Windows服务器安全事件响应处置入侵事件

Windows服务器被入侵后最忌讳的就是盲目重启或直接重装系统，这会把内存中的恶意进程痕迹、网络连接状态和攻击者留下的后门线索全部抹掉。正确的做法是先隔离、再取证、后清除、最后加固。隔离不是拔网线，而是通过网络策略或防火墙将服务器从业务网络中逻辑隔离，保留本机访问能力，同时阻断攻击者的远程控制通道。

第一时间要做的是保存当前系统状态。打开命令提示符，执行netstat -ano | findstr "ESTABLISHED"记录所有已建立的网络连接，重点看那些连接外部陌生IP的进程。再执行tasklist /svc查看进程对应的服务，很多后门会伪装成svchost.exe或lsass.exe，但路径不对。用wmic process get name,processid,executablepath,commandline /format:list可以拿到每个进程的完整路径和启动参数，攻击者常用的PowerShell无文件攻击、DLL劫持都会在这里露出马脚。

入侵者通常会创建隐藏账户或激活Guest账户。在CMD中执行net user可以列出所有本地账户，注意那些名字看起来像系统账户但描述为空或可疑的账号。net localgroup administrators检查管理员组是否有异常成员。更隐蔽的后门账户会通过注册表实现，在HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names下可以看到所有账户，但默认权限受限，需要以SYSTEM身份查看。

登录记录方面，事件查看器中的安全日志是关键。在“Windows日志-安全”中筛选事件ID 4624（登录成功）、4625（登录失败）、4672（特殊权限登录）。重点看登录类型，类型10是远程交互登录，类型3是网络登录，如果出现大量类型10的登录且源IP来自境外或非业务网段，基本可以确定被爆破或已失陷。用wevtutil qe Security /q:"*[System[(EventID=4624)]]" /f:text /rd:true /c:50可以快速导出最近50条登录成功记录。

很多入侵者拿到服务器权限后会部署挖矿程序或远控木马。打开任务管理器，按CPU和内存排序，注意那些占用异常但名字陌生的进程。挖矿木马通常会占用大量CPU，但会伪装成系统进程名。用PowerShell执行Get-Process | Sort-Object CPU -Descending | Select-Object -First 20可以按CPU占用排序。更准确的做法是用Process Explorer这类工具查看进程的签名、父进程和加载的DLL，很多恶意DLL没有数字签名或签名无效。

持久化机制排查要覆盖启动项、计划任务、服务和WMI事件订阅。注册表启动项位置包括HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run、RunOnce，以及HKEY_CURRENT_USER对应路径。计划任务用schtasks /query /fo LIST /v查看，重点看那些创建时间在入侵时间点之后、执行路径在Temp目录或可疑目录的任务。服务用sc query type= service state= all | findstr /i "SERVICE_NAME"列出所有服务，再逐个检查服务对应的可执行文件路径。WMI持久化比较隐蔽，用Get-WmiObject -Namespace root\Subscription -Class __EventConsumer可以查看WMI事件消费者，攻击者常用这个来触发恶意脚本。

如果服务器运行IIS或其他Web服务，Webshell是入侵者维持访问的常用手段。在网站目录下查找最近修改的文件，特别是.asp、.aspx、.php、.jsp等脚本文件。用PowerShell执行Get-ChildItem -Path "C:\inetpub\wwwroot" -Recurse -File | Where-Object {$_.LastWriteTime -gt (Get-Date).AddDays(-7)}可以列出最近7天修改的文件。Webshell的特征包括代码中包含eval、execute、base64_decode、cmd.exe等敏感函数，或者文件内容高度混淆。常见Webshell文件名有shell.aspx、cmd.aspx、test.aspx、upload.aspx等，但攻击者也会用正常业务文件名来伪装。

