Nagios是一款开源的免费网络监视工具，能有效监控Windows、Linux和Unix的主机状态，交换机路由器等网络设置，打印机等。在系统或服务状态异常时发出邮件或短信报警，第一时间通知网站运维人员，在状态恢复后发出正常的邮件或短信通知。
https://github.com/JeffXue/web-log-parser
HVV行动已经进行到了11天，处置的工作明显增多，随着各种情况发生，所以这两天分别整理一些关于Linux和Windows的排查手册。
当企业被攻击者入侵，系统被挂暗链、内容遭到恶意篡改，服务器出现异常链接、卡顿等情况时，需要进行紧急处理，使系统在最短时间内恢复正常。由于应急处理往往时间紧，所以尝试将应急中常见处理方法整合到脚本中，可自动化实现部分应急工作。应急脚本采用python2.0完成，由于所有需要执行的命令都是依靠ssh进行远程链接，所以在运行脚本之前，需要输入正确的主机ip地址、ssh远程连接端口、ssh远程登录账户、ssh远程登录密码。
当Linux主机发生安全事件需要进行入侵排查时，一般可以使用常见的shell命令，通过分析主机的异常现象、进程端口、启动方式、可疑文件和日志记录等信息以确认主机是否被入侵。
什么是 「Paramiko」？ Paramiko是一个Python实现的SSHv2协议的库，可以用于在远程服务器上执行命令、上传和下载文件等操作。它使用了加密算法，可以提供安全的远程访问。由于其简单易用的API和丰富的功能，Paramiko被广泛用于自动化运维和云计算等领域。
SIGSEGV，也称为分段违规或分段错误，是基于 Unix 的操作系统（如 Linux）使用的信号。它表示程序尝试在其分配的内存之外进行写入或读取，由于编程错误、软件或硬件兼容性问题或恶意攻击（例如缓冲区溢出）。
1、情况概述 该案例是前期应急处置的一起因安全问题导致的内网不稳定的情况。写下来，和大家一起讨论应急响应的一些思路及其中间遇到的一些坑，欢迎大牛指点、讨论。 情况是这样的：某用户发现在网络经常出现内网中断的情况，经其内部分析，初步判定可能为其在云上的一台虚拟服务器(Linux)异常导致，但是前期对这台虚拟主机进行常规的安全检查与数据包分析，并没有发现其有异常情况。但是用户发现只要这台虚拟主机接入网络就会不定期出现内网中断。该服务器对外只开放 ssh和80。用户为保证其他服务器的安全及可用性，把这台
攻击溯源作为安全事故中事后响应的重要组成部分，通过对受害资产与内网流量进行分析一定程度上还原攻击者的攻击路径与攻击手法，有助于修复漏洞与风险避免二次事件的发生。攻击知识可转换成防御优势,如果能够做到积极主动且有预见性，就能更好地控制后果。
虽然今天处置的时候并非本文章情况，等过段时间结束了我在发一下我的处置过程涉及到的技术点以及思路
本文章来自我的微信个人技术公众号---网络技术修炼，公众号中总结普及网络基础知识，包括基础原理、网络方案、开发经验和问题定位案例等，欢迎关注。
当容器终止时，容器引擎使用退出码来报告容器终止的原因。如果您是 Kubernetes 用户，容器故障是 pod 异常最常见的原因之一，了解容器退出码可以帮助您在排查时找到 pod 故障的根本原因。
日志分析在入侵检测中的应用越来越广泛，合适的使用日志，使日志产生巨大的价值，本文旨在探讨如何让日志的价值在安全领域发挥作用。
众所周知，Kafka是一个开源分布式事件流平台，尤其以高吞吐、低延迟著称，并且已经被数千家企业用于高性能数据管道、流分析、数据集成和核心业务应用程序。
日志审计是指通过全面收集企业软件系统中常见的安全设备、网络设备、数据库、服务器、应用系统、主机等设备所产生的日志（包括运行、告警、操作、消息、状态等）并进行存储、审计、分析，识别发现潜在安全事件与安全风险。日志审计同样属于数据安全领域的重要组成部分。
Linux环境下处理应急响应事件往往会更加的棘手，因为相比于Windows，Linux没有像Autorun、procexp这样的应急响应利器，也没有统一的应急响应处理流程。
最近reportDB监听无法随系统自启动，现象比较怪异。因为该服务器上的另一个实例的监听可以正常启动，这个不能自启动实例的监听手动启动又是正常的。因此记下这次离奇暂未找到原因的故障。
