對(dui)局域網(wang)(wang)(wang)進(jin)行漏洞(dong)掃(sao)描(miao)，可以(yi)提前(qian)發現內(nei)網(wang)(wang)(wang)的(de)安(an)(an)全漏洞(dong)，比如弱密碼(ma)、系統漏洞(dong)、未授(shou)權訪問(wen)等(deng)問(wen)題(ti)(ti)；及時修復這些問(wen)題(ti)(ti)，可以(yi)有效地避免黑客(ke)攻擊等(deng)安(an)(an)全事(shi)件的(de)發生，保(bao)護企(qi)業(ye)或(huo)組織的(de)信息資(zi)產安(an)(an)全。在本例(li)中，我將結合WSG上網(wang)(wang)(wang)行為(wei)管理的(de)“漏洞(dong)掃(sao)描(miao)”功(gong)能，介紹如何對(dui)局域網(wang)(wang)(wang)電腦(nao)進(jin)行漏洞(dong)掃(sao)描(miao)，以(yi)及相(xiang)應的(de)整(zheng)改操作。

1. 添加掃描任務

在“漏洞掃描”模塊中新增掃描任務，輸入掃描的目標網段，指定任務運行的時間，保存配置。

電腦一旦被(bei)安裝了挖礦程序，會帶來很多危害(hai)：占(zhan)用大量的電力和運(yun)算資(zi)源、拖慢(man)機器、感(gan)染局域(yu)網內的其(qi)他終(zhong)端......所以，挖礦行為目前是被(bei)各級部門明令禁止的，一旦被(bei)上級部門檢測到(dao)有挖礦行為，很可能會被(bei)阻止互聯(lian)網接(jie)入直至整改完(wan)成。當接(jie)到(dao)上級部門通告時，作(zuo)為網管人員(yuan)需要怎樣(yang)去處置解決(jue)這個問(wen)題呢？

被上級部(bu)門檢(jian)測到(dao)，一(yi)般存在如下(xia)三種情況：

1. 訪(fang)問了礦池或(huo)者虛擬貨(huo)幣服(fu)務器的目標IP

2. 訪問了“挖礦”域(yu)名（HTTP/HTTPS）

3. 查詢了“挖礦”域名（DNS）

上級(ji)部門(men)(men)通(tong)知局(ju)(ju)域網(wang)內存在僵尸木(mu)馬要(yao)求(qiu)網(wang)絡進(jin)行整(zheng)改，作為網(wang)管(guan)人(ren)員需要(yao)怎樣去處置解決這個問題呢(ni)？首先(xian)，上級(ji)部門(men)(men)只(zhi)能檢測到局(ju)(ju)域網(wang)總出口的IP地址，并不(bu)能識別終端(duan)的IP地址。當網(wang)內的終端(duan)數(shu)量比較多時，每臺電腦做(zuo)病毒查殺的工作量太大了，網(wang)管(guan)人(ren)員會很頭疼這個問題。

比較(jiao)合理的方案是在局域網(wang)內(nei)部署一臺入侵檢(jian)測系統，通過對網(wang)絡數(shu)據包(bao)進行(xing)分析(xi)檢(jian)測，從(cong)而發現問題主機。在本文中，我(wo)將以(yi)“WSG上(shang)網(wang)行(xing)為管理”為例，來介紹如(ru)何進行(xing)內(nei)網(wang)的木(mu)馬檢(jian)測。

WSG上網行為管理中內置了(le)“入(ru)侵防御”和“木馬檢(jian)測(ce)(ce)”這兩(liang)(liang)個安(an)全防護模塊，這兩(liang)(liang)個模塊的檢(jian)測(ce)(ce)原(yuan)理都是入(ru)侵檢(jian)測(ce)(ce)snort。如下圖：