文件完整性检查方面，如果之前部署过文件监控或哈希基线，可以直接对比。没有的话，重点检查系统目录下的异常DLL和EXE。C:\Windows\System32下最近新增的可疑文件，C:\Windows\Temp和C:\Users\Public目录下的可执行文件，都是攻击者常用的落地点。用dir /s /b /a C:\Windows\Temp\*.exe可以查看Temp目录下的可执行文件。

如果服务器处于域环境中，入侵者可能已经横向移动到其他机器。检查本机的ARP缓存表arp -a，看是否有异常的内网IP映射。用net session和net use查看当前建立的网络会话，如果本机主动连接了其他内网服务器的445端口或3389端口，可能是横向移动的迹象。在防火墙日志中筛选内网到内网的异常连接，尤其是那些目标端口为445、135、139、3389的连接。

DNS查询记录也能暴露问题。执行ipconfig /displaydns查看DNS缓存，攻击者的C2域名或恶意软件回连域名会出现在这里。用Get-DnsClientCache | Format-List可以更清晰地查看。如果发现大量随机子域名或长域名查询，很可能是DNS隧道或DGA域名生成算法产生的。

确认所有恶意进程和持久化机制后，按顺序清除。先结束恶意进程，用taskkill /PID 进程号 /F强制结束。然后删除对应的可执行文件和DLL文件，清理注册表启动项、计划任务、服务和WMI订阅。删除隐藏账户用net user 用户名 /delete，如果是注册表隐藏账户，需要先修改注册表权限再删除对应项。修改所有账户密码，包括本地管理员、域账户、服务账户，密码长度至少16位，包含大小写字母、数字和特殊字符。

系统修复方面，如果系统文件被替换或篡改，用sfc /scannow扫描并修复系统文件。DISM /Online /Cleanup-Image /RestoreHealth可以修复系统映像。如果IIS被植入恶意模块，需要重新安装或修复IIS。更新所有补丁，特别是入侵者利用的漏洞对应的补丁。检查防火墙规则，删除攻击者添加的放行规则，重新配置最小化访问策略。

清除完成后，不要急着恢复业务。先对安全日志进行完整审计，还原攻击者的入侵路径和时间线。重点看入侵时间点前后的日志，包括登录日志、进程创建日志、服务安装日志、防火墙规则变更日志。如果开启了Sysmon，可以拿到更详细的进程创建、网络连接、文件创建记录。用Get-WinEvent -LogName Security -MaxEvents 1000 | Export-Csv -Path C:\security_log.csv可以把安全日志导出为CSV文件进行分析。

时间线还原的目的是搞清楚几个问题：攻击者是怎么进来的，是漏洞利用、弱口令爆破还是钓鱼邮件；进来后做了什么，是直接部署后门还是先提权；有没有横向移动，影响了哪些其他系统；数据有没有被窃取或加密。这些问题搞清楚了，才能针对性地加固，避免再次被同一手法入侵。

事件处置的终点是加固。首先关闭不必要的端口和服务，用netstat -ano确认当前监听的端口，只保留业务必需的。禁用SMBv1，启用SMB签名和加密。远程桌面服务如果必须开放，修改默认3389端口，配置账户锁定策略，限制登录源IP。本地安全策略中，密码策略设置为复杂度启用、最小长度14位、最长使用期限90天。账户锁定阈值设置为5次，锁定时间30分钟。

日志策略方面，确保审核策略覆盖登录事件、账户管理、策略变更、进程创建、系统事件。日志大小设置合理，配置日志转发到集中的日志服务器，防止攻击者清除本地日志。部署Sysmon并配置合适的规则，可以记录进程创建、网络连接、文件创建时间等关键信息。定期备份重要数据和系统状态，备份文件离线存储，防止勒索软件加密备份。

最后建立应急响应流程文档，明确发现入侵后的处置步骤、责任人和沟通机制。定期进行安全演练，模拟入侵场景，检验响应流程的有效性。Windows服务器安全不是一次性的工作，而是持续的过程，只有把监测、响应、加固形成闭环，才能真正降低被入侵的风险和损失。