【应急响应工具教程】Linux应急响应工具集:一键式安全评估与可视化报告系统

时间: 2025-07-31 17:39:57 浏览量:236

1、工具简介

一个用于Linux系统安全应急响应的工具集,包含一键式信息收集脚本和可视化报告查看器。该工具集能够快速收集系统安全相关信息,并通过基于规则的分析引擎对收集到的信息进行安全风险评估。

2、功能介绍

系统后门排查1.UID为0的非root用户检测 2.可疑系统配置检查 3.异常系统文件检测
用户与登录检查1.当前用户信息 2.所有用户列表 3.最近登录记录4.登录失败记录
日志分析1.系统日志错误2.安全日志错误
网络检查1.监听端口 2.活动连接 3.网络配置 4.路由表 5.可疑连接
进程检查1.高CPU占用进程2.可疑脚本进程
文件系统检查1.SUID文件 2.最近修改的文件
软件包检查1.已安装软件包列表
持久化检查1.自启动服务 2.计划任务 3.SSH公钥4.启动项配置
系统完整性1.关键二进制文件校验2.系统文件完整性
恶意进程与提权点1.可疑进程2.可疑提权点3.隐藏文件
规则引擎1.基于YAML的规则配置系统,包含多个规则集

3、下载与安装

https://github.com/Rabb1tQ/emergency_response

4、使用教程

将工具包拷贝到受害机器上,运行emergency_response.sh脚本,脚本会在当前目录生成格式如 emergency_report_YYYYMMDD_HHMMSS.txt 的报告文件。

安装requirement.txt的环境后,运行rules_engine.py。

访问emergency_report_viewer.html,导入脚本跑完的结果emergency_report_YYYYMMDD_HHMMSS.txt。

python脚本会一起分析脚本内容,并在发现可疑点后进行返回。

可指定关键字进行检索。

5、工具补充说明

工具兼容性方面:

  • python环境要求:脚本适用python3.X
  • 操作系统:支持主流Linux发行版(Ubuntu、Debian、CentOS等)
  • 权限要求:需要root权限
  • 浏览器要求:支持现代浏览器(Chrome、Firefox、Edge等)

6、注意事项

  • 脚本需要root权限才能收集完整信息。
  • 部分命令在不同发行版中可能不可用,脚本会自动跳过。
  • 报告查看器需要现代浏览器支持。
  • 建议定期更新规则库以适应新的安全威胁。

相关案例

【案例介绍】赎金提高,防御失效:某上市企业两年内两度陷入同一勒索团伙之手

Hunters International是一种基于RaaS(勒索软件即服务)模式运营的勒索病毒组织,起源于2023年,可能是Hive勒索病毒的演变版本。通过DLS(数据泄露网站)公开受害者数据,猎物包括企业和上市公司,如Exela Technologies,其数据泄露案例引发广泛关注。本文详细解析Hunters组织的攻击模式、技术特点及其对企业的威胁,并提供暗网泄露平台的访问方式与界面展示。了解此类勒索病毒家族有助于提升网络安全意识和保护企业关键数据。

某集团公司的Phobos最新变种勒索病毒jopanaxye解密恢复项目

SolarSecurity成功解密了Phobos勒索病毒的jopanaxye变种,恢复了某集团公司12台服务器上3.97TB的加密数据。团队通过应急响应、文件解密及后门排查,帮助企业恢复数据并加强系统防护,防止类似勒索攻击再次发生。

某集团公司的Phobos最新变种勒索病毒2700解密恢复项目

SolarSecurity成功应对Phobos勒索病毒2700变种,通过RDP暴力破解入侵企业服务器并加密近4TB的数据。团队迅速解密并恢复了被加密的文件,排查了多个后门并加强了系统安全防护,帮助企业提高抵御勒索病毒的能力。

某房地产公司的mallox最新变种勒索病毒rmallox解密恢复项目

SolarSecurity成功恢复了某房地产公司因rmallox勒索病毒导致的加密数据。此次攻击通过NAS系统服务器漏洞入侵,并在24小时内完成数据解密和系统修复。团队还进行了后门排查和系统加固,并提供了全面的安全评估和渗透测试服务,确保系统免受未来威胁。

利用多款国产内网渗透工具勒索数十台虚拟机的babyk解密恢复项目

SolarSecurity通过多款国产内网渗透工具,成功恢复了一家影视公司在勒索病毒攻击中被加密的数十台虚拟机数据。攻击者利用用友NC系统漏洞和内网工具实施勒索,最终公司通过渗透测试和漏洞修复恢复了22.45TB的加密数据,并对系统进行全面的安全加固。