利用其牟利，對(duì)造成了嚴(yán)重的安全壓力。對(duì)用戶來(lái)說(shuō)，防御僵尸并非“天價(jià)”，只要從自身的實(shí)際情況出發(fā)，采取針對(duì)性的措施，就可以收到效果。
嚴(yán)重的問(wèn)題
近日，美國(guó)《Network World》披露了截止到2007年8月底全球的僵尸網(wǎng)絡(luò)情況。報(bào)告指出，全球每小時(shí)平均有1100到1700臺(tái)活躍的僵尸網(wǎng)絡(luò)指揮控制。
如果這聽(tīng)起來(lái)算不了什么，不妨想一想，企業(yè)面臨的真正問(wèn)題不是網(wǎng)絡(luò)的數(shù)量，而是它們控制“肉雞”的驚人數(shù)量。僅僅在今年的8個(gè)月時(shí)間里，每天被控制的客戶端就以驚人的速度增長(zhǎng)，從年初50萬(wàn)臺(tái)左右增加到8月底的300萬(wàn)臺(tái)。
事實(shí)上，這并非是所有僵尸和僵尸網(wǎng)絡(luò)的數(shù)量，而只是活躍使用中的僵尸和僵尸網(wǎng)絡(luò)的數(shù)量。有專家表示，沒(méi)有人知道多少機(jī)器處于睡眠狀態(tài)。一些研究人員甚至聲稱，全球可以接入Internet的11億臺(tái)計(jì)算機(jī)中有多達(dá)11%的計(jì)算機(jī)受到感染，構(gòu)成可供利用的僵尸資源的一部分。
美國(guó)著名僵尸網(wǎng)絡(luò)獵手Gadi Evron近日在論壇上表示，每天大約有350萬(wàn)臺(tái)僵尸機(jī)被用于發(fā)送。僵尸機(jī)規(guī)模如此巨大，以致統(tǒng)計(jì)它們的數(shù)量已經(jīng)變得無(wú)關(guān)緊要了。
高性價(jià)比的防御計(jì)劃
對(duì)僵尸網(wǎng)絡(luò)的防御，業(yè)內(nèi)不同的廠商提出了各自的，從型到內(nèi)網(wǎng)型再到全網(wǎng)型，防御僵尸的成本處在不斷上升的階段。事實(shí)上，防御僵尸網(wǎng)絡(luò)并非需要天價(jià)方案。一些國(guó)內(nèi)外的安全組織已經(jīng)總結(jié)出一系列具有代表性的防御方式，而且成本極低，這對(duì)于企業(yè)相當(dāng)有誘惑力。
方式一：租用Web過(guò)濾服務(wù)
Web過(guò)濾服務(wù)是打擊僵尸機(jī)的最佳辦法之一。這類服務(wù)掃描尋求做出異常行為或已知惡意活動(dòng)的Web網(wǎng)站，并阻止用戶進(jìn)入這些網(wǎng)站。相對(duì)于直接購(gòu)買安全網(wǎng)關(guān)，租用的成本很低，對(duì)于資金壓力較大的中國(guó)企業(yè)和高校來(lái)說(shuō)，非常適合。
Anchiva、Websense、Cyveillance、FaceTime Communications就是這類服務(wù)的例子。有安全專家表示，所有這些服務(wù)都實(shí)時(shí)監(jiān)測(cè)Internet，尋求從事可疑活動(dòng)(如下載JavaScript和執(zhí)行Screen Scrapes等)。此外，這些過(guò)濾網(wǎng)關(guān)可以通知Web站點(diǎn)操作人員及發(fā)現(xiàn)惡意件，使黑客攻擊的服務(wù)器能夠被修復(fù)。
方式二：轉(zhuǎn)換瀏覽器
防止僵尸網(wǎng)感染的另一種策略是的標(biāo)準(zhǔn)化，而不是僅僅依靠的Internet Explorer 或的Firefox。當(dāng)然，這兩者確實(shí)最流行，不過(guò)正因?yàn)槿绱?，惡意軟件作者們通常也最喜歡編寫針對(duì)它們的。同樣的策略也適用于。根據(jù)IDC披露的數(shù)字，同桌面操作系統(tǒng)一樣，很少受到僵尸網(wǎng)絡(luò)的侵?jǐn)_，因?yàn)榇蠖鄶?shù)僵尸牧人都把目標(biāo)指向了Windows。
方式三：禁用腳本
雖然完全禁用瀏覽器的腳本功能可能不利于工作效率，但這對(duì)安全的確好處多多。不過(guò)這里需要提醒國(guó)內(nèi)用戶注意，由于國(guó)內(nèi)很多企業(yè)的業(yè)務(wù)應(yīng)用采用了定制與Web的方式，禁止腳本會(huì)對(duì)此類程序有影響，企業(yè)需要根據(jù)自身情況而定。
