建站
咨詢
售后
建站咨詢
新聞中心
【.com 綜合消息】
清遠(yuǎn)網(wǎng)站建設(shè)公司創(chuàng)新互聯(lián)建站,清遠(yuǎn)網(wǎng)站設(shè)計(jì)制作，有大型網(wǎng)站制作公司豐富經(jīng)驗(yàn)。已為清遠(yuǎn)上千家提供企業(yè)網(wǎng)站建設(shè)服務(wù)。企業(yè)網(wǎng)站搭建\外貿(mào)網(wǎng)站制作要多少錢(qián)，請(qǐng)找那個(gè)售后服務(wù)好的清遠(yuǎn)做網(wǎng)站的公司定做！
1 需求分析
隨著計(jì)算機(jī)及通信技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)在帶給人們便利的同時(shí)，也給病毒、木馬的泛濫提供了溫床，給國(guó)家、政府、企業(yè)及個(gè)人都帶來(lái)了不可估量的損失。其中，木馬程序造成的危害更是非常巨大的，也是非常危險(xiǎn)的惡意程序。它能使遠(yuǎn)程用戶獲得本地計(jì)算機(jī)的最高操作權(quán)限，使用戶的電腦完全暴露在網(wǎng)絡(luò)環(huán)境之中，成為別人操縱的對(duì)象。
據(jù)國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心抽樣監(jiān)測(cè)統(tǒng)計(jì)，2008年我國(guó)境內(nèi)感染木馬控制端的IP地址達(dá)到438，386個(gè)，感染木馬被控制的IP地址達(dá)到565，605個(gè)，發(fā)送立即郵件106次、實(shí)施信息竊取操作373次?！澳抉R與僵尸網(wǎng)絡(luò)監(jiān)測(cè)”已成為了被CNCERT列于“被篡改網(wǎng)站監(jiān)測(cè)、惡意代碼捕獲”之首的核心監(jiān)測(cè)項(xiàng)目。
木馬的大肆傳播泛濫已給國(guó)家造成了巨大損失，2009年5月，工業(yè)與信息化部下發(fā)了關(guān)于印發(fā)《木馬和僵尸網(wǎng)絡(luò)監(jiān)測(cè)與處置機(jī)制》的通知。采取了迄今為止最廣泛、最有力的機(jī)制措施。明確了相關(guān)主管機(jī)構(gòu)與廣大的互聯(lián)網(wǎng)用戶各自的責(zé)任和義務(wù)，規(guī)定了對(duì)木馬和僵尸網(wǎng)絡(luò)的“監(jiān)測(cè)和通報(bào)”、“處置和反饋”兩個(gè)主要流程及通報(bào)內(nèi)容。
國(guó)家保密局更是把“對(duì)互聯(lián)網(wǎng)的保密檢查、對(duì)特種木馬的檢測(cè)”作為當(dāng)前保密科技研究及保密檢查工作中需要關(guān)注的重點(diǎn)方向之一。
因此在日常網(wǎng)絡(luò)運(yùn)行維護(hù)管理和定期的自檢自查中加強(qiáng)對(duì)木馬的監(jiān)測(cè)與評(píng)估，防止木馬竊取敏感信息，保護(hù)重要數(shù)據(jù)，已經(jīng)成為當(dāng)前信息網(wǎng)絡(luò)安全監(jiān)管或維護(hù)部門(mén)的重中之重。
#p#
2解決方案
木馬與合法程序的區(qū)別就在于木馬行為的隱蔽性和目的的惡意性。從這兩點(diǎn)區(qū)別入手，控制木馬植入、隱蔽和惡意操作行為所需要的資源條件，監(jiān)控木馬運(yùn)行、通信、啟動(dòng)的隱蔽行為和惡意操作，就可以對(duì)木馬的檢測(cè)和防范起到較為理想的效果。
