幾年前，在一個項目中，因為是有針對性的歹意軟件報復(fù)打擊，我研究了被卷進(jìn)僵尸收集的超越10,000臺的計較機(jī)。這些計較機(jī)存在的首要標(biāo)題問題是安然辦法極其虧弱，如沒有縫隙測試，和對傳統(tǒng)殺毒軟件過度依托等。別的還發(fā)此刻安然團(tuán)隊、桌面撐持團(tuán)隊、IT治理員和其他相干方之間的溝通呈現(xiàn)間斷。這是很是致命的。
“肉雞”和它們的指令節(jié)制(C&C)辦事器被回類為進(jìn)步前輩的歹意軟件。跟著我們更多地體味這些進(jìn)步前輩歹意軟件的復(fù)雜程度和標(biāo)題問題可能的復(fù)雜性和 遍及性，很明顯，僵尸收集的清理其實不是一件簡單的工作。不幸的是，在企業(yè)碰著這類標(biāo)題問題時，治理員是沒法簡單地經(jīng)由過程封鎖系統(tǒng)，從頭安裝鏡像來避免的。
正如我碰著過的一樣，肉雞傳染多是作為一名IT專業(yè)人士措置過的最討厭的工作之一，但它其實不會對你現(xiàn)有的工作產(chǎn)生巨大年夜影響。
對若何應(yīng)對這些歹意軟件傳染，和肉雞移除，作為企業(yè)的IT治理員，以下是需要寄望的五個關(guān)頭步調(diào)。
1. 文檔化
假定你要有效地治理IT風(fēng)險，需要有完美的事務(wù)響應(yīng)流程。步履打算的缺掉可以說是有效安然響應(yīng)的最大年夜障礙。頓時開端擬定積極的預(yù)防辦法來盡可能削減惡 意軟件報復(fù)打擊的暗藏影響。假定要讓你的組織具有措置被僵尸收集劫持的能力，那么一個對不合終端，收集拜候，數(shù)據(jù)治理和未知用戶都有具體定義的好的打算是相 當(dāng)有需要的。
2. 診斷
鄙諺說，治病一半的功績在于診斷。所以，傳染點(diǎn)在哪里?這是一個對歹意軟件來講價值$ 64,000的標(biāo)題問題。
利用加密，快速DNS變動的編制進(jìn)行報復(fù)打擊稱之為“Fast Flux辦事收集”，良多典型的僵尸收集和C&C代碼都是利用這類編制穿梭在傳統(tǒng)的安然節(jié)制雷達(dá)之下的。這就是為甚么沒有合適的東西就難以檢測僵 尸收集。但假定你能找到歹意軟件倡議的主機(jī)，必然要抓緊查詢拜訪并盡可能節(jié)制范圍。提示：Windows客戶端被傳染的可能性比較大年夜，但也多是你的 Windows辦事器。
利用微軟的Sysinternals東西是一個好的初步。需要出格謹(jǐn)慎的是寄望在有嫌疑的機(jī)械上輸進(jìn)的任何暗碼，和從這里拜候的其它系統(tǒng)等。對 像Wireshark之類的收集闡發(fā)東西，OmniPeek還可以供給額外的視圖以查看收集層面產(chǎn)生的工作，這類更高級別的視圖將讓治理員收獲頗豐。
別的，你終很可能需要從Damballa和FireEye如許的供給商那邊獲得更進(jìn)步前輩的手藝，以有效地追蹤歹意軟件傳染和進(jìn)行肉雞移除。
3. 限制
假定你足夠體味歹意軟件的傳染，可以應(yīng)用一些應(yīng)急的收集拜候節(jié)制列表或防火墻法則來禁止歹意軟件的進(jìn)站或出站收集流量，直到將它們清理掉落。
你還可以采取白名單的編制，加上本地策略或組策略作為根基東西來匹敵歹意軟件傳染，更可利用Bit9倡導(dǎo)的“積極安然節(jié)制策略”作為高級東西進(jìn)行匹敵。
4. 斷根
只是運(yùn)行一個簡單的防病毒掃描是沒法將肉雞移除的。你乃至沒法檢測到歹意軟件的異常行動。即便可以檢測，歹意代碼也常常與把持系統(tǒng)/注冊表彼此交叉，使主流的殺毒軟件不知道若何進(jìn)行措置。
你所能做的最好的辦法之一就是運(yùn)行多個反歹意軟件東西，特別是像Webroot和Malwarebytes如許的對更高級威脅相對體味的東西。你也可能除從頭安裝把持系統(tǒng)以外毫無選擇。
別的，在從頭安裝把持系統(tǒng)時，還要寄望數(shù)據(jù)丟掉的風(fēng)險。在我措置過的項目中，幾近沒有任何內(nèi)部安然評估，也沒有找到位于工作站上的敏感信息的備份副本。
5. 補(bǔ)丁更新
對歹意軟件的傳染，最大年夜的仇敵莫過于用戶沒有對Java、Adobe和相干的第三方軟件進(jìn)行按期更新。其次是Windows XP即將退休。
標(biāo)題問題是，對企業(yè)的系統(tǒng)進(jìn)行更新可以消弭威脅，起碼可以避免歹意軟件的傳播。所以此刻需要開端考慮第三方軟件的補(bǔ)丁治理標(biāo)題問題，乃至于在真正呈現(xiàn)標(biāo)題問題時你可以有所防御。
當(dāng)所有這一切都沒有見效時，你只能尋求專家的幫忙。僵尸收集很是難以應(yīng)付。因為我發(fā)此刻我的項目里，和從其它事務(wù)體味的信息來看，僵尸收集很像身 體的癌癥病變。即便收集中還殘存一點(diǎn)僵尸信息，很可能就會遭受第二波傳染。應(yīng)急事務(wù)辦法和讓專業(yè)人士按期對疑似特點(diǎn)的終端進(jìn)行措置將會讓全部組織處于 IT安然的呵護(hù)當(dāng)中。
往除終端上的歹意軟件是盡可能削減風(fēng)險的一個方面。威脅諜報(知道要尋覓甚么，并有足夠的信息撐持決定計劃)很是關(guān)頭。這又回到一個根基的治理原則：體味你的收集。當(dāng)然它聽起來有些無聊，可是當(dāng)你真正知道甚么是“ 正常”時，你就會對異常勾當(dāng)做出準(zhǔn)確的鑒定。
假定你沒有東西或流程來獲得響應(yīng)的信息，那就從今天開端吧。要獲得終端的節(jié)制權(quán)，你需要有好的收集闡發(fā)東西和事務(wù)監(jiān)控東西來同僵尸收集進(jìn)行匹敵。就像我最喜好的一句話：“良知知彼，百戰(zhàn)百勝”。
歹意軟件的標(biāo)題問題其實不會跟著時候的流逝有任何好轉(zhuǎn)的跡象。所以對桌面和收集治理員來講，此刻需要進(jìn)步他們的手藝，使之成長為威脅闡發(fā)師，數(shù)據(jù)科學(xué)家和事務(wù)響應(yīng)者。即便今朝這些范疇還不會影響他們的工作，可是有朝一日，他們必然會派上用處的。