新一代防病毒挑战与防病毒理念.ppt

新一代防病毒挑战与防病毒理念 议题 复杂网络环境下防病毒所需考虑的问题只有防病毒软件就够了吗 防病毒的管理理念 议题 复杂网络环境下防病毒所需考虑的问题只有防病毒软件就够了吗 防病毒的管理理念 防病毒所需考虑的问题 病毒定义库的更新问题新病毒的响应防病毒软件的管理与管理的费用选择解决方案的原则 防病毒所需考虑的问题 病毒定义库的更新问题新病毒的响应防病毒软件的管理与管理的费用选择解决方案的原则 防病毒软件的结构 防病毒软件的3个组成部分 扫描应用 扫描引擎 病毒定义 扫描应用用户接口日志文件报警功能扫描引擎搜索病毒的算法CPU防真器精密编程逻辑病毒的特征码在病毒定义文件中 防病毒软件的结构 扫描应用 扫描引擎 1 要扫描的文件和磁盘 2 扫描检测病毒 3 警告用户并提示操作 4 修复文件和磁盘 防病毒软件的结构 第一代 全部更新 扫描应用 扫描引擎 病毒定义 防病毒软件的结构 扫描应用 扫描引擎 第二代 扫描应用和扫描引擎同时更新病毒定义码的更新不需过多的费用病毒定义由不定期到定期更新 上述软件构架的缺点 新病毒要新的版本若不是简单的指纹更新 需要重装整个程序每种平台的软件均需重装对于厂商 每种平台的软件均需更新整个重新部署的过程费时 费资源 软件结构的不足导致防病毒措施的不足 由于上述作法花费太高选择部分病毒防治 有无法杀的病毒发布单一的 独立的补丁工具 还是麻烦等一段时间 统一发布一个阶段性的软件 等的阶段会被感染 现代防病毒软件的结构 扫描应用 第三代 扫描应用更新扫描引擎和病毒定义码的更新不需过多的费用 新的构架的好处 扫描引擎是独立于操作系统平台的可以对扫描引擎单独更新只要使用统一的扫描引擎 就可统一更新更新的同时 不会导致操作系统停机便于引擎的发送 一台更新 全网更新赛门铁克独有的专利 防病毒所需考虑的问题 病毒定义库的更新问题新病毒的响应防病毒软件的管理与管理的费用选择解决方案的原则 新病毒的响应 第二代软件 某计算机出现问题 呼叫管理员管理员怀疑是病毒 将感染文件送到厂商厂商分析 确定为新病毒 临时的权宜软件管理员2天杀毒干净更多的感染 管理员使用权宜软件杀毒一个月 工作站杀毒软件几个月 服务器杀毒软件 新病毒的响应 第二代软件问题 时间长 1到若干个月动扫描全部机器 再重新安装应用软件在这过程中 病毒可能会再次发作 新病毒的响应 第三代软件 某计算机出现问题 呼叫管理员管理员怀疑是病毒防病毒软件将感染文件送到厂商厂商确定为新病毒 承诺24 48小时内解决更多的计算机感染厂商将扫描引擎升级 不用权宜软件管理员内部统一自动升级 全部杀掉新病毒 新病毒的响应 第三代软件特点 处理新病毒快捷有效两者的分析时间是一样的 但第三代人工干预少一个扫描引擎的更新 可以使全部计算机升级 防病毒所需考虑的问题 病毒定义库的更新问题新病毒的响应防病毒软件的管理与管理的费用选择解决方案的原则 防病毒软件的管理与管理的费用 统一集中管理的重要性 降低费用一个控制台管理全部防病毒软件独立于平台地分发 更新和警报自动化的更新软件 实时防护自动识别病毒定义码是否已过期自动识别防护是否启动 自动识别是否做过完整扫描中心强制执行某些规定 管理的费用 防病毒所需考虑的问题 病毒定义库的更新问题新病毒的响应防病毒软件的管理与管理的费用选择解决方案的原则 原则 完整性层次性统一性持续性本地化 议题 复杂网络环境下防病毒所需考虑的问题只有防病毒软件就够了吗 防病毒的管理理念 安全事件正在上升 Source CERT Source ComputerIndustryAlmanac 混合型的威胁 CodeRed Nimda 拒绝服务攻击 Yahoo eBay 发送大量邮件的病毒 LoveLetter Melissa 多变形病毒 Tequila 特洛伊木马 Source Symantec 病毒 网络入侵 