检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
Windows主机安全加固建议 设置安全组，仅向公网开放必要端口，业务WEB控制台端口、局域网内部通信端口避免暴露在公网。关闭高危端口（135，139，445），或限制允许访问端口的源IP。 应用程序不要以管理员权限账号运行，应用程序（如Web）不使用数据库管理员权限账号与数据库交互。
主机安全排查（Windows操作系统） 排查思路 排查过程 父主题： 主机安全排查
排查思路 本文档为您介绍两种Windows主机排查方法，推荐选择“工具溯源排查”的方法： 方案一：工具取证排查（推荐）：使用Windows官方的进程/链接/自启动分析工具进行排查。 使用工具取证排查方案时，建议如下软件工具： 表1 软件工具 工具名称 下载地址 ProcessExplorer
排查过程 方案一：工具溯源排查 方案二：DOS系统命令排查 Windows主机安全加固建议 父主题： 主机安全排查（Windows操作系统）
查询磁盘中（如C盘)下，"exe"的文件和目录，根据查询结果排除系统文件或应用创建文件，锁定异常文件。 建议重点排查以下目录：“windows”、“windows\system32”、“windows/system32 \drivers”、“c:\program files\internet explorer/”、“c:\program
方案一：工具溯源排查 步骤1：进程分析 步骤2：自启动分析 步骤3：网络分析 步骤4：异常用户分析 父主题： 排查过程
步骤1：进程分析 本章节介绍如何通过Windows官方进程排查木马程序。 前提条件 推荐下载“ProcessExplorer”软件。 操作步骤 打开“ProcessExplorer”文件夹，双击“procexp64.exe”文件。 图1 processExplorer 在弹出的对
步骤2：自启动分析 该章节为您介绍如何通过Autoruns工具查看哪些程序被配置为在系统启动和登录时自动启动。 前提条件 推荐下载“Autoruns”工具。 操作步骤 打开“Autoruns”文件夹，双击“Autoruns.exe”文件。 图1 打开AutoRuns文件夹 在弹出的对话框中，单击“Agree”。
步骤3：网络分析 该章节为您介绍如何通过TCPView工具查看当前TCP连接状态，排查可疑进程，可疑进程一般用红色标记。 前提条件 推荐下载“TCPView”工具。 操作步骤 打开“TCPView”文件夹，双击“Tcpview.exe”文件，在弹出的对话框中，单击“Agree”。
步骤4：异常用户分析 该章节为您介绍如何分析异常用户。 操作步骤 打开“控制面板 > 管理工具 > 计算机管理”。 在左侧导航树中，选择“本地用户和组 > 用户”，查看主机是否存在异常用户。 在左侧导航树中，选择“本地用户和组 > 组”，检测组是否存在异常。 检测主机内的异常用户
排查方法 本章节内容主要指导您：排查主机是否被作为UDP反射攻击的“放大器”利用。 使用root账户登录服务器。 本例中，该服务器正常运行情况下每秒发送10个长度为800Byte的UDP数据包。 执行以下命令，查看当前的网络连接与进程。 netstat -anput 分析当前的网
勒索病毒具有传播方式多样性和顽固的攻击性特征，一旦被勒索病毒入侵，资产和经济都将遭受重大损失。 案例 如下为主机被勒索的几个案例： 案例一：Windows主机文件加密，主机内存在勒索信条 案例二：Windows主机文件加密，主机内文件被添加后缀 案例三：Linux主机文件加密，主机文件被添加后缀 父主题： 主机面临的安全问题
从而获取加密货币牟利。 肉鸡也称傀儡机，是指可以被黑客远程控制的机器。肉鸡可以是各种系统，如Windows、Linux、Unix等，更可以是一家公司、企业、学校甚至是政府军队的服务器。 主机被挖矿最直接的影响就是大量消耗系统资源，使系统其他软件或服务运行缓慢，性能变差。同时，黑
TCP：2082-2083 cPanel（虚拟机控制系统） TCP：9080-9081、9090 WebSphere（应用服务器） TCP：2181 ZooKeeper（分布式系统的可靠协调系统） TCP：9200、9300 ElasticSearch（Lucene的搜索服务器） TCP：2601-2604
类攻击做出针对性防护策略。 云服务器内通过防火墙对UDP端口进行限制。 通过安全组对UDP端口进行限制，华为云用户可参见ECS配置安全组规则。 启动绑定本地监听IP，禁止对外访问、禁用UDP协议、启用登录认证。 调整应用程序中的一些参数，并且重启服务器达成禁用UDP的效果。 通过
对外攻击：端口扫描 什么是端口扫描攻击 端口扫描攻击是一种攻击方式，攻击者将请求发送到目标服务器或工作站的IP地址，以发现主机开放的端口，并利用端口对应程序中的漏洞进行攻击。 案例 以下为主机被端口扫描攻击的几个案例： 案例一： 此机器正在对外大量扫描6379端口，示例如图1所示。
基于UDP报文的反射DDoS攻击是这类攻击的一种实现形式，如图1所示。攻击者并不是直接发起对攻击目标的攻击，而是利用互联网的某些服务开放的服务器，通过伪造被攻击者的地址，向中间服务器发送基于UDP服务的特殊请求报文，而这些请求报文会形成成倍的数据发送到攻击目标，从而对后者间接形成DDoS攻击。 图1
主机安全排查 主机面临的安全问题 主机安全排查（Windows操作系统） 主机安全排查（Linux操作系统）
电子邮件是当今社会的重要沟通工具之一，如果垃圾邮件泛滥将会对社会的稳定与发展产生严重影响： 降低通信质量：垃圾邮件占用大量网络带宽，影响网络传输速度，容易造成邮件服务器堵塞。 损害收件人利益：垃圾邮件常常包含隐蔽性极强的钓鱼信息，容易导致收件人的信息泄露，进而可能造成收件人被诈骗或商业机密被窃取，而且垃圾
UDP反射放大攻击安全排查 简介 排查方法 解决方案&防护措施
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