鼎普科技積極跟蹤市場(chǎng)需求、木馬形勢(shì)和國(guó)家相關(guān)政策，自主研發(fā)了鼎普木馬監(jiān)測(cè)與評(píng)估系統(tǒng)，指在對(duì)已知或未知木馬進(jìn)行監(jiān)測(cè)與評(píng)估，綜合分析木馬行為特征，與此同時(shí)，對(duì)木馬的最終目的——竊取關(guān)鍵信息進(jìn)行分析判斷有無(wú)感染木馬或被竊取重要信息。
通常電腦逐臺(tái)查殺的檢查方式對(duì)于個(gè)人應(yīng)用來(lái)說(shuō)，還是很方便的，但對(duì)信息安全監(jiān)管部門(mén)來(lái)說(shuō)，這樣的方式卻是非常費(fèi)時(shí)費(fèi)力的，鼎普科技根據(jù)這一需求，開(kāi)發(fā)了網(wǎng)絡(luò)木馬監(jiān)測(cè)與分析評(píng)估系統(tǒng)。該系統(tǒng)首先通過(guò)網(wǎng)絡(luò)監(jiān)測(cè)模塊掃描并分析網(wǎng)絡(luò)中的所有主機(jī)，并進(jìn)行木馬特征分析與重要信息匹配，準(zhǔn)確判斷并定位出網(wǎng)絡(luò)中感染木馬的主機(jī)，然后再用單機(jī)檢測(cè)模塊去做深入檢查，從而可以大大的提高整個(gè)網(wǎng)絡(luò)中木馬檢測(cè)與分析的效率。
根據(jù)不同的應(yīng)用環(huán)境需求，鼎普科技提供了兩種形式的解決方案：檢查版木馬檢測(cè)方案與監(jiān)測(cè)版木馬檢測(cè)方案，分別用于隨機(jī)性檢查或長(zhǎng)期性監(jiān)測(cè)、評(píng)估某個(gè)網(wǎng)絡(luò)中是否存在木馬病毒，其中檢查版由單機(jī)檢測(cè)模塊和網(wǎng)絡(luò)監(jiān)測(cè)模塊組成，而監(jiān)測(cè)版則以專用網(wǎng)絡(luò)監(jiān)測(cè)硬件平臺(tái)為載體，僅由網(wǎng)絡(luò)監(jiān)測(cè)模塊組成。
2.1快速探測(cè)的網(wǎng)絡(luò)木馬監(jiān)測(cè)模塊
網(wǎng)絡(luò)監(jiān)測(cè)模塊可以根據(jù)用戶需要，通過(guò)對(duì)網(wǎng)絡(luò)數(shù)據(jù)的實(shí)時(shí)采集，對(duì)IP源地址、目的地址進(jìn)行分析從而有效的監(jiān)測(cè)網(wǎng)絡(luò)中存在的木馬，并進(jìn)而準(zhǔn)確定位感染的主機(jī)，之后即可利用單機(jī)檢測(cè)模塊有針對(duì)性的對(duì)感染木馬電腦進(jìn)行細(xì)致的檢測(cè)，以致清除。該模塊既可以安裝在筆記本上，也可以專用硬件平臺(tái)為載體，安裝在筆記本上并配以單機(jī)檢測(cè)模塊，提供靈活、便捷的木馬檢測(cè)技術(shù)手段，可以方便檢查部門(mén)隨時(shí)檢查某個(gè)網(wǎng)絡(luò)；以專業(yè)硬件平臺(tái)為載體，則可以長(zhǎng)期部署在網(wǎng)絡(luò)上，實(shí)現(xiàn)對(duì)木馬的連續(xù)、實(shí)時(shí)監(jiān)測(cè)。圖1表示了監(jiān)測(cè)版木馬檢測(cè)系統(tǒng)的具體部署拓?fù)鋱D。
圖1 典型安全檢查綜合部署圖
