新一代防病毒挑战与防病毒理念ppt课件

1、议 题 复杂网络环境下防病毒所需思索的问题复杂网络环境下防病毒所需思索的问题 只需防病毒软件就够了吗？只需防病毒软件就够了吗？ 防病毒的管理理念防病毒的管理理念议 题 复杂网络环境下防病毒所需思索的问题复杂网络环境下防病毒所需思索的问题 只需防病毒软件就够了吗？只需防病毒软件就够了吗？ 防病毒的管理理念防病毒的管理理念防病毒所需思索的问题 病毒定义库的更新问题病毒定义库的更新问题 新病毒的呼应新病毒的呼应 防病毒软件的管理与管理的费用防病毒软件的管理与管理的费用 选择处理方案的原那么选择处理方案的原那么防病毒所需思索的问题 病毒定义库的更新问题病毒定义库的更新问题 新病毒的呼应新病毒的呼应 防

2、病毒软件的管理与管理的费用防病毒软件的管理与管理的费用 选择处理方案的原那么选择处理方案的原那么防病毒软件的构造防病毒软件的防病毒软件的3个组成部分个组成部分扫描运用扫描引擎病毒定义 扫描运用扫描运用用户接口用户接口日志文件日志文件报警功能报警功能 扫描引擎扫描引擎搜索病毒的算法搜索病毒的算法CPU防真器防真器精细编程逻辑精细编程逻辑 病毒的特征码在病毒定义文件中病毒的特征码在病毒定义文件中防病毒软件的构造扫描运用扫描引擎1.要扫描的文件和磁盘2.扫描检测病毒3.警告用户并提示操作4.修复文件和磁盘防病毒软件的构造第一代：第一代： 全部更新全部更新扫描运用扫描引擎病毒定义防病毒软件的构造扫描运

3、用扫描引擎病毒定义第二代： 扫描运用和扫描引擎同时更新 病毒定义码的更新不需过多的费用 病毒定义由不定期到定期更新上述软件构架的缺陷 新病毒要新的版本新病毒要新的版本 假设不是简单的指纹更新，需求重装整个程序假设不是简单的指纹更新，需求重装整个程序 每种平台的软件均需重装每种平台的软件均需重装 对于厂商，每种平台的软件均需更新对于厂商，每种平台的软件均需更新 整个重新部署的过程费时，费资源整个重新部署的过程费时，费资源软件构造的缺乏导致防病毒措施的缺乏由于上述作法破费太高由于上述作法破费太高 选择部分病毒防治，有无法杀的病毒选择部分病毒防治，有无法杀的病毒 发布单一的，独立的补丁工具，还是费事

4、发布单一的，独立的补丁工具，还是费事 等一段时间，一致发布一个阶段性的软件等一段时间，一致发布一个阶段性的软件, 等的阶段会被感染等的阶段会被感染现代防病毒软件的构造扫描运用扫描引擎病毒定义第三代：第三代： 扫描运用更新扫描运用更新 扫描引擎和病毒定义码的更新不需扫描引擎和病毒定义码的更新不需过多的费用过多的费用新的构架的益处 扫描引擎是独立于操作系统平台的扫描引擎是独立于操作系统平台的 可以对扫描引擎单独更新可以对扫描引擎单独更新 只需运用一致的扫描引擎，就可一致更新只需运用一致的扫描引擎，就可一致更新 更新的同时，不会导致操作系统停机更新的同时，不会导致操作系统停机 便于引擎的发送，一台更

5、新，全网更新便于引擎的发送，一台更新，全网更新 赛门铁克独有的专利赛门铁克独有的专利防病毒所需思索的问题 病毒定义库的更新问题病毒定义库的更新问题 新病毒的呼应新病毒的呼应 防病毒软件的管理与管理的费用防病毒软件的管理与管理的费用 选择处理方案的原那么选择处理方案的原那么新病毒的呼应-第二代软件 某计算机出现问题，呼叫管理员某计算机出现问题，呼叫管理员 管理员疑心是病毒，将感染文件送到厂商管理员疑心是病毒，将感染文件送到厂商 厂商分析，确定为新病毒，厂商分析，确定为新病毒， 暂时的权宜软件暂时的权宜软件 管理员管理员2天杀毒干净天杀毒干净 更多的感染，管理员运用权宜软件杀毒更多的感染，管理员运

