Soc运营中心的一次病毒处理

2009年4月22日，天融信安全工程师小张像往常一样，坐在电脑前分析着每小时的安全日志。突然，某单位图片查询服务器(192.168.1.5)大量的异常请求链接引起了小张的关注，多年积累的经验告诉他，该服务器存在安全问题。

作为天融信安全服务工作中的一部分，小张和同事们首先过滤出用户安全日志和图片服务器的全部日志，并在此基础上做进一步过滤，以便将和异常事件相关的线索逐一筛选出来。随后，安全工程师们立即对安全事件进行比对分析，结合安全监控平台触发的关联事件，基本上断定了用户局域网内图片查询服务器存在病毒。

与用户沟通后得知，内网用户在访问图片查询服务器时，客户端杀毒软件不断弹出警告，提示存在恶意软件或病毒，严重影响正常应用。客户的反馈印证了天融信安全工程师的判断，为用户服务器清除病毒刻不容缓。

说话间，小张和同事已经带着笔记本来到客户公司。根据对图片查询服务器、客户端以及杀毒软件日志相关信息的收集，天融信安全工程师简单复原了病毒感染和爆发的过程，并给出事故说明。

１、病毒感染的两种可能：第一种可能，2009年4月22日左右，单位内某工作人员在可以连接公网的机器上浏览网页时，被病毒或者木马所感染，之后工作人员在内网机器和可以连接公网的机器间进行拷贝数据时，病毒进入局域网，由于局域网内多台机器存在管理员空口令、网络共享等漏洞，病毒便开始蔓延；第二种可能，2009年4月22日左右，单位内某工作人员在家中上网浏览网页时，被病毒或者木马类感染，之后工作人员在内网机器和家中机器间进行拷贝数据时，病毒进入局域网，由于局域网内多台机器存在管理员空口令、网络共享等漏洞，病毒便开始蔓延；

２、W32/Fujacks.aw通过攻击存在网络共享并具有弱口令的机器，在局域网内进行繁殖和传播，之后从互联网下载恶意软件，修改系统注册表以达到破坏众多杀毒软件的查杀，同时搜索主机内所有asp和htm后缀的文件，在其中插入隐藏的Iframe挂马页面框架，当用户浏览该页面时，便会在不知道的情况下自动下载木马等恶意软件;

事件来龙去脉基本掌握，小张与客户进行了简单沟通后，即可将断网进入应急流程。在这要强调一下，安全服务人员断网之前一定要和客户进行沟通，在征得用户的同意后方可断网。

１、首先把图片查询服务器与内网PC终端进行网络隔离，断网；

２、对图片服务器进行数据备份，防止在病毒清理过程中不当操作造成数据的丢失；

３、手工对图片服务器进行检查，终止恶意进程、手工清除病毒文件、修复注册表的等；

４、将图片查询系统全部备份至安全无毒的存储介质，然后在安全无毒的机器上对系统所有页面进行恶意代码清理，最后进行检查；

５、在原有的图片查询系统目录内新建一个目录，将清理完毕的图片查询系统放入其中，然后新建一个虚拟的web站点对其进行测试，一切正常，连上测试机对其访问，杀毒软件不再弹出恶意软件提示窗口；

６、重新启动IIS，用户访问恢复正常。
至此，病毒清除工作顺利完成。作为天融信安全服务的一部分，在对事件进行总结之后，小张向客户提出了安全建议和网络规划建议，并赢得了用户的肯定。

安全建议：

１、对服务器关键数据进行定时、定期的数据备份，尽量减少发生安全事件时的损失；

２、对单位内进行网络安全基础知识培训，提高安全防范意识，避免工作中的不安全的操作，减少安全事件发生的概率；

３、对局域网内所有服务器包括PC终端部署安装防毒软件、防火墙等，并及时升级病毒库、防火墙策略、更新系统补丁；

４、对单位内服务器和所有终端进行全面的安全评估和加固，增强系统的安全性；

５、在服务器和客户端之间进行文件拷贝时利用专门的存储设备，防止交叉重复感染。

网络规划建议：

１、对管内系统部署桌面终端软件，实现内网可控管理；
２、划分DMZ区，对重要服务器群进行隔离和访问控制，以达到保护重要资产和信息的目的。

未经允许不得转载：DOIT » Soc运营中心的一次病毒处理