检测木马进程_后门木马-华为云

后门木马

种攻击行为中，后门木马基本上都起到了先导作用，为进一步的攻击打下基础。态势感知支持检测5种子类型的后门木马威胁，基础版不支持检测后门木马类威胁，标准版支持检测1种子类型威胁，专业版支持检测全部子类型威胁。处理建议当检测到后门木马类威胁时，E CS 实例存在木马程序网络请求，代表

来自：帮助中心

查看更多 →
处置挖矿木马

处置挖矿木马背景信息挖矿木马是指因挖矿软件产生的威胁事件，包括恶意域名访问、恶意样本创建、恶意IP连接等。针对挖矿木马，云端有如下几种处置方式：云端智能分析后推荐处置规则，并成功终止进程和隔离相关文件，其状态显示为“处置成功”。云端智能分析后无法推荐处置规则，由安全运营

来自：帮助中心

查看更多 →
查看主机资产指纹

根据主机中“进程路径”以及具体进程对应的“ 服务器名称/IP”、“启动参数”、“启动时间”、“运行用户”、“文件权限”、“进程PID”以及“文件HASH”，您能够快速排查主机中的异常进程。进程信息管理检测的机制是30天检测不到进程后，自动清除进程信息管理列表中的进程信息。 Linux、Windows

来自：帮助中心

查看更多 →
步骤3：网络分析

T状态的连接，该进程疑似为木马程序。如果某个进程的连接的端口非常有规律（如6666，2333等），或者在RemoteAddress这一栏自动解析的host中包含mine，pool，xmr等关键字，该进程疑似被感染病毒。（仅供参考）您可以通过安全检测网站，检测外网远程地址或者URL进行在线查询判断。

来自：帮助中心

查看更多 →
告警事件概述

恶意程序，也可检测出主机中未知的恶意程序和病毒变种，并提供一键隔离查杀能力。说明：恶意程序（云查杀）检测功能仅支持检测运行中的恶意程序。 × √ （隔离查杀） √ （隔离查杀） √ （隔离查杀）进程异常行为检测各个主机的进程信息，包括进程ID、命令行、进程路径、行为等。

来自：帮助中心

查看更多 →
主机安全告警事件概述

Linux、Windows × × 进程异常行为检测各个主机的进程信息，包括进程ID、命令行、进程路径、行为等。对于进程的非法行为、黑客入侵过程进行告警。进程异常行为可以监控以下异常行为：监控进程CPU使用异常。检测进程对恶意IP的访问。检测进程并发连接数异常等。 × × √

来自：帮助中心

查看更多 →
开启告警通知

可能。进程异常行为检测各个主机的进程信息，包括进程ID、命令行、进程路径、行为等。对于进程的非法行为、黑客入侵过程进行告警。进程异常行为可以监控以下异常行为：监控进程CPU使用异常。检测进程对恶意IP的访问。检测进程并发连接数异常等。高危命令执行实时检测当前系统

来自：帮助中心

查看更多 →
应用场景

报加密行为。围绕勒索攻击过程，检测各个攻击场景的威胁事件，自动下发威胁处置策略。针对勒索病毒文件，提供病毒查杀功能，隔离相关文件。防挖矿场景挖矿木马是指非法入侵终端并持续驻留，利用终端计算能力挖矿来为攻击者谋取利益的一种恶意软件。挖矿木马潜伏时间长，隐蔽性高，挟持大量计算资源，对企业终端安全造成巨大威胁。

来自：帮助中心

查看更多 →
功能特性

查主机中含有风险的端口。实时检测进程信息检测检测主机系统中运行的进程，对运行中的进程进行收集及呈现，便于自主清点合法进程发现异常进程。根据主机中“进程名”、“对应主机数”、“进程总数”、“文件名称总数”以及具体进程对应的“对应服务器”、“进程路径”、“文件权限”、“运行用

来自：帮助中心

查看更多 →
相关概念

性。配置检测检测常见的Tomcat配置、Nginx配置、SSH登录配置，帮助用户识别不安全的配置项。网站后门（WebShell）云服务器上Web目录中的文件，判断是否为WebShell木马文件，包括常见的PHP、JSP等后门文件类型。反弹Shell 用户的进程行为，进程

来自：帮助中心

查看更多 →
资产管理

忽略风险：如果检测出的危险端口是业务正在使用的正常端口，您可以忽略该条告警。忽略之后将不再作为危险项进行记录，也不再发送告警。进程信息管理根据进程检测结果中的详细信息，您可以快速查看主机中可疑的应用进程，并及时终止可疑的应用进程。进程信息管理检测的机制是30天检测不到进程后，自动清除进程信息管理列表中的进程信息。