6、用权宜软件杀毒 一个月，任务站杀毒软件一个月，任务站杀毒软件 几个月，效力器杀毒软件几个月，效力器杀毒软件新病毒的呼应-第二代软件问题 时间长，时间长，1到假设干个月到假设干个月 动扫描全部机器，再重新安装运用软件动扫描全部机器，再重新安装运用软件 在这过程中，病毒能够会再次发作在这过程中，病毒能够会再次发作新病毒的呼应-第三代软件 某计算机出现问题，呼叫管理员某计算机出现问题，呼叫管理员 管理员疑心是病毒管理员疑心是病毒 防病毒软件将感染文件送到厂商防病毒软件将感染文件送到厂商 厂商确定为新病毒，承诺厂商确定为新病毒，承诺24-48小时内处理小时内处理 更多的计算机感染更多的计算机感染 厂商

7、将扫描引擎晋级，不用权宜软件厂商将扫描引擎晋级，不用权宜软件 管理员内部一致自动晋级，全部杀掉新病毒管理员内部一致自动晋级，全部杀掉新病毒新病毒的呼应-第三代软件特点 处置新病毒快捷有效处置新病毒快捷有效 两者的分析时间是一样的，但第三代人工干涉少两者的分析时间是一样的，但第三代人工干涉少 一个扫描引擎的更新，可以使全部计算机晋级一个扫描引擎的更新，可以使全部计算机晋级防病毒所需思索的问题 病毒定义库的更新问题病毒定义库的更新问题 新病毒的呼应新病毒的呼应 防病毒软件的管理与管理的费用防病毒软件的管理与管理的费用 选择处理方案的原那么选择处理方案的原那么防病毒软件的管理与管理的费用一致集中管理

8、的重要性：降低费用一致集中管理的重要性：降低费用 一个控制台管理全部防病毒软件一个控制台管理全部防病毒软件 独立于平台地分发、更新和警报独立于平台地分发、更新和警报 自动化的更新软件，实时防护自动化的更新软件，实时防护 自动识别病毒定义码能否已过期自动识别病毒定义码能否已过期 自动识别防护能否启动，自动识别防护能否启动， 自动识别能否做过完好扫描自动识别能否做过完好扫描 中心强迫执行某些规定中心强迫执行某些规定 管理的费用 第二代防病毒软件第二代防病毒软件第三代防病毒软件第三代防病毒软件在运用前的测试阶段在运用前的测试阶段高，整个新的运用软高，整个新的运用软件件低，只测新的病毒定低，只测新的病

9、毒定义义大批量的安装和更新大批量的安装和更新费用费用高，手动或整个软件高，手动或整个软件低，自动更新定义，低，自动更新定义，速度快速度快问题支持费用问题支持费用有有无无重新启动的费用重新启动的费用有有无无等待全部方案完成的等待全部方案完成的费用费用有有无无防病毒所需思索的问题 病毒定义库的更新问题病毒定义库的更新问题 新病毒的呼应新病毒的呼应 防病毒软件的管理与管理的费用防病毒软件的管理与管理的费用 选择处理方案的原那么选择处理方案的原那么原那么 完好性完好性 层次性层次性 一致性一致性 继续性继续性 本地化本地化议 题 复杂网络环境下防病毒所需思索的问题复杂网络环境下防病毒所需思索的问题 只

10、需防病毒软件就够了吗？只需防病毒软件就够了吗？ 防病毒的管理理念防病毒的管理理念平安事件正在上升Source: CERT05000100001500020000250003000035000199619971998199920002001yearNumber of Reported IncidentsNumber of Internet Users0100,000,000200,000,000300,000,000400,000,000500,000,000600,000,000199619971998199920002001YearsNumber of UsersSource: Comput

11、er Industry Almanac混合型的要挟混合型的要挟 (Code Red, Nimda)回绝效力攻击回绝效力攻击(Yahoo!, eBay)发送大量邮件的病毒发送大量邮件的病毒(Love Letter/Melissa)多变形病毒多变形病毒(Tequila)特洛伊木马特洛伊木马Source: Symantec病毒病毒网络入侵网络入侵频率和复杂性正在添加70,00060,00050,00040,00030,00020,00010,000知要挟的数量知要挟的数量什么是混合型要挟？用多种方法和技术来传播和实施的攻击或要挟，用多种方法和技术来传播和实施的攻击或要挟，因此必需有多种方法来维护和压

12、制这种攻击或要挟因此必需有多种方法来维护和压制这种攻击或要挟例子：例子： 红色代码红色代码, 红色代码红色代码 II蓝色代码蓝色代码, 尼姆达尼姆达任务站经过电子邮件什么是混合式要挟 Blended Threat?文件效力器 任务站邮件效力器防火墙Internet尼姆达蠕虫案例网站效力器经过网页 任务站网站效力器邮件网关任务站经过电子邮件什么是混合式要挟 Blended Threat?文件效力器 任务站邮件效力器防火墙Internet网站效力器经过网页 任务站邮件网关尼姆达蠕虫案例网站效力器任务站经过电子邮件什么是混合式要挟 Blended Threat?文件效力器 任务站邮件效力器防火墙In