局(ju)域網內電腦中了木(mu)馬病毒，會(hui)有帶來下述(shu)壞處(chu)：

1. 感染內網其他電腦。

2. 大(da)量(liang)攻(gong)擊數據的存在，使得網(wang)絡緩慢，被攻(gong)擊的電腦運行(xing)緩慢。

發現內網(wang)電腦(nao)中毒(du)后(hou)，一般(ban)都會(hui)采取重新安裝系(xi)統，或者全盤殺毒(du)的(de)(de)方式。但是如果(guo)電腦(nao)比較多(duo)就讓人很(hen)頭疼了。首先要(yao)追蹤查(cha)找到感染了木馬病(bing)(bing)毒(du)的(de)(de)電腦(nao)，然(ran)后(hou)才可(ke)(ke)以(yi)進(jin)(jin)行病(bing)(bing)毒(du)查(cha)殺。有些殺毒(du)軟件或者防火墻(qiang)可(ke)(ke)以(yi)檢(jian)(jian)測(ce)到內網(wang)的(de)(de)攻擊源，本文中，我將介紹如何用WSG上(shang)網(wang)行為管理的(de)(de)“木馬檢(jian)(jian)測(ce)”功(gong)能來進(jin)(jin)行檢(jian)(jian)測(ce)。WSG上(shang)網(wang)行為管理中內置了“入侵防御”和“木馬檢(jian)(jian)測(ce)”這兩個安全防護模塊，如下圖：

局域網內如果有電(dian)腦感染了木馬病毒，是一(yi)(yi)件讓人(ren)很頭(tou)疼(teng)的事情(qing)(qing)。對成(cheng)百上(shang)千(qian)臺(tai)電(dian)腦一(yi)(yi)臺(tai)一(yi)(yi)臺(tai)的進行查殺(sha)，簡直就和(he)大海撈針(zhen)一(yi)(yi)樣，需要耗費大量的時間和(he)人(ren)力。所(suo)以(yi)很多網管人(ren)員面對上(shang)級部門發來的整改函(han)一(yi)(yi)籌莫展，大部分情(qing)(qing)況下最終只能一(yi)(yi)臺(tai)一(yi)(yi)臺(tai)的殺(sha)毒整理。

從(cong)技術(shu)原理上(shang)來說，上(shang)級部(bu)門是(shi)在網(wang)絡上(shang)層部(bu)署(shu)了(le)(le)入侵(qin)檢測(ce)(ce)系統，對網(wang)絡流量進行分析(xi)，從(cong)中(zhong)識(shi)別出(chu)木馬病毒的特(te)征；由(you)于(yu)出(chu)口處做(zuo)了(le)(le)網(wang)絡地(di)址(zhi)轉換(huan)，上(shang)級部(bu)門只能檢測(ce)(ce)到公(gong)網(wang)IP，而無法(fa)知(zhi)道實際中(zhong)毒的電腦(nao)。所以(yi)(yi)，你(ni)只需要在本(ben)地(di)局域網(wang)中(zhong)部(bu)署(shu)了(le)(le)入侵(qin)檢測(ce)(ce)，就(jiu)(jiu)可以(yi)(yi)檢測(ce)(ce)到本(ben)地(di)的中(zhong)毒電腦(nao)的IP地(di)址(zhi)和(he)MAC地(di)址(zhi)。然(ran)后就(jiu)(jiu)可以(yi)(yi)直接對電腦(nao)進行查殺了(le)(le)。

如(ru)下圖，在(zai)WSG上網行為(wei)管(guan)理的“安全防護”-“入(ru)侵(qin)防御”中(zhong)，點擊(ji)“IPS檢測項”，就可以看到(dao)入(ru)侵(qin)防御的各個選項。

勒(le)索軟件對企(qi)業數(shu)(shu)據(ju)有(you)(you)著(zhu)毀滅(mie)性(xing)的(de)破壞力，而且企(qi)業中了(le)勒(le)索病毒后(hou)，如果沒有(you)(you)相關的(de)數(shu)(shu)據(ju)備份(fen)，要么(me)承擔損失，要么(me)只能(neng)支付贖金。因此勒(le)索軟件的(de)種類和擴(kuo)散(san)逐年遞增，防御勒(le)索軟件工作成為了(le)企(qi)業數(shu)(shu)據(ju)安全(quan)防護(hu)工作中的(de)眾矢之的(de)。

勒索軟件的傳播途徑和工作原理主要有(you)兩種：

1). 通(tong)過攻擊(ji)windows服(fu)務(wu)器漏洞入侵到企業內(nei)網，然后再(zai)進行大面積(ji)的攻擊(ji)感染。

2). 通過郵件、網站掛馬、文件等方式，先感染個(ge)人電腦，然后攻擊整個(ge)局域網。