由圖1可以看出，該網(wǎng)絡(luò)木馬檢測(cè)方案中，安裝在一臺(tái)專用設(shè)備上的網(wǎng)絡(luò)木馬監(jiān)測(cè)模塊部署在網(wǎng)絡(luò)出口交換機(jī)鏡像口或干路上，達(dá)到分析、判斷并定位感染終端主機(jī)、重要信息還原的目的。具體實(shí)現(xiàn)的功能如下：
木馬發(fā)現(xiàn)及報(bào)警阻斷：在監(jiān)測(cè)模塊中添入已知高危木馬的網(wǎng)絡(luò)特征，可以及時(shí)準(zhǔn)確的判別、阻斷該木馬的任何非法網(wǎng)絡(luò)傳輸，實(shí)時(shí)報(bào)警；
高危IP、域名連接、端口的實(shí)時(shí)報(bào)警和統(tǒng)計(jì)：緊密配合履行工信部印發(fā)的《木馬和僵尸網(wǎng)絡(luò)監(jiān)測(cè)與處置機(jī)制》中的要求，可通過(guò)系統(tǒng)管理界面按需加入工業(yè)與信息化部通報(bào)的木馬控制端IP地址、惡意域名、端口等信息，從而進(jìn)行木馬匹配分析，分析出網(wǎng)絡(luò)中感染木馬的終端主機(jī)，獲得主機(jī)的IP和MAC地址，定位到終端；
敏感IP、域名連接的實(shí)時(shí)報(bào)警和統(tǒng)計(jì)：固化了鼎普對(duì)A、B、C類公用地址研究分析的IP地址分類庫(kù)；因此可以通過(guò)流經(jīng)總出口的數(shù)據(jù)包實(shí)時(shí)分析內(nèi)部某終端正在與美國(guó)、臺(tái)灣、韓國(guó)、日本、歐洲等國(guó)家的某IP進(jìn)行連接，且該庫(kù)可以不斷升級(jí)壯大，由此得出感染終端；
特種木馬行為特征分析：通過(guò)設(shè)置IP地址嚴(yán)控的方式確定疑似木馬的連接行為；通過(guò)網(wǎng)絡(luò)連接端口來(lái)判斷連接是否由木馬生成，并發(fā)現(xiàn)網(wǎng)絡(luò)中的與控制相關(guān)的協(xié)議，并通過(guò)協(xié)議與端口的比對(duì)，發(fā)現(xiàn)偽裝協(xié)議通過(guò)合法端口來(lái)工作，如80端口復(fù)用的防火墻穿越技術(shù)；
未知木馬基于重要信息內(nèi)容的準(zhǔn)確判斷：對(duì)特征一無(wú)所知的未知木馬，通過(guò)設(shè)置關(guān)鍵字的方式控制終端傳輸行為并報(bào)警。對(duì)重要信息、被木馬惡意程序隱藏傳輸?shù)碾娮余]件及附件、圖片、文檔等進(jìn)行還原處理，可用于檢查時(shí)確認(rèn)泄漏內(nèi)容的危害程度；如部署在網(wǎng)絡(luò)干路上可進(jìn)行實(shí)時(shí)阻斷；
信息報(bào)文提取：自定義對(duì)重要信息進(jìn)行篩選查閱。設(shè)置起始時(shí)間、結(jié)束時(shí)間、起始IP、結(jié)束IP、報(bào)文類型、應(yīng)用協(xié)議、任務(wù)ID、文件類型等來(lái)篩選數(shù)據(jù)信息，方便查閱?？梢栽诒镜赜脖P(pán)上保存當(dāng)前選中的報(bào)文以便作更細(xì)致的分析。
輸出統(tǒng)計(jì)分析報(bào)表：一是快速導(dǎo)航檢測(cè)，用戶登錄系統(tǒng)管理界面后，只需點(diǎn)擊一鍵，報(bào)表清晰的顯示具體定位的感染終端；二是自定義檢測(cè)，可按檢查單位、部門(mén)、時(shí)間，準(zhǔn)確定位報(bào)表。
