安全技术与应用-华为云

安全技术与应用-高危端口开放策略的安全最佳实践:使用华为云原生服务保障安全性

使用华为云原生服务保障安全性华为云原生服务提供多个特性来保障安全性。数据库云数据库服务RDS具有完善的性能监控体系和多重安全防护措施，并提供了专业的数据库管理平台，让用户能够在云上轻松的进行设置和扩展云数据库。通过云数据库RDS服务的管理控制台，用户无需编程就可以执行所有必需任务，简化运营流程，减少日常运维工作量，从而专注于开发应用和业务发展。应用中间件分布式缓存服务D CS 提供多个特性来保障租户数据的可靠性和安全性，例如VPC、安全组、白名单、公网访问SSL加密连接、自动备份、数据快照和跨可用区部署等。

安全技术与应用

安全技术与应用-Linux主机安全加固建议

Linux主机安全加固建议设置所有OS系统口令（包括管理员和普通用户）、数据库账号口令、应用（WEB）系统管理账号口令为强口令，密码12位以上。强口令设置请参见账户密码最佳实践。将主机登录方式设置为密钥登录。密钥登录设置请参见主机密码被暴力破解的解决方案。应用程序不以管理员权限账号运行，应用程序（如Web）不使用数据库管理员权限账号与数据库交互设置安全组，仅向公网开放必要端口，业务WEB控制台端口、局域网内部通信端口避免暴露在公网。关闭高危端口（如SSH端口），或采取限制允许访问端口的源IP、使用VPN/ 堡垒机建立的运维通道等措施消减风险。业务数据定期异地备份，避免黑客入侵主机造成数据丢失。定期检测系统和软件中的安全漏洞，及时更新系统安全补丁，将软件版本升级到官方最新版本。建议从官方渠道下载安装软件，对非官方渠道下载的软件，建议使用杀毒软件扫描后再运行。为彻查主机和应用方面潜在的安全风险，建议使用华为云官方提供的管理检测与响应服务进行全面的安全体检或使用主机安全服务深度防御：管理检测与响应服务请参见：https://www.huaweicloud.com/product/ses.html。企业主机安全服务请参见：https://www.huaweicloud.com/product/hss.html。父主题：主机安全排查（Linux操作系统）

安全技术与应用

安全技术与应用-排查过程:操作步骤

操作步骤查看主机是否存在异常进程。查询命令：top 根据CPU占用率、进程名称等判断是否存在异常进程，如下可疑进程CPU占用率超过100%。根据异常进程PID值，查看文件位置。查询命令：lsof -p+进程PID值（如25267）发现目录下的异常文件（带有xmr或mine的标识）。查看文件命令：ll -art 查询木马路径：pwd 查询文件中是否存在异常地址：strings +文件名（如config.json）+ |grep xmr 建议重点排查以下目录：/etc为配置文件、/tmp为临时文件、/bin为可执行文件。用户命令；用到的库文件可能在/lib，配置文件可能在/etc，/sbin为可执行文件。管理命令；用到的库文件可能在/lib，配置文件可能在/etc，/usr/为只读文件，shared read-only，/usr/local为第三方软件） Linux命令大全请参见Linux命令大全。发现疑似矿池信息，将URL（xmr.flooder.org:80）放到微步上检测，结果为矿池。查看主机用户权限。查询命令：cat /etc/passwd|grep +用户名（如bash） nologin的用户没有登录权限，此处需重点查看存在登录权限的用户。根据主机登录日志文件，查看异常登录记录。查询命令：cat +文件名（如 secure）|grep Acc|grep +用户名（如oracle）根据成功日志寻找登录主机的习惯时间，需关注与木马植入相近的时间。根据登录的时间关注是否有异常IP登录及登录的频次（包括成功或失败的次数），若异常IP登录次数多则疑似为爆破行为。如果上述方法均不能解决您的疑问，请“提交工单”寻求更多帮助。

