威胁研究正文

主机安全产品应对挖矿风险最佳实践

2022-03-28 09:37:53

主机安全应对挖矿风险处置手册

一、什么是挖矿木马

挖矿木马会占用CPU进行超频运算,从而占用主机大量的CPU资源,严重影响服务器上的其他应用的正常运行。黑客为了得到更多的算力资源,一般都会对全网进行无差别扫描,同时利用SSH爆破和漏洞利用等手段攻击主机。部分挖矿木马还具备蠕虫化的特点,在主机被成功入侵之后,挖矿木马还会向内网渗透,并在被入侵的服务器上持久化驻留以获取最大收益。整体的攻击流程大致如下图所示:


{xunruicms_img_title}


挖矿的几个检测点有:木马文件、外连矿池、执行恶意下载高危命令。


二、清理挖矿木马

具体步骤如下:

1、登录主机安全控制台-入侵检测,点击文件查杀选项,选择一键检测按钮排查主机上的可疑挖矿文件,若发现可疑恶意文件,可进行隔离处置。若并无发现恶意木马,可结合恶意请求、高危命令模块检出信息定位挖矿行为,并按照自助清理手册指引上机做处置。


{xunruicms_img_title}


{xunruicms_img_title}


 2、点击定时查杀设置按钮,配置主机定时查杀功能。


{xunruicms_img_title}


三、提升主机的安全防御能力,防止被黑客入侵

第一步:对主机上的配置缺陷风险和弱口令检测

主机安全通过对主机上的配置项和弱口令进行扫描,实现主机风险的发现,提醒用户尽快修复。

具体查看的步骤如下:

1、登录主机安全控制台。

2、左侧导航栏页面,定位用户管理选项,点击主机列表选项,查看全部主机基线风险标签。


{xunruicms_img_title}


3、点击基线风险标签数据,跳转到基线管理详情页面,查看详细的暴露面风险信息。尤其需要关注弱口令风险。


{xunruicms_img_title}


第二步:对主机上的安全漏洞进行检测和修复

具体查看与修复漏洞的步骤如下:

1、登录主机安全控制台。

2、左侧导航栏页面,定位漏洞管理选项,可以看到右侧漏洞分类展示。


{xunruicms_img_title}


3、下拉页面可看到漏洞详情按钮与修复状态,以及修复按钮。(部分漏洞需要手动修复)


{xunruicms_img_title}


4、点击修复方案按钮可以查看详细的修复步骤信息。


{xunruicms_img_title}


5、漏洞修复后可点击重新检测按钮,检查是否完成修复。

 

第三步:对主机上的安全组策略进行优化

主机安全组未进行限制,”裸奔“在公网也是不安全的重要原因

具体操作如下:

1、登录主机控制台,在安全组选项中,选择编辑规则


{xunruicms_img_title}


2、安全组规则设置建议:  

①建议远程端口限制来源ip,可以有效防止陌生ip登录  

②建议不添加全部放通规则,使默认全部拒绝规则生效,可以有效限制未明确需要放通的端口被访问  

③安全组应用案例:云服务器 安全组应用案例 - 操作指南 - 文档中心 - 腾讯云

 

3、安全组设置方法:

添加安全组规则:云服务器 添加安全组规则 - 操作指南 - 文档中心 - 腾讯云

①点击添加规则:


{xunruicms_img_title}


②在弹出的“添加入站规则”窗口中,设置规则


{xunruicms_img_title}

{xunruicms_img_title}



四、 使用前准备

使用已购买授权/试用授权前,需要保障主机安全agent在线,且将主机安全授权绑定到需要进行安全检测的服务器。


1、 查看云镜agent是否在线

点击【资产管理】>【主机列表】> 查看资产状态

资产状态为“防护中”,即可以正常使用主机安全功能

资产状态为“已离线”,请点击【安装主机安全客户端】按钮,按照指引重新安装agent,或参考离线排查文档。


Linux 客户端离线排查:https://cloud.tencent.com/document/product/296/30233

Windows 客户端离线排查:https://cloud.tencent.com/document/product/296/32406


{xunruicms_img_title}


2、绑定授权

第一步:点击【设置中心】>【授权管理】>【绑定购买/试用主机】


{xunruicms_img_title}


第二步:选择需要绑定授权的主机,可以选择绑定【全部主机】/【自选主机】,选择主机完毕后确认绑定,即可开始使用主机安全专业版/旗舰版。


{xunruicms_img_title}


3、购买授权

登录腾讯云官网,在 "主机安全购买页面" 可购买专业版或旗舰版防护授权,支持绑定主机,也可在购买后前往授权管理页绑定主机。


{xunruicms_img_title}


 

在线咨询

方案定制