Git/SVN 应急响应排查实战手册
当你凌晨三点被电话叫醒，被告知”代码仓库可能被人动过了，用户的加密货币资产黑客全部转移”。你需要的不是恐慌，而是一套系统化的排查流程。本文是我经历过多次代码投毒的真实案例后，写的实战排查手册。
阅读更多内存取证-没有debuginfo时如何解决符号表的难题
任何曾经做过Linux内存取证的人都面临过这种场景：没有与内存镜像对应特定内核版本相匹配的调试符号，就寸步难行。各大云厂商（hyperscaler）在开源Linux内核 + 用户态组件的基础上，针对自家云基础设施进行深度定制和优化的Linux发行版（Linux Distribution）。这些发行版往往自带定制内核，而且还没有找到对应的debuginfo下载途径，面对这种场景会非常痛苦。
并且这些符号通常不会安装在生产系统上，必须从外部存储库获取，而当系统更新时，这些符号很快就会过时。如果你曾经尝试分析内存转储，却发现没有人发布该特定内核构建的符号，就会明白这种感觉。
阅读更多OpenVPN 恶意DNS告警反查 VPN 客户端
【MSS高危告警】 -------------------------- 【标题】：xxx发现DNS恶意请求 【客户名称】：xxxxxxxx 【云平台】：腾讯云 【客户账号】：xxxxxxxxx 【风险等级】：高危 【攻击IP】： 【告警时间】：2026-03-30 11:41:46 【事件类型】：恶意请求行为 【受影响资产】：10.59.240.14 【详情】：[公网IP：xxx.xx.xxx.x，机器：xxxxx，请求恶意域名：apifox.it.com，进程：，请求次数：1，首次请求时间：2026-03-30 11:41:46，最近请求时间：2026-03-30 11:41:46，Hash：xxxxxxxxx]
最近在处理MSS安全告警的时候遇到的问题：部署了 OpenVPN 的服务器上，HIDS 检测到了恶意域名的 DNS 请求，但因为请求是从 VPN 隧道内部发出的，告警里只能看到一个 OpenVPN 服务端自身的IP，没法直接定位到是哪台客户端机器、哪个用户触发的。
阅读更多基于ESXI部署防溯源的攻击环境
最近这几年攻防对抗愈演愈烈，攻击队被溯源反制的案例也越来越多。我本身从事应急响应，想站在蓝队的视角，基于ESXI实现一套防溯源的攻击环境，本文的所有操作只需要在ESXI和Openwrt上配置。实现在隔离网段中创建的新机器无需任何配置，开机即用的效果。
阅读更多使用Autopsy进行磁盘采集和取证
Autopsy 是目前最主流的端到端开源数字取证平台，由 Basis Technology 开发维护。说白了，它把商业取证工具里那些核心功能都搬进来了，还是免费的。不管是 Windows、Linux 还是 Android 的文件系统，Autopsy 都能解析，在速度和覆盖面上完全能满足日常应急响应和取证调查的需求。
阅读更多从应急响应视角看 MITRE ATT&CK 框架
自计算机系统出现以来，网络攻击者一直利用当时可用的各种攻击向量对系统实施入侵。在早期，由于数字环境规模小、结构简单，攻击方式也相对直接、易于理解。随着时间推移，数字系统不断扩展并演化成庞大而复杂的数字基础设施，随之而来的攻击手法也日趋高级和隐蔽，使得攻击分析与检测变得愈加困难。
在应急响应的实际工作中，要全面理解一次网络入侵事件，必须对攻击者的行为路径、操作步骤和关键决策点进行结构化、标准化的建模。满足这一需求的重要方法之一，就是 MITRE ATT&CK 框架。
阅读更多SIEM 入门：从应急响应视角全面解析
做过应急响应或者安全运营的人基本都需要了解 SIEM 到底是什么，真正有用吗？答案是：很有用，但前提是你得真正懂它。本文从实际应急响应的角度，把 SIEM 的基础概念、核心组件、主流产品，以及部署规划的关键要点都梳理一遍。
阅读更多SOAR 基础：从规划到落地
SOAR，全称 Security Orchestration, Automation and Response，即安全编排、自动化与响应。简单来说，它是一套能把各种安全工具”串联”起来的技术平台，通过统一采集、分析不同安全产品的数据，再根据分析结果自动触发响应动作，帮安全团队从繁杂的重复性工作中解放出来。
阅读更多