【資安事件處理實務】如何自行檢查系統是否被入侵?

1.檢查是否有異常行為

• 大量登入異常Event log (可能為密碼噴灑攻擊 password spraying)
• Event log id : 4624, 4625
• 異常之高權限操作行為

2.檢查是否有新增高權限的帳號或是新被加入 domain 的機器

• 如有，就可以從帳號或是機器著手回溯源頭

3.檢查是否有異常的註冊機碼(registry)

• 清除惡意程式 persistence 的機制

4.檢查是否有異常的頻寬用量

• 確認從哪台端點發出，以推測是什麼資料遭竊取

5.檢查是否有安裝異常的應用程式或服務

• PSEXEC、Anydesk

6.理出攻擊時間線(Timeline)

7.找出攻擊源頭

TeamT5 杜浦數位安全團隊長期研究與解析駭客族群入侵行為，具備第一線國內外資安事件處理的豐富經驗。當資安事件發生，我們可快速完成受駭現場與歷史軌跡的綜整分析，發掘攻擊者的入侵過程與手法，提供事件處理的深入分析及建議，協助您復原與改善資安環境。