web系统服务器监控检查

一、检查操作系统是否存在增减文件，是否有shell被上传

要检查操作系统是否存在增减文件或是否有shell被上传，您可以按照以下步骤进行操作：

文件完整性检查：
- 使用文件系统的完整性检查工具，例如fsck（对于ext系列文件系统）或chkdsk（对于NTFS）。这些工具可以帮助您检查文件系统的完整性和一致性。
- 使用系统备份：如果您有定期的系统备份，可以比较当前系统和备份中的文件列表，以查看是否有新增或删除的文件。
查看系统日志：
- 检查系统日志（如/var/log/messages或/var/log/syslog）以查看是否有与增减文件或shell上传相关的条目。
- 注意异常的用户活动或异常的命令执行。
使用安全审计工具：
- 使用像auditd这样的安全审计工具来监控和记录系统上的文件更改和命令执行。通过分析这些审计日志，您可以确定是否有未经授权的文件更改或shell上传。
检查磁盘使用情况：
- 使用df命令检查磁盘使用情况，看是否有异常的大文件或目录。
手动搜索：
- 在文件系统中搜索可能的shell文件（例如常见的shell后门名称），可以使用find或grep命令。
- 检查可能隐藏目录和文件的常见位置，例如/tmp, /var/tmp, /root, /home/*, /usr/local/, /opt/, /var/log/, /var/spool/, /var/lib/, /etc/等。
网络监控：
- 如果您有网络监控工具，如入侵检测系统 (IDS) 或入侵预防系统 (IPS)，它们可以检测到外部攻击尝试以及可能的shell活动。
文件哈希值比较：
- 如果您有已知的良好文件哈希值列表，可以比较当前文件的哈希值以查找更改。这需要您在系统未被攻击之前获取已知的良好哈希值。
使用安全扫描工具：
- 使用安全扫描工具，如Nmap、Nessus、OpenVAS等，可以帮助您发现潜在的安全漏洞和恶意软件。
用户活动监控：
- 监控非正常用户活动，例如管理员权限的频繁使用、非常规时间段的登录、非标准命令的使用等。
更新和打补丁：

确保您的操作系统和所有应用程序都已更新到最新版本，并应用了所有安全补丁。这有助于减少被攻击的风险。

权限管理：* 限制不必要的用户访问权限，特别是root权限。使用最小权限原则来降低潜在的损害。
审计和监控：* 定期进行系统审计和监控，以确保没有未授权的更改或活动。
数据备份：* 定期备份所有数据和配置，以便在发现安全问题时可以迅速恢复到已知的良好状态。
教育和培训：* 提高员工的安全意识，让他们了解常见的网络攻击和如何识别可疑活动。
日志分析：* 使用日志分析工具来监视和分析系统日志，以便及时发现异常活动。
端点保护：* 使用端点保护解决方案来加强系统防御，并实时检测和阻止恶意活动。
使用加密：* 对敏感数据进行加密存储，以保护数据免受未经授权的访问和泄露。
配置安全策略：* 制定并实施安全策略，包括访问控制、数据保护和网络安全等方面的规定。
及时响应：* 一旦发现安全问题，立即采取措施进行调查、隔离和修复，以防止进一步损害。

二、检查系统是否有新增减帐号

要检查系统是否有新增或减去的账号，可以按照以下步骤进行操作：

登录系统：
- 使用具有管理员权限的账户登录系统。
打开命令提示符：
- 按下Win键和R键，打开运行框。
- 输入"cmd"，然后点击"确定"。
查看用户账户：
- 在命令提示符窗口中，输入"net user"，然后按回车键。这将列出系统上的所有用户账户。
检查新增账户：
- 仔细查看用户列表，查看是否有任何未知或可疑的账户。
- 如果发现任何未知账户，请进一步调查这些账户的用途和权限。
检查账户状态：
- 使用"net user 用户名"命令，将"用户名"替换为特定用户的名称，查看该用户的详细信息，包括账户状态。
- 如果发现任何账户被标记为"禁用"或"未验证"，这可能意味着这些账户已被删除或禁用。
检查隐藏账户：
- 有时，恶意软件可能会创建隐藏账户来隐藏其活动。可以使用一些工具或手动检查来查找这些隐藏账户。
检查注册表：
- 打开注册表编辑器（regedit）。
- 导航到以下键值：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Profile\Users。
- 检查每个用户账户对应的键值，查看是否有任何未知或隐藏的账户。
使用安全软件扫描：
- 运行反病毒软件或安全扫描工具，以查找和清除任何恶意软件或潜在的威胁。
检查系统日志：
- 查看系统日志文件，如事件查看器（Event Viewer），以查找与用户账户相关的任何异常活动或事件。
权限审计：

