無(wú)論對(duì)于網(wǎng)絡(luò)的正常運(yùn)行，還是對(duì)于企業(yè)數(shù)據(jù)的安全保護(hù)，僵尸網(wǎng)絡(luò)都為企業(yè)帶來(lái)了極大的安全隱患。但是，發(fā)現(xiàn)一個(gè)僵尸網(wǎng)絡(luò)并不是一件容易的事情，因?yàn)榻┦W(wǎng)絡(luò)的控制者多數(shù)采用非?！半[蔽”的手法來(lái)控制其網(wǎng)絡(luò)中的“僵尸主機(jī)”。但是我們也并非對(duì)它毫無(wú)辦法，國(guó)外媒體Network World上的一篇文章就為我們介紹了六個(gè)方法。
1、部署一個(gè)網(wǎng)頁(yè)過(guò)濾服務(wù)
網(wǎng)頁(yè)過(guò)濾服務(wù)是打擊僵尸網(wǎng)絡(luò)最有效的方法之一。它可以對(duì)網(wǎng)站進(jìn)行掃描，監(jiān)測(cè)其是否有不正常的行為或是否存在已知的惡意行為，并阻擋用戶訪問(wèn)這些站點(diǎn)。
通過(guò)部署網(wǎng)頁(yè)過(guò)濾服務(wù)，企業(yè)可以實(shí)時(shí)地監(jiān)視，并查找從事惡意的或可疑的活動(dòng)的站點(diǎn)，如下載JavaScript或執(zhí)行screen scrapes等正常Web瀏覽之外的其它騙局。
國(guó)內(nèi)著名的軟件與解決提供商?hào)|軟目前就部署了Websense Enterprise來(lái)管理員工上網(wǎng)行為。一旦用戶訪問(wèn)了具有惡意傾向的站點(diǎn)，Websense會(huì)阻擋其訪問(wèn)，并進(jìn)行日志記錄。
2、更換瀏覽器
當(dāng)今惡意軟件通常是以最流行的軟件為目標(biāo)，例如IE瀏覽器、火狐。那么，根據(jù)這個(gè)特點(diǎn)，另一個(gè)防止僵尸感染的策略就是更換瀏覽器，例如換成遨游瀏覽器或世界之窗等。
同樣的策略也適用于。據(jù)統(tǒng)計(jì)，的系統(tǒng)受僵尸網(wǎng)絡(luò)影響最少，同樣的還有桌面Linux，因?yàn)榇蠖鄶?shù)僵尸都是專(zhuān)門(mén)瞄準(zhǔn)的Windows操作系統(tǒng)。
3、禁用腳本功能
反對(duì)僵尸網(wǎng)絡(luò)，另一個(gè)更極端的做法是禁止瀏覽器使用腳本功能，但是如果企業(yè)員工在工作中需要使用特定的基于Web的應(yīng)用，那么這個(gè)做法有可能會(huì)影響他們的工作效率。
4、部署監(jiān)測(cè)和防入侵系統(tǒng)
還有一個(gè)辦法是調(diào)整你的(入侵檢測(cè)系統(tǒng))和(入侵防御系統(tǒng))來(lái)查找有僵尸嫌疑的行為。舉個(gè)例子來(lái)說(shuō)，任何計(jì)算機(jī)如果其互聯(lián)網(wǎng)中繼通訊突然爆發(fā)，那么它是非常可疑的。不斷重復(fù)建立與外部IP地址或非法的外部DNS之間的連接。另外還有一個(gè)不易被發(fā)現(xiàn)的可疑現(xiàn)象是，一個(gè)計(jì)算機(jī)的特定端口的通信連接突然上升，這可能說(shuō)明一個(gè)僵尸網(wǎng)絡(luò)控制通道已經(jīng)被激活。找出那些電子郵件路由到你自己的郵件之外的計(jì)算機(jī)。僵尸網(wǎng)絡(luò)偵探Gadi Evron還建議，你應(yīng)該學(xué)會(huì)監(jiān)視那些可疑的網(wǎng)絡(luò)爬蟲(chóng)(Web crawlers)行為。
