检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
步骤4：异常用户分析 该章节为您介绍如何分析异常用户。 操作步骤 打开“控制面板 > 管理工具 > 计算机管理”。 在左侧导航树中，选择“本地用户和组 > 用户”，查看主机是否存在异常用户。 在左侧导航树中，选择“本地用户和组 > 组”，检测组是否存在异常。 检测主机内的异常用户
查看当前TCP连接状态，判断该进程是否为木马程序。 如果发现存在不知名进程，并且存在大量的SYN_SENT状态的连接，该进程疑似为木马程序。 如果某个进程的连接的端口非常有规律（如6666，2333等），或者在RemoteAddress这一栏自动解析的host中包含mine，pool，xmr等关键字，该进程疑似被感染病毒。
步骤2：自启动分析 该章节为您介绍如何通过Autoruns工具查看哪些程序被配置为在系统启动和登录时自动启动。 前提条件 推荐下载“Autoruns”工具。 操作步骤 打开“Autoruns”文件夹，双击“Autoruns.exe”文件。 图1 打开AutoRuns文件夹 在弹出的对话框中，单击“Agree”。
步骤1：进程分析 本章节介绍如何通过Windows官方进程排查木马程序。 前提条件 推荐下载“ProcessExplorer”软件。 操作步骤 打开“ProcessExplorer”文件夹，双击“procexp64.exe”文件。 图1 processExplorer 在弹出的对
方案一：工具溯源排查 步骤1：进程分析 步骤2：自启动分析 步骤3：网络分析 步骤4：异常用户分析 父主题： 排查过程
主机安全排查（Windows操作系统） 排查思路 排查过程 父主题： 主机安全排查
口令 ，密码12位以上。 提升安全性的方法： 不使用空口令或系统缺省的口令，因为这些口令很容易被攻击者进入甚至不需要任何成本，为典型的弱口令。 设置高长度&高复杂度字符口令。 口令不要设置连续的某个字符（例如：AAAAAAAA）或重复某些字符的组合（123123）。 口令使用复杂
会带来直接的经济损失，因此，勒索病毒的入侵危害巨大。 勒索病毒具有传播方式多样性和顽固的攻击性特征，一旦被勒索病毒入侵，资产和经济都将遭受重大损失。 案例 如下为主机被勒索的几个案例： 案例一：Windows主机文件加密，主机内存在勒索信条 案例二：Windows主机文件加密，主机内文件被添加后缀
再运行。 为彻查主机和应用方面潜在的安全风险，建议使用华为云官方提供的管理检测与响应服务进行全面的安全体检或使用主机安全服务深度防御： 管理检测与响应服务请参见：https://www.huaweicloud.com/product/ses.html。 企业主机安全服务请参见：https://www
排查思路 Linux主机排查主要分为用户和应用两部分。 用户：通过进程、网络进行分析，查看运行进程的用户。对用户家目录下的用户名目录进行排查是否存在异常文件，是否存在异常登录或暴力破解。 应用：查看进程所属应用，应用的目录下是否有异常文件。 父主题： 主机安全排查（Linux操作系统）
排查思路 本文档为您介绍两种Windows主机排查方法，推荐选择“工具溯源排查”的方法： 方案一：工具取证排查（推荐）：使用Windows官方的进程/链接/自启动分析工具进行排查。 使用工具取证排查方案时，建议如下软件工具： 表1 软件工具 工具名称 下载地址 ProcessExplorer
主机面临的安全问题 概述 对外攻击：端口扫描 挖矿 勒索 父主题： 主机安全排查
主机安全排查（Linux操作系统） 排查思路 排查过程 Linux主机安全加固建议 父主题： 主机安全排查
+用户名（如oracle） 根据成功日志寻找登录主机的习惯时间，需关注与木马植入相近的时间。 根据登录的时间关注是否有异常IP登录及登录的频次（包括成功或失败的次数），若异常IP登录次数多则疑似为爆破行为。 如果上述方法均不能解决您的疑问，请“提交工单”寻求更多帮助。 父主题： 主机安全排查（Linux操作系统）
查看网络分析，是否存在异常的IP链接主机。 查询命令：netstat –ano 根据查询结果排除业务连接端口或业务外部地址连接，锁定可疑地址。 使用微步在线确认可疑地址是否属于恶意或非正常业务的海外地址。 通过异常连接的“PID”,通过值（如2240）在步骤 1的查询结果找到进程（如vchost
概述 数据、程序运行在主机上，一旦主机被黑客成功入侵，数据将面临被窃取或被篡改的风险，导致业务中断，造成重大损失，主机安全是业务安全的重中之重。 本文将重点介绍主机可能面临的以下几个安全问题： 对外攻击：端口扫描 挖矿 勒索 父主题： 主机面临的安全问题
标服务器或工作站的IP地址，以发现主机开放的端口，并利用端口对应程序中的漏洞进行攻击。 案例 以下为主机被端口扫描攻击的几个案例： 案例一： 此机器正在对外大量扫描6379端口，示例如图1所示。 图1 端口扫描 查询发现这些IP地址均为境外IP。 案例二： 主机内发现异常进程，如图2所示。
排查过程 方案一：工具溯源排查 方案二：DOS系统命令排查 Windows主机安全加固建议 父主题： 主机安全排查（Windows操作系统）
主机安全排查 主机面临的安全问题 主机安全排查（Windows操作系统） 主机安全排查（Linux操作系统）
密文件、关键资产的用户名和密码等，导致资产遭受更进一步的损失。 案例 如下为主机被挖矿的几个案例： 案例一： 发现异常文件（一般带有xmr或mine的标识）。 对文件进行分析，发现矿池信息，URL进行检测为矿池。 案例二： Windows主机存在挖矿进程。 主机内发现异常文件。 对文件进行分析，发现矿池信息。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