检查用户账户的权限分配情况，确保没有不必要或过高的权限设置。

及时更新和打补丁：* 确保系统和应用程序都已更新到最新版本，并应用了所有安全补丁。这有助于减少潜在的安全风险。
定期备份和恢复：* 定期备份系统数据和配置，以便在发现安全问题时可以迅速恢复到已知的良好状态。

三、检查系统被暴力破解登录的帐号情况

要检查系统是否遭受暴力破解攻击以及被登录的账号情况，可以采取以下步骤：

监控系统日志：
- 检查系统日志，如事件日志、安全日志和访问日志等，查找异常或可疑的行为。
- 查找指示未授权登录尝试、异常系统活动或意外文件修改的条目。不寻常的模式或过多的失败登录尝试可能表明存在潜在的暴力破解攻击。
查看特定日志文件：
- 查看特定的日志文件，如 /var/log/message、/var/log/auth.log、/var/log/userlog、/var/log/cron、/var/log/lastlog、/var/log/secure、/var/log/wtmp 和 /var/log/faillog。
- 这些日志文件记录了登录的用户信息、系统授权信息、登录尝试的记录等，有助于发现异常登录和暴力破解攻击的迹象。
检查登录记录：
- 查看登录记录，包括登录时间、登录用户名和IP地址等信息。查找异常的登录尝试，例如来自未知IP地址的连续失败登录尝试或非常规时间段的登录活动。
使用安全审计工具：
- 使用安全审计工具，如入侵检测系统 (IDS) 或入侵预防系统 (IPS)，可以实时监控和记录系统上的网络活动和异常登录尝试。这些工具可以提供更深入的分析和警报功能，帮助您识别和应对暴力破解攻击。
定期检查账户状态：
- 定期检查系统上的账户状态，包括账户权限、登录历史记录和账户属性等。查找任何异常或可疑的账户活动，例如未授权的账户访问或权限提升。
加强账户安全：
- 采取措施加强账户安全，例如使用强密码策略、限制登录尝试次数、启用多因素身份验证等。这些措施可以增加暴力破解攻击的难度，并减少潜在的安全风险。
及时响应：
- 一旦发现暴力破解攻击的迹象，立即采取措施进行调查、隔离和修复，以防止进一步损害。这可能包括暂时关闭受影响的账户、更改密码、更新安全补丁等。
加强网络防护：
- 使用防火墙和其他网络安全设备来限制对系统的访问和潜在攻击流量。配置安全策略以仅允许必要的网络流量和访问请求通过，并阻止未授权的访问尝试。
数据备份和恢复：