频率和复杂性正在增加 70 000 60 000 50 000 40 000 30 000 20 000 10 000 已知威胁的数量 什么是混合型威胁 用多种方法和技术来传播和实施的攻击或威胁 因而必须有多种方法来保护和压制这种攻击或威胁 例子 红色代码 红色代码II蓝色代码 尼姆达 工作站通过电子邮件 什么是混合式威胁 BlendedThreat 工作站 防火墙 Internet 尼姆达蠕虫案例 工作站 工作站通过电子邮件 什么是混合式威胁 BlendedThreat 工作站 防火墙 Internet 工作站 尼姆达蠕虫案例 网站服务器 工作站通过电子邮件 什么是混合式威胁 BlendedThreat 工作站 防火墙 Internet 工作站 尼姆达蠕虫案例 网站服务器 尼姆达攻击手法 工作站 工作站 网站服务器 网站服务器 邮件中恶意附件 攻破多个网站服务器 以前攻破的网站服务器 浏览器进攻 文件共享 Internet 路由器 如何防止混合进攻 一种使用多种方法和技术来传播和攻击的安全威胁或攻击 因而需要采用多重方式的防护才能真正的根除这种全新方式的威胁 综合解决方案防病毒入侵检测风险管理防火墙 工作站通过电子邮件 如何防止混合进攻 工作站 Internet 工作站 防病毒防火墙入侵检测风险管理 尼姆达蠕虫案例 网站服务器 工作站通过电子邮件 如何防止混合进攻 工作站 Internet 工作站 尼姆达蠕虫案例 网站服务器 防病毒防火墙入侵检测风险管理 防范方式 工作站 工作站 网站服务器 风险管理 防火墙技术 Internet 路由器 防火墙 防病毒技术 发现和清楚恶意代码在邮件网关和系统级可以解决 网站服务器 纵深防御与混合式攻击 预防 Prevention 检测 Detection 响应 Response 成本 防火墙漏洞检测內容过滤 防毒入侵检测 修復工具更改配置更新軟件 工作站通过电子邮件 什么位置可以阻止混合型威胁 工作站 Internet 工作站 尼姆达蠕虫案例 网站服务器 工作站通过电子邮件 什么位置可以阻止混合型威胁 工作站 Internet 工作站 尼姆达蠕虫案例 网站服务器 尼姆达安全解决方案 防卫的广度 最好的方法就是屏蔽绝大多数的攻击 实施7层的 完整检查的防火墙网关 服务器和客户端的防病毒自动更新保证安全补丁及时打上保证密码的强度关闭不必要的网络服务 议题 复杂网络环境下防病毒所需考虑的问题只有防病毒软件就够了吗 防病毒的管理理念 防病毒管理 管理的问题缺少意识防范措施不能有效的应用非法用户入侵 防病毒系统的前提 防病毒制度有效的系统管理与配置有效的监控机制备份应急计划 用户的教育 每个用户执行制度提高防病毒的能力病毒的知识机制传播方式安全的防范措施备份与应急 软件的管理 下载使用免费的软件在拷贝和使用软件之前 有机制确定软件健康减少交换软件的次数软件库要有很强的防范措施软件安装记录软件的维护与升级盗版妥善保存原软件 日常监视防病毒系统 有了监控 分析原因 控制泛滥制度与防范措施存有漏洞办法教育用户系统监控网络监控 应急计划 制度要求应急计划应急计划的书写与测试建立应急小组 联系方式分清职责分离关键的主机与网段备份与备份的防毒软件的备份配置的备份备份的校验恢复的步骤 防病毒制度 制度是核心防病毒制度用户不可以尝试传播病毒禁止从第三方的系统下载软件组建一支队伍 监测和调查病毒事件重要的数据必须备份 并每月检查一次 小结 防病毒是整个安全链中的一个环节整体的解决方案才能提高整个系统的安全管理是安全链中最重要的环节 1982年成立1989年在美国上市 NASDAQ SYMC 全球第一位的互联网安全解决方案提供商全球第一位的入侵检测产品 42 全球第一位的风险评估产品 38 8 全球第一位的计算机防病毒软件 60 全球第二位的防火墙软件 13 2001年销售额USD1000Million全球用户超过一亿For