受感染系统的恢复 | Decripte Security

在对攻击进行遏制和根除之后，恢复阶段旨在将受感染的 系统还原到安全的运行状态，验证其完整性并实施 控制措施以防止再次感染。

决策：Restore vs Rebuild

Restore from Backup：速度更快，适用于已确认干净的备份 可用且入侵较为表层的情况。

Rebuild from Scratch：对于深层入侵（rootkits、 恶意 firmware）更安全，可保证系统完全干净，但需要更多时间。

Hybrid Approach：重建操作系统和应用程序，在完整性 验证后有选择地还原数据。

备份验证

在还原之前，关键是要验证备份不包含恶意 payload：

Timestamp Analysis：根据事件时间线，识别入侵之前 最后一个“clean”的备份。

Malware Scanning：在还原之前，使用更新的 malware 扫描器 对备份镜像进行扫描。

IOC Checking：在备份中搜索已知的入侵指标。

Isolated Testing：在投入生产之前，于隔离环境中还原备份 以进行测试。

Rebuild 流程

对于需要完全重建的系统：

1. 准备：获取经过验证的原始安装介质、最新的 patches、许可证和配置文档。

2. 基础安装：在干净的硬件或新的 VM 上安装操作系统。 在连接到网络之前应用安全 patches。

3. Hardening：在安装应用程序之前应用安全 baseline （CIS Benchmarks、DISA STIGs）。

4. 应用程序：安装已知干净版本的应用程序， 应用 patches，配置 security controls。

5. 数据：在完整性验证后还原用户和应用程序数据， 最好来自入侵之前的备份。

6. 验证：测试功能，验证不存在 IOCs，确认 安全控制措施处于可运行状态。

配置修复

修复导致初始入侵的漏洞和 misconfigurations：

Patch Management：应用所有安全 patches，尤其是 与初始攻击向量相关的那些。

Default Credentials：更改所有默认密码、弱凭据或 共享凭据。

Service Hardening：禁用不必要的服务，限制 不安全的配置。

Network Segmentation：实施或加强网络分段，以 限制未来的横向移动。

凭据管理

假设所有凭据均已被入侵：

Password Reset：强制重置所有用户的密码， 尤其是特权用户。

Service Accounts：轮换服务账户和应用程序的 凭据。

API Keys/Tokens：吊销并重新颁发 API keys、access tokens、 证书。

MFA Enforcement：实施或加强多因素认证，以 增加未来未授权访问尝试的难度。

完整性验证

File Integrity Monitoring：将关键系统文件的 hashes 与已知干净的 baseline（NIST NSRL、vendor checksums）进行比较。

Rootkit Detection：运行专用工具（chkrootkit、 rkhunter、GMER）以检测持久性 rootkits。

Firmware Verification：验证 BIOS/UEFI、网络和 存储 firmware 的完整性。

Memory Analysis：转储并分析内存，以检测 fileless malware 或内存中的 persistence。

恢复分阶段实施

第 1 阶段 - 关键系统：优先还原对业务至关重要的 系统（ERP、关键数据库、认证服务器）。

第 2 阶段 - 核心基础设施：基础设施服务器（DNS、DHCP、 file servers、email）。

第 3 阶段 - 工作站和次要服务：用户 endpoints 和 关键性较低的系统。

Validation Gates：各阶段之间的验证检查点，以确保 在扩大恢复范围之前保持干净。

恢复后监控

恢复后加强监控，以检测再次感染或未识别的 persistence：

Enhanced Logging：临时提高已恢复系统的 logging 级别。

IOC Monitoring：在延长的时间段内为原始事件的 IOCs 设置专门的告警。

Behavioral Analysis：将 EDR/XDR 置于更高灵敏度模式，以检测 异常活动。

Network Monitoring：流量分析，以检测 C2 通信 或 exfiltration。

恢复文档

细致地记录恢复过程：

Recovery Timeline：所有恢复操作的时间顺序记录。

Configuration Changes：记录所有配置修改和 所应用的修复措施。

Validation Results：scans、完整性测试、功能验证的 结果。

Issues Log：恢复期间遇到的问题及其解决方案。

恢复期间的沟通

Stakeholders：让高管随时了解恢复的进展和 ETAs。

用户：沟通系统状态以及恢复服务的 预期。

技术团队：recovery 团队之间明确协调，以避免 冲突并确保覆盖。

Status Updates：即使没有重大变化，也定期更新， 以保持透明度。

验证测试

在将系统恢复到生产环境之前：

Functional Testing：验证所有业务功能均 可运行。

Security Testing：Vulnerability scans、有针对性的渗透测试、 安全控制措施验证。

Performance Testing：确保性能在可接受的参数 范围内。

User Acceptance：在全面 rollout 之前与关键用户进行验证。

Rollback 计划

准备应急方案，以防恢复出现问题：

Snapshots：在每个恢复阶段创建系统的 snapshots，以 在必要时便于 rollback。

Rollback Procedures：在每次重大更改之前记录 rollback 程序。

Decision Criteria：定义触发 rollback 的明确标准 （安全问题、关键故障、性能问题）。

安全改进

利用恢复的机会实施安全改进：

EDR/XDR Deployment：如果之前不存在，则实施 endpoint detection and response 解决方案。

Application Whitelisting：实施应用程序执行控制。

Privilege Management：实施 least privilege 和 just-in-time access。

Network Segmentation：改进关键和敏感网络的隔离。

特殊情况

Ransomware：关于支付与重建的决策、decryptors 的 验证、在还原数据之前清理 persistence。

Cloud Services：使用 IaC（Infrastructure as Code）对 IaaS/PaaS 进行 recovery， 通过 APIs 还原配置。

OT/ICS Systems：对运营技术和工业 控制系统的特殊考虑（关键可用性、patching limitations）。