在通過(guò)網(wǎng)絡(luò)木馬監(jiān)測(cè)模塊的準(zhǔn)確定位后，即可使用單機(jī)木馬檢測(cè)模塊針對(duì)感染木馬的單機(jī)進(jìn)行深度檢測(cè)了。
#p#
2.2深入分析的單機(jī)木馬檢測(cè)模塊
木馬隱蔽技術(shù)的發(fā)展使得木馬在目標(biāo)系統(tǒng)中越來(lái)越隱蔽，傳統(tǒng)的基于靜態(tài)特征的木馬檢測(cè)技術(shù)，面對(duì)已知木馬的各種隱蔽和變化檢測(cè)能力明顯不足，對(duì)于未知的木馬更是無(wú)能為力，具有根本性的缺陷。鼎普科技通過(guò)控制木馬的植入、隱蔽、惡意操作所需資源以防范木馬；通過(guò)監(jiān)控注冊(cè)表、文件和目錄、端口進(jìn)程關(guān)聯(lián)和可疑調(diào)用行為、過(guò)濾分析網(wǎng)絡(luò)通信等來(lái)檢測(cè)木馬。圖2顯示了單機(jī)木馬檢測(cè)模塊的全部功能。
圖2 鼎普木馬監(jiān)測(cè)與評(píng)估系統(tǒng)功能
單機(jī)木馬檢測(cè)模塊以光盤(pán)或防病毒U盤(pán)為載體，重點(diǎn)實(shí)現(xiàn)功能如下：
1、靜態(tài)檢測(cè)：靜態(tài)木馬庫(kù)的對(duì)比，對(duì)已知的高危木馬進(jìn)行匹配分析，檢測(cè)當(dāng)前高危木馬；
2、動(dòng)態(tài)檢測(cè)：從木馬所要運(yùn)行活動(dòng)的幾個(gè)方面對(duì)未知木馬變種進(jìn)行動(dòng)態(tài)特征的深入分析：
- 啟動(dòng)方式檢測(cè)——對(duì)可疑BHO、啟動(dòng)文件、注冊(cè)表啟動(dòng)項(xiàng)、異常服務(wù)、文件關(guān)聯(lián)方式等進(jìn)行檢測(cè)，從程序、進(jìn)程自啟動(dòng)方面得到木馬的相關(guān)信息。
- 通信方式檢測(cè)——從通信方式來(lái)深度檢測(cè)，包括可疑打開(kāi)端口、反彈端口、復(fù)用端口等。
- 文件系統(tǒng)檢測(cè)——對(duì)文件系統(tǒng)進(jìn)行掃描，發(fā)現(xiàn)加殼文件及隱藏的文件和文件夾。
- 系統(tǒng)帳號(hào)檢測(cè)——木馬要竊取信息通常會(huì)先獲得管理員權(quán)限，因此對(duì)于系統(tǒng)中的帳號(hào)進(jìn)行檢測(cè)，包括帳號(hào)所屬組、上次登錄時(shí)間、修改口令時(shí)間等，監(jiān)測(cè)有無(wú)被木馬添加的賬號(hào)信息。
3、智能分析：對(duì)可疑進(jìn)程進(jìn)行智能分析，評(píng)估檢測(cè)出的已知或未知木馬在一定時(shí)間內(nèi)的所有操作行為，如打開(kāi)文件、寫(xiě)文件、打包文件等來(lái)確定這些可疑進(jìn)程是否為木馬。
4、報(bào)表審計(jì)：對(duì)終端一鍵檢測(cè)、靜態(tài)檢測(cè)、動(dòng)態(tài)監(jiān)測(cè)及智能分析的結(jié)果生成統(tǒng)計(jì)審計(jì)報(bào)表信息。
#p#
3 優(yōu)勢(shì)效果分析
在當(dāng)前安全檢查木馬工作中，木馬檢查產(chǎn)品種類繁多，其多對(duì)常規(guī)木馬種類進(jìn)行檢查，且檢查方式多為木馬庫(kù)對(duì)比或少許特征分析，相比之下鼎普木馬監(jiān)測(cè)與評(píng)估系統(tǒng)開(kāi)拓創(chuàng)新，創(chuàng)造出了獨(dú)具特色的檢查評(píng)估平臺(tái)，優(yōu)勢(shì)重點(diǎn)體現(xiàn)在以下幾個(gè)方面：