本文介绍了一种从攻防两个维度研究分析网络安全对抗技术的方法。该方法基于Sysmon日志、ATT&CK标签日志、操作系统日志的分析实践，通过几种典型攻防对抗技术示例，着重介绍和分析攻击在主机层面特征，为蓝队人员“看得见”“看得清”网络威胁，提供了一种简单易学的技术修炼方法。也借此抛砖引玉，希望在安全规则优化或威胁狩猎的专家能有更多此方面技术分享。 “左右互搏术” 这里的“左右互搏术”，喻意为安全人员一边模拟红队或入侵者或企业内恶意人员的攻击，一边作为防守方从网络、主机等多层面检测和分析攻击，有助于安全人员
在现在越来越庞大的网络面前，我们的企业网络网络为了实现相对来说的安全都会在企业网与internet之间架设防火墙。但是在有些情况下，防火墙并不能发挥作用。
作为运维工程师来说，最怕遇到服务器崩了、内存爆了、CPU满了等情况，尤其对于生产环境来说影响是非常巨大的。对于运维工程师来说可能面临被“炒鱿鱼”的风险。那么遇到这种情况怎么办呢，首先是要沉着冷静，然后按照下面的Shell命令来排查服务器本身的问题。
当前的信息安全建设方案中，安全防护都是针对外部的，而对于内部的威胁却少有关注，尤其是内部主机可能存在通过其他途径被黑的情况，一旦被黑客控制成为“肉机”，可能会感染内部更多主机，对内部主机和网络资源造成影响，如果再被控制用来向外部发起攻击，后果影响就更为恶劣。 一起事件引发的思考 类似的情况越来越多出现在我们的客户中，近期我们就遇到多次相关事件，其中比较典型的一起是针对某高校的。该高校在不久前发现内网莫名出现异常，网络经常性出现短时间瘫痪，官网也时常出现无法访问的情况。该事件引起技术人员的重视，立即安排人员
主机安全（Cloud Workload Protection，CWP）基于腾讯安全积累的海量威胁数据，利用机器学习为用户提供资产管理、木马文件查杀、黑客入侵检测、漏洞风险预警及安全基线等安全防护服务，解决当前服务器面临的主要网络安全风险，帮助企业构建服务器安全防护体系。现支持用户腾讯云外服务器统一进行安全防护，轻松共享腾讯云端安全情报，让私有数据中心拥有云上同等级别的安全体验。
DDoS 即分布式拒绝服务攻击已经存在很久了，臭名昭著且难以处理（与任何其他攻击一样）。顾名思义，DDoS 攻击会导致应用程序或服务因资源超出其容量而对用户不可用，并导致应用程序崩溃或无响应。DDoS 是 DoS 的一种形式，其中攻击来自多个来源（机器人），通常分布在各个地理位置。想象一下，您的手机在很短的时间内收到数千个垃圾电话，而其中一个合法电话正在尝试与您联系。您如何确保您参加合法的通话？
非法挖矿一般分为基于文件的挖矿和基于浏览器的挖矿。由于云主机用户一般不使用浏览器访问网页，故基于浏览器的挖矿在公有云上并非较大的威胁。
综合日志审计平台，通过集中采集信息系统中的系统安全事件、用户访问记录、系统运行日志、系统运行状态等各类信息，经过规范化、过滤、归并和告警分析等处理后，以统一格式的日志形式进行集中存储和管理，结合丰富的日志统计汇总及关联分析功能，实现对信息系统日志的全面审计。
容器作为实现云原生的核心技术，凭借其轻量化、便捷性、高弹性的特点成为释放了云计算效能红利的重要技术之一。但容器作为新的防护对象，也面临着诸多安全风险。要确保容器安全，不仅要保护容器构建、分发和执行过程中涉及的组件堆栈，而且要涵盖容器开发、分发、执行、入侵检测和事件响应等不同阶段。基于此，青藤云安全总结得出了适用于 DevOps 工作流程的 14 个容器安全最佳实践。
前段时间公司发生了一起服务器入侵事件，在此分享给大家也顺便理顺下linux入侵应急响应思路。
Shell脚本,就是利用Shell的命令解释的功能，对一个纯文本的文件进行解析，然后执行这些功能，也可以说Shell脚本就是一系列命令的集合。
上次说写的ossec连载，不幸因为工作太忙夭折了，最近缓过神来决定补上第2篇，言归正传,ossec的功能主要是为了防御及抓坏人，但因为攻防之间本来就信息不对称所以防守方需要能早知道攻击者的行为，这点有很多案例来证明，我们能不能不安装ossec客户端的情况下来对攻击者攻击的入侵行为捕获呢，这也有利于我们对攻击者的行为有进一步的了解，我比较擅长linux，于是这里还以linux安全为主，对于网络边界来说ssh绝对是保护的重点。 关于ossec的安装，这里就不在赘述，可以看看官方文档，ossec支持2种模式，第一
产业互联网的升级换代，也同时带来网络安全的巨大变化。传统威胁是在客户端、企业私有云环境，随着业务上云，安全风险也随之上云。比如，以往传统认为linux系统没有恶意软件不需要安全软件，在产业互联网普及的今天，这一错误认知已彻底被打破。云端，已经成为硝烟弥漫的网络安全新战场。