方式四：部署/IPS
IDS和是一種有效的對(duì)抗僵尸的方式，因?yàn)檫@些設(shè)備可以尋找有僵尸特征的活動(dòng)。例如，在任何Internet聊天活動(dòng)中突然增加的機(jī)器肯定是可疑的。那些與海外的IP地址連接或與非法的DNS地址連接也十分可疑。另一個(gè)可以揭示僵尸的跡象是，一臺(tái)機(jī)器中的突然增加，特別是基于某些不常用的端口活動(dòng)，這就可能表明，一個(gè)僵尸控制的通道已經(jīng)被激活了。
有專家表示，用戶必須注意那些將電子郵件傳送到其他服務(wù)器而不是企業(yè)自己的電子郵件服務(wù)器的機(jī)器。有美國(guó)的用戶提出，企業(yè)的IT經(jīng)理應(yīng)該學(xué)會(huì)監(jiān)視運(yùn)行在應(yīng)用層的Web搜索器。應(yīng)用層會(huì)激活一個(gè)Web頁(yè)面上的所有鏈接，這可能表明一臺(tái)機(jī)器正與一個(gè)惡意的Web站點(diǎn)連接。
另外，IPS可以監(jiān)視異常行為。TippingPoint公司的安全專家李臻在接受記者采訪時(shí)表示，這些行為表明難于發(fā)現(xiàn)的、基于HTTP的攻擊以及這些攻擊來(lái)自遠(yuǎn)程調(diào)用過(guò)程、Telnet和地址解析協(xié)議(即)欺騙等等。然而，值得注意的是，許多IPS傳感器使用基于特征比對(duì)的技術(shù)。換句話說(shuō)，這些攻擊被發(fā)現(xiàn)時(shí)，它們的特征被添加到一個(gè)安全中。IPS必須定期更新其數(shù)據(jù)庫(kù)以識(shí)別攻擊。因此，對(duì)于犯罪活動(dòng)的檢測(cè)需要持續(xù)不斷的努力。
方式五：保護(hù)內(nèi)容
國(guó)內(nèi)用戶應(yīng)當(dāng)注意，在對(duì)抗僵尸網(wǎng)絡(luò)的同時(shí)，還應(yīng)該保護(hù)自己的Web操作，使其避免成為惡意軟件作者的幫兇。另外，記者在上期報(bào)道了的安全問(wèn)題。不幸的是，對(duì)于僵尸網(wǎng)絡(luò)，Web2.0的表現(xiàn)更加糟糕。事實(shí)上，不少美國(guó)安全專家甚至建議，基于Web2.0的公司博客和論壇就應(yīng)該被限制在文本方式下。因?yàn)樵谙⑽谋局惺褂肑avaScript或者嵌入HTML標(biāo)簽都是不安全的。
另外，如果企業(yè)站點(diǎn)需要讓成員或用戶交換文件，就應(yīng)該被設(shè)置為使其只允許有限的和相對(duì)安全的文件類型，如那些以.jpeg或mp3為擴(kuò)展名的文件。(不過(guò)，美國(guó)惡意軟件的作者們已經(jīng)開(kāi)始把MP3播放器作為目標(biāo)，編寫了若干。)
方式六：使用補(bǔ)救工具
如果用戶發(fā)現(xiàn)了一臺(tái)被感染的計(jì)算機(jī)，需要決定的是如何最好地進(jìn)行補(bǔ)救。很多安全公司宣稱，他們可以檢測(cè)并清除即使是隱藏最深的rootkit。不過(guò)有專家認(rèn)為，事后進(jìn)行的檢測(cè)惡意件實(shí)際上是個(gè)錯(cuò)誤!因?yàn)樗鼤?huì)誘使IT專家確信他們已經(jīng)清除了僵尸，而其實(shí)呢，真正的僵尸代碼還隱藏在計(jì)算機(jī)上。
這并不是說(shuō)用戶不應(yīng)該去部署，而只是說(shuō)這樣做就好像在自己的貴重物品被盜之后再去買個(gè)保險(xiǎn)箱。事實(shí)上，在檢測(cè)到僵尸惡意軟件后，確保一臺(tái)計(jì)算機(jī)絕對(duì)干凈的唯一辦法是徹底清除原有的系統(tǒng)，并從頭開(kāi)始安裝系統(tǒng)。而國(guó)內(nèi)的安全專家們也提醒用戶，遠(yuǎn)離僵尸的廉價(jià)方式之一，就是不要讓企業(yè)用戶訪問(wèn)已知的惡意網(wǎng)站，同時(shí)確保企業(yè)網(wǎng)絡(luò)處于良好狀態(tài)。