Mysticbinary

只有通过概念的劳作才能获得真实的思想

Win网络安全审计


Win进程通信

netstat -nb

用这个命令就能看到进程和外部的IP连接情况,并且能定位出进程。

TCPView

TCPView = 图形化netstat
除了能用netstat命令,还可以使用图形化界面的TCPView,它可以非常条理地列出目前电脑的网络连接状况,可以查询到目前连线有哪些软件连接到了网络,也可以知道该程序所使用的端口,它占用了多大的带宽使用了多少流量。

应急响应的时候,通过它可以发现不正常的网络连接,发现原理就是:无论是挖矿病毒、僵尸网络、肉鸡、CC服务器、内网传播等恶意行为都需要与其他主机进行通信,则本地必须调用相应的IP、域名链接。包括本地地址、本地端口、远程地址、远程端口等操作。如果远程地址为一个恶意网站,便可以轻易获取到系统的中毒进程,快捷的定位到具体问题。


通过上图可以发现mssecsvc.exe进程,正在对外网多个IP445端口进行SYN包探测,说明它在扫描,这是Wannacry病毒传播的过程。

TCPView下载地址:
https://docs.microsoft.com/zh-cn/sysinternals/downloads/tcpview

参考:
https://blog.csdn.net/namechenfl/article/details/90767222

审计登陆历史

security日志

查看Win的登陆信息,可以查看security日志

WinLogOnView

如果在安全日志找不到有用的信息,或者说视图效果不好的话,可以换WinLogOnView工具查看,看看有没有可疑的远程登陆IP。

下载地址:
http://www.xitongzhijia.net/soft/120871.html


这篇文章对你有帮助吗?作为一名程序工程师,在评论区留下你的困惑或你的见解,大家一起来交流吧!
微信公众号: Mysticbinary
Github:https://github.com/Mysticbinary
本文版权归作者所有,欢迎转载,但未经作者同意请保留此段声明,请在文章页面明显位置给出原文链接
声明:本文章仅限于讨论网络安全技术,请勿用作任何非法用途,否则后果自负,本人和博客园不承担任何责任!

posted on 2020-07-27 16:03  Mysticbinary  阅读(438)  评论(0编辑  收藏  举报

导航