对症下药：抢救被入侵的系统

名　创

攻击者入侵某个系统，总是由某个主要目的所驱使的。例如炫耀技术、得到企业机密数据、破坏企业正常的业务流程等等。有时也有可能在入侵后，攻击者的攻击行为由某种目的变成了另一种目的，例如：本来是炫耀技术，但在进入系统后，发现了一些重要的机密数据，由于利益的驱使，攻击者最终窃取了这些机密数据。

而攻击者入侵系统的目的不同，使用的攻击方法也会不同，所造成的影响范围和损失也就不会相同。因此，在处理不同的系统入侵事件时，就应当对症下药。不同的系统入侵类型，应当以不同的处理方法来解决，这样，才有可能做到有的放矢，达到最佳的处理效果。

一、以炫耀技术为目的的系统入侵恢复

对于以修改服务内容为目的的系统入侵活动，不需要停机就可以完成系统恢复工作。

1、应当采用的处理方式

(1)建立被入侵系统当前完整的系统快照，或只保存被修改部分的快照，以便事后分析和留作证据。

(2)立即通过备份恢复被修改的网页。

(3)在Windows系统下，通过网络监控软件或“netsiat-an”命令来查看系统目前的网络连接情况，如果发现不正常的网络连接，应当立即断开与它的连接。然后通过查看系统进程、服务和分析系统和服务的日志文件，来检查系统攻击者在系统中还做了什么样的操作，以便做相应的恢复。

(4)通过分析系统日志文件，或者通过弱点检测工具来了解攻击者入侵系统所利用的漏洞。如果攻击者是利用系统或网络应用程序的漏洞来入侵系统的，那么，就应当寻找相应的系统或应用程序漏洞补丁来修补它，如果目前还没有这些漏洞的相关补丁。……