一个人看的www免费高清中文字幕_亚洲av无码专区国产乱码不卡_日日婷婷夜日日天干_欧美xxxxx做受vr

19
2023
04

接到上級部門通知局域網內有僵尸木馬怎么處置?

上級部門通知局域網內存在僵尸木馬要求網絡進行整改,作為網管人員需要怎樣去處置解決這個問題呢?首先,上級部門只能檢測到局域網總出口的IP地址,并不能識別終端的IP地址。當網內的終端數量比較多時,每臺電腦做病毒查殺的工作量太大了,網管人員會很頭疼這個問題。

比較合理的方案是在局域網內部署一臺入侵檢測系統,通過對網絡數據包進行分析檢測,從而發現問題主機。在本文中,我將以“WSG上網行為管理”為例,來介紹如何進行內網的木馬檢測。

WSG上網行為管理中內置了“入侵防御”和“木馬檢測”這兩個安全防護模塊,這兩個模塊的檢測原理都是入侵檢測snort。如下圖:

202212151671085711364298.png

入侵防御模塊主要用于檢測對內網的攻擊事件,一旦檢測到外網攻擊就可以阻止攻擊來源IP以阻斷后續的攻擊。而木馬檢測模塊主要用于檢測局域網內的木馬病毒特征,追蹤查找到中了木馬病毒的問題終端。木馬檢測模塊,可以檢測以下特征:

202212151671086404473521.png


WSG上網行為管理的特征庫是基于snort的,木馬檢測分為以下幾個大類:

  1. indicator-compromise: 檢測內網被惡意軟件感染的終端。

  2. indicator-obfuscation: 惡意軟件的模糊特征檢測。

  3. indicator-scan: 檢測惡意軟件的掃描行為。

  4. indicator-shellcode:檢測shellcode的執行特征。

  5. malware-backdoor:檢測后門端口的通訊特征。 如果某個惡意軟件打開一個端口并等待其控制功能的傳入命令,則會出現此類檢測。

  6. malware-cnc:此類別包含已識別的僵尸網絡流量的已知惡意命令和控制活動。

  7. malware-tool:此類別包含處理本質上可被視為惡意工具的規則。


木馬檢測模塊還可以檢測各種挖礦、后門、病毒等各種木馬特征。如下圖:

202212151671087494140907.png

一旦檢測到木馬后,會在“木馬檢測”的“檢測記錄”中,記錄檢測的IP地址等信息,從而您可以根據IP地址去定位實際的電腦。然后對這臺電腦進行查殺整改。


? 上一篇 下一篇 ?