分支机构:南方联合深圳总公司南方联合广州分公司          网站备案 网安备案帮助中心    业务咨询:4008 313 665    24小时技术支持:4006 383 665
深圳主机托管,深圳主机租用,深圳服务器租用,深圳服务器托管,深圳idc,广州服务器托管,广州服务器租用,香港服务器托管,机柜宽带租用,南方联合
当前位置:首页->帮助中心

邮件服务器托管的安全排查该怎么进行

作者:admin      来源:南方联合      发布日期:2019/3/21 0:00:00

      服务器托管用户定期进行安全排查是有必要的,这样才能避免产生更多的漏洞让黑客有机可乘,那么安全排查又该如何进行呢?

  1、了解服务器异常情况。
  常见异常情况:异常的流量、异常tcp链接(来源端口,往外发的端口)、异常的访问日志(大量的ip频繁的访问个别文件)。

  如果部署了监控系统的话(强烈建议部署zabbix,并增加对系统添加专门安全items),可以方便通过zabbix监控图和趋势对比了解这些信息:

  比如系统被黑或者中木马的话,zabbix上表现常见为:
  1)系统负载不正常增加(14天,按天对比,事故当天安时对比),主要是因为会有系统操作,起一些恶意进程会占用CPU,占用IO:比如起进程挖矿,会大量占用CPU;如果中勒索木马的话,会对系统文件加密,会大量占用占用CPU,占用IO。

  2) 系统链接数不正常,对外流量不寻常的增加:木马利用当前服务器对外发包,进行二次扫描或者Ddos攻击。

  异常上行流量监控表现
  3) 服务器文件变化,文件被篡改:主要涉及目录有/tmp,/root/.ssh,/boot/,/bin,/sbin,/etc,/etc/crontab,/etc/init.d/ 等等。
  关于服务器安全监控的有关内容,此处不在在赘述,后续笔者会推出专门文章予以阐述,敬请期待。

  2、根据服务器情况判断
  利用last,lastb发现异常的用户登录情况,ip来源。利用lastlog,/var/log/message,/var/log/secure,日志等,是否权限已经被攻陷。用history 发现shell执行情况信息,用top,ps,pstree等发现异常进程和服务器负载等情况,用netstat -natlp发现异常进程情况。用w命令发现当前系统登录用户的情况。

  3、中标服务器处理:
  如果发现异常用户,立即修改用户密码,pkill -kill -t tty 剔除异常用户。然后进行进一步处理。

  1)发现异常进程,立即禁止,冻结禁止。
  如果禁止后会自动重启,则需要判断crontab等来找到进程重启的原因,如果有cron项目恶意重启进程,先要对cron进行清理。如果,是进程有自启动机制保护进程被杀后重启的话,此时可暂时冻结异常进程(注意不是停止)

  发现一个恶意进程后通过 ls -al /proc/Pid (Pid为具体的进程号),发现进程的启动路径,启动的文件所在目录等信息。

  kill -STOP Pid 可以暂时冻结pid的进程,这时此进程将不能正常工作,不能占用系统资源,不往外发包。,被冻结的进程可以通过ps aux|grep -T来查到,此后如果需要可通过 skill -CONT Pid恢复进程。

  2)如果发现异常连接数,通过iptables封禁相关端口或者ip

  3) 查看网站访问日志,分析异常访问,对异常访问ip进行处理,对异常访问的文件进行处理

  4)对清理移动木马,杀掉进程。
  首先清理掉,木马创建的cron 计划项和主要是/etc/crontab文件,和cron.d/ cron.daily/ cron.deny cron.hourly/ cron.monthly/ cron.weekly/等目录下的恶意计划项目; /etc/init.d/下的恶意启动项以及rcN目录下的启动项。记录下这些项目的内容涉及到的文件,然后全部清理到,注意截图保留相应的证据(文件时间签,文件内容等的截图)。

  其次,根据ls -al /etc/proc/Pid/ 找的恶意木马文件,以及上一步的计划项和启动项目中涉及所有木马文件。所有进程项目的进程ID:
  恶意进程的执行目录和文件
  最后用一条命令 kill -9 所有的进程ID && rm -rf 所有涉及的文件和目录。

这就是服务器托管进行安全排查的方法,以上信息由南方联合小编整理提供,南方联合是深圳的老牌服务商,有着13年的丰富管理经验,致力于为各大中小企业提供服务器托管,服务器租用,主机托管,宽带租用等服务,机房网络稳定快速,有专业技术团队提供7x24小时服务,更多详情欢迎咨询客服了解。

开始体验免费套餐

联系客服,只要有业务需求,即可获得独立服务器测试!
注册成为会员,为您提供最佳上云实践机会
南方联合在线客服 立即登录或注册

深圳服务器托管 深圳服务器租用 深圳主机托管 深圳主机租用 CDN加速 专线接入 独享带宽 数据中心机房机柜租用idc公司旧版网站登陆南方联合站点地图友情链接:裸金属服务器

Copyright © 2005-2020 深圳市南方联合科技有限公司 版权所有 备案号:粤ICP备05107047号 经营许可证编号:A2.B1-20170254 统一社会信用代码:91440300779894166R

网络社会征信网    深圳网警    深圳工商    南方联合备案号    深圳市市场监督管理局企业主体身份公示

安备号

粤公网安备 44030602000558号

深圳主机托管,深圳主机租用,深圳服务器租用,深圳服务器托管,深圳idc,广州服务器托管,广州服务器租用,香港服务器托管,机柜宽带租用,南方联合