分析的步驟，采用串行方式依次執行命令分析、文件分析和日志分析，或者采用并行方式同步執行命令分析、文件分析和日志分析。

4.如權利要求1或3所述基于黑客行為的Linux系統入侵排查方法，其特征在于，

所述命令分析具體是通過對涉及文件相關操作命令的歷史記錄進行時間區間或命令條數區間內的頻次分析，若頻次超過告警閾值且涉及敏感文件或文件路徑則確定存在黑客定點打擊行為。

5.如權利要求1或3所述基于黑客行為的Linux系統入侵排查方法，其特征在于，

所述文件分析具體包括：通過對存在網頁后門的網頁文件、重要文件完成性、啟動項和SSH后門進行檢測，確定是否存在黑客長期控制服務器的后門腳本或攻擊程序。

6.如權利要求1或3所述基于黑客行為的Linux系統入侵排查方法，其特征在于，

所述日志分析的步驟具體包括：通過對 secure登錄日志、計劃任務、web日志、wtmp登錄日志、utmp登錄日志和lastlog登錄日志進行分析，確定是否存在黑客執行的轉發登錄或攻擊掃描操作。

7.如權利要求1所述基于黑客行為的Linux系統入侵排查方法，其特征在于，

所述步驟S3中所述執行進程分析、工具分析和網絡地址分析的步驟，采用串行方式依次執行進程分析、工具分析和網絡地址分析，或者采用并行方式同步執行進程分析、工具分析和網絡地址分析。

8.如權利要求1或7所述基于黑客行為的Linux系統入侵排查方法，其特征在于，

所述進程分析的步驟具體包括：通過對CPU和內存使用異常進程排查、隱藏進程排查、反彈shell類排查、NPS/FRP代理轉發類排查、惡意進程信息排查、進程對應腳本或可執行文件進行檢查，確定是否存在涉及內存進程的橫向入侵行為。

9.如權利要求1或7所述基于黑客行為的Linux系統入侵排查方法，其特征在于，

所述工具分析具體包括：通過對涉及后門類、轉發類、端口探測類、rootkit、漏洞掃描類和/或挖礦勒索病毒類的滲透工具進行分析，確定是否存在黑客橫向入侵行為，若存在則確定入侵目的。

10.如權利要求1或7所述基于黑客行為的Linux系統入侵排查方法，其特征在于，

所述網絡地址分析具體包括：通過對服務器中出現的境外IP、反彈shell和建立通訊中出現的境外IP進行有效分析，從而確定是否存在黑客橫向入侵行為。