針對(duì)性強(qiáng)，根據(jù)不同的行業(yè)特征，可進(jìn)行關(guān)鍵字配置，針對(duì)竊取重要信息的高危木馬和未知木馬，實(shí)現(xiàn)準(zhǔn)確的靜態(tài)分析、敏銳的動(dòng)態(tài)檢測(cè)及智能跟蹤分析；
建立完善的木馬檢測(cè)與評(píng)估體系，網(wǎng)絡(luò)與單機(jī)共同進(jìn)行深度檢測(cè)評(píng)估，通過(guò)網(wǎng)絡(luò)檢測(cè)定位到終端，再對(duì)終端深度檢測(cè)與綜合分析評(píng)估，簡(jiǎn)潔高效；
獨(dú)具特色的重要信息內(nèi)容檢查分析點(diǎn)，不論其為何種木馬，其最終目的都是想竊取重要信息，因此鼎普科技開(kāi)創(chuàng)了特色的從信息內(nèi)容匹配、數(shù)據(jù)截獲、數(shù)據(jù)報(bào)文還原的終極檢測(cè)手段；
具有極強(qiáng)的擴(kuò)展能力和自身提升能力，整個(gè)監(jiān)測(cè)與評(píng)估系統(tǒng)構(gòu)成了一個(gè)完整的閉環(huán)循環(huán)系統(tǒng)，先是網(wǎng)絡(luò)上進(jìn)行木馬特征和信息內(nèi)容分析，定位感染終端；再到終端上進(jìn)行木馬活動(dòng)特性動(dòng)態(tài)匹配智能分析，定位木馬；最后由定位出的木馬特征加入到網(wǎng)絡(luò)監(jiān)測(cè)模塊中，便于以后的木馬監(jiān)測(cè)與評(píng)估，這就構(gòu)成能夠不斷自我成長(zhǎng)壯大，自我提升的木馬監(jiān)測(cè)與評(píng)估平臺(tái)；
自身防木馬病毒能力強(qiáng)、適應(yīng)多樣的應(yīng)用環(huán)境，并具有極高的兼容性和操作簡(jiǎn)單便捷性；通過(guò)光盤(pán)或防病毒U盤(pán)載體保障木馬監(jiān)測(cè)程序的安全性。
#p#
4 結(jié)束語(yǔ)
鼎普科技憑借對(duì)計(jì)算機(jī)病毒多年來(lái)的研究分析，采用靜態(tài)匹配與動(dòng)態(tài)分析相結(jié)合、網(wǎng)絡(luò)檢測(cè)與單機(jī)檢測(cè)相結(jié)合的獨(dú)特檢測(cè)方式，可以有效的批量檢測(cè)出網(wǎng)絡(luò)中感染木馬的終端主機(jī)，并進(jìn)而實(shí)施單機(jī)深度木馬檢測(cè)，是一種非常簡(jiǎn)潔高效的木馬檢測(cè)綜合解決方案。
木馬進(jìn)入新經(jīng)濟(jì)時(shí)代后，網(wǎng)絡(luò)的提速讓木馬更加的泛濫，如何通過(guò)千變?nèi)f化的木馬形式分析出其編制的根本，并開(kāi)發(fā)出有效的檢測(cè)軟件，這將是一項(xiàng)長(zhǎng)期的任務(wù)。鼎普科技將不斷研究新情況，解決新問(wèn)題，密切關(guān)注防病毒領(lǐng)域的未來(lái)走向，為業(yè)界提供更安全更可靠更高效的解決思路。
文章標(biāo)題：高效快捷的木馬綜合檢測(cè)方案
網(wǎng)頁(yè)地址：http://m.5511xx.com/article/djejodc.html
