IOC告警的原因和解决措施

电子说

1.2w人已加入

描述

IOC告警

IOC告警事件大多是由内部安全设备发现,通常都是由于内网主机非法请求了高危的威胁情报地址。

这类事件首先应该对IOC告警进行确认,在微步上查询对应IoC。

网络安全

看到以上结果,基本确认内网是存在WannaCry蠕虫病毒,有NTA的情况下基本能快速定位所有感染主机,处理方案参考上篇文章的勒索病毒处理流程。

如为其他告警但是确认为恶意安全事件的,也可以通过搜索引擎查询对应的分析文章,根据病毒行为作出对应的修复和后续的防护措施。

网络安全

特殊情况下,如果IoC告警大概率确认为恶意,但是也无法找到相关文章,需要人工进行分析。

windows下通过netstat -ano命令来查看请求对应的IoC的PID,然后使用tasklist /svc|findstr “PID”来定位到对应进程。

网络安全

linux下操作思路与以上类似,不多赘述。另外如进程请求变化太快不好定位,推荐个大佬写的小工具可以试试。

打开APP阅读更多精彩内容
声明:本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人,不代表电子发烧友网立场。文章及其配图仅供工程师学习之用,如有内容侵权或者其他违规问题,请联系本站处理。 举报投诉

全部0条评论

快来发表一下你的评论吧 !

×
20
完善资料,
赚取积分