一個(gè)IPS系統(tǒng)可以監(jiān)控異常的行為，發(fā)現(xiàn)非常隱蔽的基于HTTP的攻擊，以及來(lái)自遠(yuǎn)程調(diào)用過(guò)程、Telnet和地址解析協(xié)議欺騙的攻擊。但是，值得牢記的是，許多IPS嗅探器使用基于特征碼的檢測(cè)方法，這意味著當(dāng)攻擊被發(fā)現(xiàn)的時(shí)候才能被加入到中。IPS必須定期進(jìn)行更新來(lái)識(shí)別新的攻擊，這需要管理員不斷的完善自己的特征碼庫(kù)。
5、保護(hù)用戶發(fā)布的內(nèi)容
你自己的Web行為也應(yīng)當(dāng)被保護(hù)，以免在不知情的情況下成為惡意軟件作者的幫兇。除非你的企業(yè)正在成為下一代網(wǎng)絡(luò)——社交網(wǎng)絡(luò)的一部分，那么你的公司的公眾博客和論壇應(yīng)該限制為只支持文本，之前發(fā)生的留言板被利用來(lái)傳播，很容易證明這一點(diǎn)的重要性。
如何制定規(guī)則要根據(jù)企業(yè)具體情況而定，如果你的站點(diǎn)需要讓會(huì)員交換文件，也要設(shè)置規(guī)則來(lái)僅允許交換相對(duì)安全的文件類(lèi)型，例如僅允許。jpeg或。mp3擴(kuò)展名的文件。
6、使用一個(gè)補(bǔ)救工具
如果你在企業(yè)網(wǎng)絡(luò)中發(fā)現(xiàn)了一臺(tái)被感染的機(jī)器，那就應(yīng)該考慮如何來(lái)最好的進(jìn)行補(bǔ)救。像等公司都宣稱它們可以探測(cè)和清除即時(shí)隱藏最深的rootkit感染。對(duì)于賽門(mén)鐵克來(lái)說(shuō)，它聲稱通過(guò)收購(gòu)Veritas它獲得了VxMS技術(shù)，可以讓反病毒掃描器繞過(guò)Windows文件系統(tǒng)API.VxMS可以直接訪問(wèn)原始的Windows NT文件系統(tǒng)文件。其它試圖查殺rootkit木馬的反病毒廠商還有McAfee和FSecure.根據(jù)惡意軟件作者水平不同，它們的成功率也會(huì)不同。
然而，在感染真正發(fā)生后再進(jìn)行檢測(cè)實(shí)際上是一件錯(cuò)誤的事情。人士認(rèn)為他們的計(jì)算機(jī)已經(jīng)清除了僵尸，但是真正的僵尸代碼卻依然隱藏在系統(tǒng)內(nèi)部。據(jù)安全專(zhuān)家稱，“病毒不是一個(gè)解決方案，因?yàn)樗鼘?shí)際上是一個(gè)自然的反應(yīng)。反應(yīng)度必須意識(shí)到這一點(diǎn)，因?yàn)榉床《拒浖旧硪部赡鼙豢刂啤！?/P>
這不是說(shuō)你不應(yīng)該在你的防病毒軟件中部署最好的反rootkit工具，而是說(shuō)你應(yīng)該意識(shí)到，這樣做就如同你在丟失了一鍵很珍貴的東西后才買(mǎi)了一個(gè)保險(xiǎn)箱。確保一臺(tái)計(jì)算機(jī)絕對(duì)安全的唯一辦法是，在探測(cè)到僵尸后徹底對(duì)其全新的系統(tǒng)重裝。
安裝專(zhuān)家們一致認(rèn)為，通過(guò)不讓用戶訪問(wèn)惡意站點(diǎn)，監(jiān)控你的網(wǎng)絡(luò)中的異常行為，并保護(hù)你的站點(diǎn)免受攻擊，你將處于一個(gè)非常安全的狀態(tài)。