安全技术与应用主机安全排查（Linux操作系统）

安全技术与应用-Windows主机安全加固建议

Windows主机安全加固建议设置安全组，仅向公网开放必要端口，业务WEB控制台端口、局域网内部通信端口避免暴露在公网。关闭高危端口（135，139，445），或限制允许访问端口的源IP。应用程序不要以管理员权限账号运行，应用程序（如Web）不使用数据库管理员权限账号与数据库交互。业务数据定期异地备份，避免黑客入侵主机造成数据丢失。定期检测系统和软件中的安全漏洞，及时更新系统安全补丁，将软件版本升级到官方最新版本。建议从官方渠道下载安装软件，对非官方渠道下载的软件，建议使用杀毒软件扫描后再运行。不随意点开不明邮件链接或者网页链接。请勿使用默认账户默认密码或弱密码。设置所有OS系统口令（包括管理员和普通用户）、数据库账号口令、WEB应用系统管理账号口令为强口令，密码12位以上。提升安全性的方法：不使用空口令或系统缺省的口令，因为这些口令很容易被攻击者进入甚至不需要任何成本，为典型的弱口令。设置高长度&高复杂度字符口令。口令不要设置连续的某个字符（例如：AAAAAAAA）或重复某些字符的组合（123123）。口令使用复杂组合，如大写字母(A-Z)、小写字母(a-z)、数字(0-9)和特殊字符。每类字符至少包含一个。口令中尽量不要包含本人、父母、子女和配偶的姓名和出生日期、纪念日期、登录名、E-mail地址等与本人有关的信息，以及字典中的单词。口令不应该为用数字或符号代替某些字母的单词，例如，passwd。定期更换口令。口令中不建议出现huawei字样或者带有键盘特征（例如：123qwe!@#，passwd）的密码。父主题：排查过程

安全技术与应用

安全技术与应用-方案二：DOS系统命令排查:常用命令

常用命令命令作用 cd 切换目录。当前目录：【./】(同级目录)可省略上一级目录：【../】上上一级目录：【../../】 dir /a:（磁盘）缺省包含所有文件（系统文件.隐含文件） more 分屏显示文件内容 tasklist 查看进程 netstat -ano 查看链接 wmic startup list full 查看自启 net user 查看用户示例：查找D:\Apps\下，包含“DR”的文件： dir /a-d /s "D:\Apps\IDE" | findstr "DR" 查找C盘下，包含“exe”的文件和目录：dir /s C: | findstr "exe"

安全技术与应用排查过程

安全技术与应用-步骤3：网络分析:操作步骤

操作步骤打开“TCPView”文件夹，双击“Tcpview.exe”文件，在弹出的对话框中，单击“Agree”。查看当前TCP连接状态，判断该进程是否为木马程序。如果发现存在不知名进程，并且存在大量的SYN_SENT状态的连接，该进程疑似为木马程序。如果某个进程的连接的端口非常有规律（如6666，2333等），或者在RemoteAddress这一栏自动解析的host中包含mine，pool，xmr等关键字，该进程疑似被感染病毒。（仅供参考）您可以通过安全检测网站，检测外网远程地址或者URL进行在线查询判断。检测地址：https://x.threatbook.cn/ 微步检测IP：需要检测的网站IP。

安全技术与应用方案一：工具溯源排查

安全技术与应用-排查思路

排查思路本文档为您介绍两种Windows主机排查方法，推荐选择“工具溯源排查”的方法：方案一：工具取证排查（推荐）：使用Windows官方的进程/链接/自启动分析工具进行排查。使用工具取证排查方案时，建议如下软件工具：表1 软件工具工具名称下载地址 ProcessExplorer https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorer Tcpview https://docs.microsoft.com/zh-cn/sysinternals/downloads/tcpview Autoruns https://docs.microsoft.com/zh-cn/sysinternals/downloads/autoruns busybox-x86_64 https://busybox.net/downloads/binaries/1.16.1/busybox-x86_64 方案二：DOS系统命令排查：通过Windows主机DOS系统命令排查。父主题：主机安全排查（Windows操作系统）