简单自我介绍一下，我是一个安全工程师，也是一个人的“安全部”。一个周五的晚上，我正在和小伙伴们在游戏中厮杀，还沉浸在躺赢快乐中的我突然接到紧急短信。
安全圈的大事刚刚结束，安全圈的小伙伴也从加班的阴影中走了出来，这期间，学习写文章投稿的人很少，估计还是忙吧，大考结束之后，大家可以放松一下，然后继续学习新知识，打基础，为了迎接下一次的挑战而做准备。做安全防御，入侵检测是必不可少的，而入侵检测通常分为网络层面和主机层面，今天就来看一个带有主机入侵检测功能的安全平台，他不止包含主机入侵检测的功能，还包含其他的一些功能，比如：基线漏洞监控、合规性扫描，能力强的还可以根据检测的结果自动响应。
当单块架构被划分成微服务之后，随着微服务数量的增多，毫无疑问，将会面临比单块架构更复杂的问题。
什么是SIEM？英文全称为Security Information Event Management，安全信息与事件管理，Gartner定义为：安全信息和事件管理（SIEM）技术通过对来自各种事件和上下文数据源的安全事件的实时收集和历史分析来支持威胁检测和安全事件响应。
OpenTelemetry可以用于生成和收集遥测数据，如日志、指标和追踪。使用OpenTelemetry进行可观测性的优点是其开源免费，能够避免您受制于某一供应商。您可以把OpenTelemetry应用于多个场景中。
本文为整个专题的第四篇，中间跳过了原计划的“内网横向移动攻击模拟（下）”。原因是下与上的类型一致，均为攻击模拟的记录，可分享和讨论的意义不大，只要按照这种模式可以设计出更多的场景。继而，继续编写本专题后续的内容。
如何衡量Zabbix的性能情况？一台基础配置的Zabbix到底能监控多少主机，能使用监控多少监控项？性能瓶颈出在哪里？如何优化配置？
这两年见证了公司从600人发展到1200+的过程，虽然公司在安全投入上还算慷慨，但是人员编制有严格要求，一个人的安全部只能把精力放在基础/重点工作上。其中防病毒这块也是两年前才正式部署了企业版防病毒软件，推广过程中也遇到了很多阻力及各种奇葩的安全理念（比如生产服务器我不敢装防病毒，万一瘫了怎么办；领导的电脑，防病毒还是别装吧，装了会很慢），这期间也遇到多起病毒木马事件，每次我都会借助安全事件，狠狠的推一把防病毒软件，目前为止，已经实现所有PC和Windows服务器防病毒软件的百分百覆盖。现将几起病毒木马的处理过程整理一下跟大家分享，本系列偏向于实战。
且听笔者一句劝，无论是Windows还是Linux抑或是Unix都是大部分理论是相同的，与其与人争吵对比这几个平台之类的差异，不如好好研究下底层的各个子系统。
首先，进入到RocketMQ安装目录，如：~/opt/rocketmq-all-5.2.0-bin-release。
连接到服务器，首先通过ps auxef 和 netstat -tulnp两个命令查看异常进程信息，果然发现了两个异常进程 xmp 和 [atd]
◆ 概述 SSHGuard是一个入侵防御实用程序，它可以解析日志并使用系统防火墙自动阻止行为不端的 IP 地址（或其子网）。最初旨在为 OpenSSH 服务提供额外的保护层，SSHGuard 还保护范围广泛的服务，例如 Vsftpd 和 Postfix。它可以识别多种日志格式，包括 Syslog、Syslog-ng 和原始日志文件。SSHGuard 与 Fail2ban 非常相似，只是它是用 C 编写的（Fail2ban 是用 Python 编写的），更轻巧，提供的功能更少。 在本指南中，我们将演示如何安装
默认情况下todesk日志文件保存在安装目录同级目录Logs下，在4.7以前的版本中，目录下有以service为首的文件以及以client为首的文件。其中service文件表示是被别人远控的日志。client文件表示是远控别人的日志。在4.7后的版本含4.7中，目录下不再存在以client为首的文件。
今天闲来无事便在后台瞎转悠，一不小心就跑到了访问日志那。不看还好，一看发现不少异常访问。看图
使用 kubectl describe pod 查看异常的 pod 的状态，在容器列表里看 State 字段，其中 ExitCode 即程序退出时的状态码，正常退出时为0。如果不为0，表示异常退出，我们可以分析下原因。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
