|
|
碧華國小資安通報-入侵事件警訊(1060425) 台灣學術網路危機處理中心(TACERT) 對本校發佈資安通報-入侵事件警訊：
| 發佈編號 |
ASOC-INT-201704-3984 |
發佈時間 |
2017-04-25 11:50:19 |
| 事件類型 |
系統被入侵 |
發現時間 |
2017-04-25 11:34:49 |
| 事件主旨 |
通報:[新北市三重區碧華國民小學]163.20.169.39 MS.RDP.Connection.Brute.Force |
| 事件描述 |
ASOC發現貴單位(新北市三重區碧華國民小學)所屬 163.20.169.39 疑似對外進行 MS.RDP.Connection.Brute.Force 攻擊 |
| 手法研判 |
貴單位疑似對外進行非法攻擊行為，遠端攻擊者對Microsoft RDP(Remote Desktop Protocol)進行暴力的密碼猜測攻擊，攻擊者在10秒內進行200次的登入請求，如成功利用將可以連入未經授權的系統，進行非法的存取。 |
| 處理建議 |
惠請貴單位：
- 檢查防火牆紀錄：查看內部是否有開啟異常或未經許可的連接埠，並查看記錄是否有外界對貴單位內部IP之異常連線。
- 如發現為非授權的連線，建議將該IP於防火牆阻擋。
- 建議針對被攻擊的主機做好相關主機系統服務檢查及弱點修補確認的工作，並關閉不需要的服務。
- 將所使用的密碼複雜度提高。
|
| 參考資料 |
無 |
本校處理情形：
- 登入「教育機構資通安全應變網站」，了解事件發生情形。
- 登入「新北市校園網路管理平台」檢視 163.20.169.39 連線狀況。
- 確認 163.20.169.39 電腦連線異常，連線數超過 7000。
- 查明 163.20.169.39 為文書組長行政電腦，電話告知電腦遭入侵事件，情況嚴重，台灣學術網路危機處理中心(TACERT) 已對本校發佈資安通報-人侵事件警訊，請其將暫將電腦關機或拔除網路線。
- 將本校電腦遭入侵事件應變情形，回報教育機構資通安全應變網站。
電腦檢查結果：
- 防毒軟體遭停用，但無法啟用。
- 有不明帳戶建置於系統中。
- guest 帳戶被啟用。
- 系統安裝了一些不明的軟體。
- 電腦防火牆開了一些後門，但移除不掉。
電腦處理過程：
- 重開機，並以安全模式登入系統。
- 打開 regedit.exe 程式將自動啟動的不明程式移除。
- 移除不明軟體。
- 移除不明帳戶。
- 停用guest 帳戶。
- 電腦防火牆恢復成系統預設值。
- 移除所有系統、使用者及各網路瀏覽器暫存檔、移除不必要的擴充程式。
- 安裝並執行系統優化並移除惡意程式的工具程式。
- 打開系統服務程式，重新設定防毒軟體為自動啟動狀態，並予以啟動。
- 防毒軟體手動線上更新，更新後，進行全機硬碟掃描，移除多項惡意威脅程式。
- 重開機，以正常啟動模式登入系統。
- 再次以防毒軟體進行全機硬碟掃描，確認不再有任何中毒現象。
- 再次登入「新北市校園網路管理平台」檢視 163.20.169.39 連線狀況，連線數已降至 20 以下。檢視其連線中，有無不正常的連線。
- 更新軟體、系統。
- 設定 admin 密碼為複雜度較高的密碼。
Comments are closed.
|
|