安全技术与应用主机安全排查（Windows操作系统）

安全技术与应用-勒索:什么是勒索病毒

什么是勒索病毒勒索病毒，是伴随数字货币兴起的一种新型病毒木马，通常以垃圾邮件、服务器入侵、网页挂马、捆绑软件等多种形式进行传播。一旦遭受勒索病毒攻击，将会使绝大多数的关键文件被加密。被加密的关键文件无法通过技术手段解密，用户将无法读取资产中的文件，即使向黑客缴纳高昂的赎金，也不一定能将被加密的文件无损的还原。黑客通常要求通过数字货币支付赎金，一般无法溯源。如果关键文件被加密，企业业务将受到严重影响；黑客索要高额赎金，也会带来直接的经济损失，因此，勒索病毒的入侵危害巨大。勒索病毒具有传播方式多样性和顽固的攻击性特征，一旦被勒索病毒入侵，资产和经济都将遭受重大损失。

安全技术与应用

安全技术与应用-挖矿:什么是挖矿

什么是挖矿数字货币因其技术去中性化和经济价值等属性，逐渐成为大众关注的焦点，同时，通过恶意挖矿获取数字货币是黑灰色产业获取收益的重要途径。其中，挖矿是指通过大量计算机运算获取数字货币-虚拟货币奖励的过程。恶意挖矿攻击就是在用户不知情或未经允许的情况下，占用受害者的系统资源和网络资源进行挖矿，从而获取加密货币牟利。肉鸡也称傀儡机，是指可以被黑客远程控制的机器。肉鸡可以是各种系统，如Windows、Linux、Unix等，更可以是一家公司、企业、学校甚至是政府军队的服务器。主机被挖矿最直接的影响就是大量消耗系统资源，使系统其他软件或服务运行缓慢，性能变差。同时，黑客还可能通过挖矿程序窃取机密信息，比如机密文件、关键资产的用户名和密码等，导致资产遭受更进一步的损失。

安全技术与应用

安全技术与应用-对外攻击：端口扫描:案例

案例以下为主机被端口扫描攻击的几个案例：案例一：此机器正在对外大量扫描6379端口，示例如图1所示。图1 端口扫描查询发现这些IP地址均为境外IP。案例二：主机内发现异常进程，如图2所示。图2 异常进程查询发现此IP地址连接C&C。 C&C是指command-and-control命令与控制。简单来说就是一种机器与机器之间的通讯方式。 C＆C服务器是由攻击者的计算机将命令发送到受恶意软件入侵的系统，并从目标网络接收被盗的数据。

安全技术与应用主机面临的安全问题

安全技术与应用-解决方案&防护措施

解决方案&防护措施针对UDP反射放大攻击方式，您可根据业务的实际情况做出应对措施，下面提出几点建议性防护措施，供您参考。关注网络安全防护设备和服务厂商发布的最新安全公告，及时对此类攻击做出针对性防护策略。云服务器内通过防火墙对UDP端口进行限制。通过安全组对UDP端口进行限制，华为云用户可参见ECS配置安全组规则。启动绑定本地监听IP，禁止对外访问、禁用UDP协议、启用登录认证。调整应用程序中的一些参数，并且重启服务器达成禁用UDP的效果。通过对业务历史报文数据的统计学习，建立正常业务包大小的正态分布图，由此可以清晰识别出超大或超小包攻击报文。父主题： UDP反射放大攻击安全排查