定期备份重要数据和配置信息，以便在发现安全问题时可以迅速恢复系统和数据。这有助于减少数据丢失和潜在的业务中断风险。

四、检查是否有异常进程

要检查服务器是否有异常进程，可以采取以下步骤：

打开服务器：
- 确保服务器已启动并正常运行。
使用命令行工具：
- 登录到服务器的命令行界面，可以使用SSH等远程登录工具。
查看进程列表：
- 在命令行界面中，输入ps aux或top命令，查看当前正在运行的进程。
- 分析进程列表，查找是否存在异常进程。异常进程可能是未知的程序或服务，或者是消耗大量资源（如CPU或内存）的进程。
使用系统监控工具：
- 如果服务器上安装了系统监控工具（如Zabbix、Nagios等），可以使用这些工具来实时监控服务器的性能和进程状态。
- 这些工具通常可以检测到异常的CPU和内存使用情况，并提供警报通知。
检查进程的详细信息：
- 对于疑似异常的进程，可以使用ps命令结合进程ID（PID）来查看更详细的进程信息。例如，输入ps aux | grep [P]ID可以查看特定PID的进程详细信息。
查找进程的来源：
- 通过查找进程调用的文件和目录，可以确定异常进程的来源。使用命令如findstr或grep可以帮助搜索相关文件和日志信息。
分析日志文件：
- 检查服务器的日志文件，如系统日志、应用程序日志等，以查找与异常进程相关的错误信息、警告或异常事件。这些日志文件通常位于/var/log/目录下。
网络流量监控：
- 如果服务器上部署了网络监控工具，如Wireshark或tcpdump，可以使用这些工具来捕获和分析网络流量。通过分析网络数据包，可以识别与异常进程相关的网络活动。
系统安全审计：
- 进行系统安全审计，检查服务器上已安装的软件、应用程序和服务，确保没有未知或未授权的软件正在运行。
权限检查：

检查进程运行的权限级别，确保没有高权限级别的进程被非授权用户执行。使用命令如ps -u可以查看进程的所属用户和权限。

资源限制策略：

检查服务器的资源限制策略，如CPU使用率、内存占用等，确保没有超出预设的阈值。配置适当的资源限制策略可以防止异常进程对服务器资源的过度占用。

更新和打补丁：

确保服务器上安装的所有软件和应用程序都是最新版本，并已应用安全补丁。这有助于减少潜在的安全风险和异常进程的出现。

定期检查和维护：

定期进行服务器的检查和维护，包括系统日志轮转、清理不必要的文件和程序、更新安全策略等。这有助于及时发现和解决潜在的异常进程问题。

五、检查WEB、系统日志、access访问日志等是否有异常

要检查WEB、系统日志、access访问日志等是否有异常，可以采取以下步骤：

打开服务器：
- 确保服务器已启动并正常运行。
检查Web日志：
- 找到Web服务器的日志文件，常见的Web日志文件包括Apache的access.log和error.log，Nginx的access.log和error.log等。
- 查看日志文件，查找是否存在异常请求、错误信息、异常IP地址等。这些信息可能指示潜在的攻击或异常行为。
检查系统日志：
- 打开服务器的系统日志，常见的系统日志文件包括/var/log/messages、/var/log/syslog等。
- 搜索异常事件、错误信息、警告等，以识别潜在的系统级问题或攻击活动。
使用日志分析工具：
- 使用日志分析工具（如Logstash、Splunk等）来收集、集中和解析日志数据，以便更方便地搜索、过滤和分析异常活动。这些工具可以帮助您快速识别和响应潜在的安全事件。
比较正常访问模式：
- 对于Web日志，您可以根据正常情况下的访问模式（如正常流量来源、访问路径等）来识别异常模式。将当前日志与已知的正常模式进行比较，以发现异常行为。
搜索异常IP地址：
- 在日志文件中搜索异常的IP地址，这些地址可能是攻击源或潜在的恶意流量。确保将这些IP地址与已知的良好IP地址进行比较，以避免误报。
检查访问日志的完整性：
- 确保Web服务器上的访问日志文件没有被篡改或损坏。如果日志文件被修改或损坏，这可能表明存在安全问题。
关联事件：
- 将不同来源的日志事件进行关联分析，以识别潜在的攻击或异常行为的上下文。例如，将Web请求日志与系统日志关联起来，以确定是否存在外部攻击尝试或内部异常行为。
设置告警和监控：

使用监控工具和安全系统来设置告警和监控规则，以便在检测到异常活动时及时收到通知。这些工具可以提供实时警报和自动响应功能，帮助您快速应对潜在的安全风险。

定期检查和维护：* 定期进行服务器的检查和维护，包括日志文件的轮转、清理和备份。确保日志文件保持最新状态，并定期审查和分析以发现潜在的异常活动。
加强安全措施：* 采取额外的安全措施来保护服务器和日志文件，例如使用防火墙、入侵检测系统 (IDS)、安全审计工具等。这些措施可以帮助减少潜在的安全威胁和恶意活动。