本文主要講述Unix或者NT系統(tǒng)如果被侵入,應該如何應對。
注意::你在系統(tǒng)恢復過程中的所有步驟都應該與你所在組織的網絡安全策略相符。
準備工作
一、商討安全策略
如果你的組織沒有自己的安全策略,那么需要按照以下步驟建立自己的安全策略:
1.和管理人員協(xié)商
將入侵事故通知管理人員,可能在有的組織中很重要。在be aware進行事故恢復的時候,網絡管理人員能夠得到內部各部門的配合。也應該明白入侵可能引起傳媒的注意。
2.和法律顧問協(xié)商
在開始你的恢復工作之前,你的組織需要決定是否進行法律調查。
注意CERT(Computer Emergency Response Team)只提供技術方面的幫助和提高網絡主機對安全事件的反應速度。它們不會提出法律方面的建議。所以,對于法律方面的問題建議你咨詢自己的法律顧問。你的法律顧問能夠告訴你入侵者應該承擔的法律責任(民事的或者是刑事的),以及有關的法律程序。
現在,是你決定如何處理這起事故的時候了,你可以加強自己系統(tǒng)的安全或者選擇報警。
如果你想找出入侵者是誰,建議你與管理人員協(xié)商并咨詢法律顧問,看看入侵者是否觸犯了地方或者全國的法律。根據這些,你可以報案,看看警方是否愿意對此進行調查。
針對與入侵事件,你應該與管理人員和法律顧問討論以下問題:
如果你要追蹤入侵者或者跟蹤網絡連接,是否會觸犯法律。
如果你的站點已經意識到入侵但是沒有采取措施阻止,要承擔什么法律責任。
入侵者是否觸犯了全國或者本地的法律。
是否需要進行調查。
是否應該報警。
3.報警
通常,如果你想進行任何類型的調查或者起訴入侵者,最好先跟管理人員和法律顧問商量以下。然后通知有關執(zhí)法機構。
一定要記住,除非執(zhí)法部門的參與,否則你對入侵者進行的一切跟蹤都可能是非法的。
4.知會其他有關人員
除了管理者和法律顧問之外,你還需要通知你的恢復工作可能影響到的人員,例如其他網絡管理人員和用戶。
二、記錄恢復過程中所有的步驟
毫不夸張地講,記錄恢復過程中你采取的每一步措施,是非常重要的;謴鸵粋被侵入的系統(tǒng)是一件很麻煩的事,要耗費大量的時間,因此經常會使人作出一些草率的決定。記錄自己所做的每一步可以幫助你避免作出草率的決定,還可以留作以后的參考。記錄還可能對法律調查提供幫助。
奪回對系統(tǒng)的控制權
一、將被侵入的系統(tǒng)從網絡上斷開
為了奪回對被侵入系統(tǒng)的控制權,你需要將其從網絡上斷開,包括播號連接。斷開以后,你可能想進入Unix系統(tǒng)的單用戶模式或者NT的本地管理者(local administrator)模式,以奪回系統(tǒng)控制權。然而,重啟或者切換到單用戶/本地管理者模式,會丟失一些有用的信息,因為被侵入系統(tǒng)當前運行的所有進程都會被殺死。
因此,你可能需要進入“檢查網絡嗅探器”一節(jié),以確定被侵入的系統(tǒng)是否有網絡嗅探器正在運行。
在對系統(tǒng)進行恢復的過程中,如果系統(tǒng)處于Unix單用戶模式下,會阻止用戶、入侵者和入侵進程對系統(tǒng)的訪問或者切換主機的運行狀態(tài)。
如果在恢復過程中,沒有斷開被侵入系統(tǒng)和網絡的連接,在你進行恢復的過程中,入侵者就可能連接到你的主機,破壞你的恢復工作。
二、復制一份被侵入系統(tǒng)的影象
在進行入侵分析之前,建議你備份被侵入的系統(tǒng)。以后,你可能會用得著。
如果有一個相同大小和類型的硬盤,你就可以使用Unix命令dd將被侵入系統(tǒng)復制到這個硬盤。