日志审计、主机入侵与证据保全
安全与权限#日志审计#主机入侵#证据保全约 515 字 · 1 分钟阅读
追问显示点击任意追问卡片可收起 / 展开
Linux 审计日志与普通应用日志有什么区别？
追问 用户登录、sudo、文件访问和进程执行分别可能从哪里查到？
如何确认一台主机是否存在异常登录？
追问 来源地址、时间、账号、认证方式、失败次数和命令记录如何关联？
发现陌生用户、SSH 公钥或定时任务时，应该先删除吗？
追问 如何先保存证据、确认来源和评估业务影响？
如何检查 Linux 主机上的持久化机制？
追问 systemd、cron、Shell 启动文件、内核模块和容器任务分别如何核查？
发现陌生进程占用 CPU，你会收集哪些现场信息？
追问 进程命令行、父子关系、文件、网络连接、时间线和哈希如何保留？
为什么应避免在疑似入侵主机上直接重启或删除文件？
追问 重启可能丢失哪些证据？删除文件可能如何影响恢复和判断？
应急响应中的隔离与关机有什么区别？
追问 网络隔离、保留业务、证据完整性和进一步损害如何权衡？
如何对疑似恶意文件进行安全分析？
追问 哈希、权限、来源、字符串、运行行为和沙箱分析如何安排？
如何判断异常出站连接是否属于正常业务？
追问 目标地址、域名、端口、进程、时间、流量和业务依赖如何核对？
如何编写主机入侵事件的时间线？
追问 登录、提权、文件变更、进程启动、网络访问和告警时间如何校准？