来自：帮助中心

查看更多 →
服务版本差异

对运行中的程序进行检测，识别出其中的后门、木马、挖矿软件、蠕虫和病毒等恶意程序。 × × √ √ √ 进程异常行为检测各个主机的进程信息，包括进程ID、命令行、进程路径、行为等。对于进程的非法行为、黑客入侵过程进行告警。进程异常行为可以监控以下异常行为：监控进程CPU使用异常。

来自：帮助中心

查看更多 →
排查过程

本章节介绍Linux操作系统中主机安全排查的具体过程。操作步骤查看主机是否存在异常进程。查询命令：top 根据CPU占用率、进程名称等判断是否存在异常进程，如下可疑进程CPU占用率超过100%。根据异常进程PID值，查看文件位置。查询命令：lsof -p+进程PID值（如25267）发现目录下的异常文件（带有xmr或mine的标识）。

来自：帮助中心

查看更多 →
威胁告警简介

页防篡改、网页防爬虫。后门木马事件 “实时检测”资产系统是否存在后门木马风险，以及被后门木马程序入侵后的恶意请求行为。共支持检测5种子类型的后门木马威胁。检测主机资产上Web目录中的PHP、JSP等后门木马文件类型。检测资产被植入木马特性检测内容包括资产系统存在win32/ramnit

来自：帮助中心

查看更多 →
服务停止成功检测后进程仍然存在（windows）

服务停止成功检测后进程仍然存在（windows）问题现象部署“启动/停止SpringBoot服务”中的停止命令成功，但是检测后进程仍然存在。原因分析当前路径下SpringBoot被注册为Windows服务，且启动方式为自动启动。处理方法打开Windows服务列表，命令如下：

来自：帮助中心

查看更多 →
功能特性

从宿主机角度通过机器学习结合规则检测逃逸行为，简单精确，包括shocker攻击、进程提权、DirtyCow和文件暴力破解等。实时检测高危系统调用检测容器内发起的可能引起安全风险的Linux系统调用。实时检测异常程序检测检测违反安全策略的进程启动，以及挖矿、勒索、病毒木马等恶意程序。实时检测

来自：帮助中心

查看更多 →
步骤1：进程分析

此时，系统会将当前进程的hash值同virustotal库比对，可快速发现木马进程。图4 Process Explore-Sysinternals 检查“VirusTotal”值，右键单击进程名称，选择“Properties”，在弹出的页面中，单击“Image”可查看进程路径，进而再次判断该进程是否是木马程序。

来自：帮助中心

查看更多 →
基础版/企业版/旗舰版

对于关键文件变更，HSS只检测目录或文件是否被修改，不关注是人为或者某个进程修改的。网站后门检测云服务器上Web目录中的文件，判断是否为WebShell木马文件，支持检测常见的PHP、JSP等后门文件类型。反弹Shell 实时监控用户的进程行为，及时发现进程的非法Shell连接操作产生的反弹Shell行为。

来自：帮助中心

查看更多 →
服务版本差异

Linux、Windows 实时检测进程异常行为检测各个主机的进程信息，包括进程ID、命令行、进程路径、行为等。对于进程的非法行为、黑客入侵过程进行告警。进程异常行为可以监控以下异常行为：监控进程CPU使用异常。检测进程对恶意IP的访问。检测进程并发连接数异常等。 × ×

来自：帮助中心

查看更多 →
基本概念

击、跨站脚本攻击、跨站请求伪造攻击等。后门木马后门木马又称特洛伊木马（Trojan Horse），是一种后门程序。后门木马具有很高的伪装性，通常表现为一个正常的应用程序或文件，以获得广泛的传播和目标用户的信任。当目标用户执行后门木马程序后，攻击者即可对用户的主机进行破坏或盗取

来自：帮助中心

查看更多 →
容器安全告警事件概述

对于关键文件变更，HSS只检测文件内容是否被修改，不关注是人为还是进程进行的修改。进程异常行为检测各个主机的进程信息，包括进程ID、命令行、进程路径、行为等。对于进程的非法行为、黑客入侵过程进行告警。进程异常行为可以监控以下异常行为：监控进程CPU使用异常。检测进程对恶意IP的访问。

来自：帮助中心

查看更多 →