安全技术与应用

安全技术与应用-排查方法

排查方法本章节内容主要指导您：排查主机是否被作为UDP反射攻击的“放大器”利用。使用root账户登录服务器。本例中，该服务器正常运行情况下每秒发送10个长度为800Byte的UDP数据包。执行以下命令，查看当前的网络连接与进程。 netstat -anput 分析当前的网络连接与进程是否存在异常，建议利用netstat -anpt命令进行查看；若当前连接与进程已停止或被隐藏，可以利用抓包方式进行分析，需要安装tcpdump抓包工具。执行以下命令抓包，分析UDP流量攻击。 tcpdump -nn udp 抓包结果如图1显示。图1 UDP对外攻击数据包执行以下命令，将抓包分析结果暂存至/home文件夹中，文件名为udp.pcap。 nohup tcpdump -nn udp -c 1000000 -w /home/udp.pcap & 执行以下命令，对抓包分析结果进行分析，结果如图2所示。 tcpdump -nn -r /home/udp.pcap|awk -F'.' '{print $1}'|sort|uniq -c 图2 抓包分析结果根据步骤3可知，图中被检查的设备正在对另一个IP地址发送数十个UDP长度为1460Byte的数据包，明显超出正常业务数据包的范畴，说明该设备正在被利用为UDP反射攻击的“放大器”对外攻击。通过步骤b可知，图中设备UDP连接次数每秒高达5万次以上，说明图中设备所提供的服务被攻击者利用实施UDP反射放大攻击，需要对设备采取必要的防护措施，避免设备资源被攻击行为占用，影响正常业务。父主题： UDP反射放大攻击安全排查

安全技术与应用

安全技术与应用-简介:DDoS攻击的原理

DDoS攻击的原理拒绝服务（Denial of Service，简称DoS）攻击也称洪水攻击，是一种网络攻击手法，其目的在于使目标电脑的网络或系统资源耗尽，服务暂时中断或停止，导致合法用户不能够访问正常网络服务的行为。当攻击者使用网络上多个被攻陷的电脑作为攻击机器向特定的目标发动DoS攻击时，称为分布式拒绝服务攻击（Distributed Denial of Service Attack，简称DDoS）。

安全技术与应用 UDP反射放大攻击安全排查

安全技术与应用-简介:UDP反射放大攻击简介

UDP反射放大攻击简介 UDP反射放大攻击，是一种具有超大攻击威力，且成本低廉，难以追踪的DDoS攻击方式。基于UDP报文的反射DDoS攻击是这类攻击的一种实现形式，如图1所示。攻击者并不是直接发起对攻击目标的攻击，而是利用互联网的某些服务开放的服务器，通过伪造被攻击者的地址，向中间服务器发送基于UDP服务的特殊请求报文，而这些请求报文会形成成倍的数据发送到攻击目标，从而对后者间接形成DDoS攻击。图1 UDP反射放大原理图

安全技术与应用 UDP反射放大攻击安全排查

安全技术与应用-华为云对发送垃圾邮件的用户资源的处理:整改建议

整改建议针对不同的投诉类型，华为云会实施不同的风险遏制措施。您可以打开反垃圾邮件组织地址，输入您的IP，单击“Start Testing”，查询有无IP记录，判断是否为反垃圾邮件组织的投诉，如图反垃圾邮件组织所示，然后做出对应情况的处理。图1 反垃圾邮件组织如果页面未显示任何IP记录并停留在初始页面，表示非反垃圾邮件组织投诉。请您尽快停止使用该IP地址的主机发送垃圾邮件，并对邮箱做好防护，防止他人恶意利用。若未在预警邮件规定的时间内整改完成，您的资源将会面临被拦截限制（包括但不限于封禁端口、冻结IP）的风险。如果页面显示有您的IP记录，表示是反垃圾邮件组织投诉。反垃圾邮件组织已将您的IP列入黑名单，会限制绑定该IP地址的主机访问网站和对外发送邮件，请您尽快停止使用该IP地址的主机发送垃圾邮件，并对邮箱做好防护。被反垃圾邮件组织拉黑，将严重损害华为云的服务形象，华为云将永久冻结您的IP且无法解冻。请重新绑定新的IP地址使用。

安全技术与应用

云服务器内容精选

安全技术与应用

7*24

备案

专业服务

退订

建议反馈

售前咨询热线