案例分享 - 某企業主機受外部攻擊者嘗試使用Code Injection攻擊下載惡意腳本並執行
某企業主機受外部攻擊者嘗試使用Code Injection攻擊下載、執行惡意腳本
一、案例故事
某企業客戶於某日下午4點在內部主機遭受外部攻擊者進行Code Injection攻擊下載惡意腳本(shell script)，並嘗試於下載後執行腳本(shell script)，該腳本內含下載惡意程式並執行該程式，該企業藉由「雲智維資訊顧問代管代維方案」主動找出企業內部資安問題，成功預防資安事件擴大。
二、解決方案
使用「雲智維資訊顧問代管代維方案」，收集客戶單位中各種網路設備syslog、資安設備syslog、Flow及SNMP，從各式數據搭配AI即時分析，從中查找出重要的關鍵數據，找出客戶內部環境網路、資安問題所在。
該企業使用「雲智維資訊顧問代管代維方案」，從該企業所收集到的網路、資安設備數據發現到來源192.161.176.40【來源國家：US (美國)】、124.112.245.120【來源國家：CN (中華人民共和國)】透過Code Injection嘗試從惡意中繼站中下載腳本並執行該腳本。
建議措施:
1.於防火牆上進行聯防，以避免主機成功連線至惡意中繼站並下載惡意檔案。
2.釐清目的主機是否必要對外提供服務，如需長期對外提供服務，建議定期進行防毒軟體 掃描和弱點掃描作業。
3.釐清防火牆政策，其是否僅對外開放必要通訊埠。
4.如目的設備為重要設備，建議評估每半年或每年進行乙次滲透測試。
三、結論
該企業使用「雲智維資訊顧問代管代維方案」，發生異常事件時，可以幫助企業主動發現事件，發現到內部主機遭受Code Injection，嘗試於主機中下載惡意腳本，並嘗試執行該惡意腳本取得其惡意程式，使用「雲智維資訊顧問代管代維方案」，能夠主動幫企業找出問題點所在，並給予企業相關建議，而該企業逐步進行處理後，將此主機進行處置，成功預防內部資安事件擴大。