13、ternet网站效力器经过网页 任务站邮件网关尼姆达蠕虫案例网站效力器尼姆达攻击手法任务站任务站任务站任务站网站效力器网站效力器网站效力器网站效力器 邮件中恶意附件邮件中恶意附件 攻破多个网站效力器攻破多个网站效力器 以前攻破的网站效力器以前攻破的网站效力器 阅读器进攻阅读器进攻 文件共享文件共享Internethub路由器路由器如何防止混合进攻一种运用多种方法和技术来传播和攻击的平安要挟或攻击，因此需求采一种运用多种方法和技术来传播和攻击的平安要挟或攻击，因此需求采用多重方式的防护才干真正的根除这种全新方式的要挟。用多重方式的防护才干真正的根除这种全新方式的要挟。综合处理方案综合处理方案防病

14、毒防病毒入侵检测入侵检测风险管理风险管理防火墙防火墙任务站经过电子邮件如何防止混合进攻文件效力器 任务站邮件效力器Internet网站效力器经过网页 任务站邮件网关防病毒防病毒防火墙防火墙入侵检测入侵检测风险管理风险管理尼姆达蠕虫案例网站效力器任务站经过电子邮件如何防止混合进攻文件效力器 任务站邮件效力器Internet网站效力器经过网页 任务站邮件网关尼姆达蠕虫案例网站效力器防病毒防病毒防火墙防火墙入侵检测入侵检测风险管理风险管理防备方式任务站任务站任务站任务站网站效力器网站效力器hub 风险管理风险管理 防火墙技术防火墙技术Internet路由器路由器防火墙防火墙 防病毒技术防病毒技术发现

15、和清楚恶意代码发现和清楚恶意代码在邮件网关和系统级可以处在邮件网关和系统级可以处理理网站效力器网站效力器纵深防御与混合式攻击预防(Prevention)检测(Detection)呼应(Response)本钱防火墙破绽检测內容过滤防毒入侵检测修復工具更改配置更新軟件任务站经过电子邮件什么位置可以阻止混合型要挟什么位置可以阻止混合型要挟文件效力器 任务站邮件效力器Internet网站效力器经过网页 任务站邮件网关防病毒防病毒防火墙防火墙入侵检测入侵检测风险管理风险管理尼姆达蠕虫案例网站效力器任务站经过电子邮件什么位置可以阻止混合型要挟什么位置可以阻止混合型要挟文件效力器任务站邮件效力器Intern

16、et网站效力器经过网页任务站邮件网关防病毒防病毒防火墙防火墙入侵检测入侵检测风险管理风险管理WorkstationAnti VirusFirewalls集成平安处理方案集成平安处理方案+同时更新同时更新 =真正的平安真正的平安尼姆达蠕虫案例网站效力器尼姆达平安处理方案尼姆达平安处理方案 预防 检测 检测 检测 预防 检测 检测 预防 预防 预防 预防 恢复 防火墙 防病毒 入侵 检测 风险 管理尼姆达的行为URL扫描系统的模块文件共享WEB客户端阅读批量电子邮件攻破系统防卫的广度防卫的广度最好的方法就是屏蔽绝大多数的攻击最好的方法就是屏蔽绝大多数的攻击实施实施 7 层的、完好检查的防火墙层的、

17、完好检查的防火墙网关、效力器和客户端的防病毒自动更新网关、效力器和客户端的防病毒自动更新保证平安补丁及时打上保证平安补丁及时打上保证密码的强度保证密码的强度封锁不用要的网络效力封锁不用要的网络效力议 题 复杂网络环境下防病毒所需思索的问题复杂网络环境下防病毒所需思索的问题 只需防病毒软件就够了吗？只需防病毒软件就够了吗？ 防病毒的管理理念防病毒的管理理念防病毒管理 管理的问题管理的问题短少认识短少认识防备措施不能有效的运用防备措施不能有效的运用非法用户入侵非法用户入侵防病毒系统的前提 防病毒制度防病毒制度 有效的系统管理与配置有效的系统管理与配置 有效的监控机制有效的监控机制 备份备份 应急方

18、案应急方案用户的教育 每个用户执行制度提高防病毒的才干每个用户执行制度提高防病毒的才干 病毒的知识病毒的知识机制机制传播方式传播方式平安的防备措施平安的防备措施备份与应急备份与应急软件的管理下载运用免费的软件下载运用免费的软件在拷贝和运用软件之前，有机制确定软件安康在拷贝和运用软件之前，有机制确定软件安康减少交换软件的次数减少交换软件的次数软件库要有很强的防备措施软件库要有很强的防备措施软件安装记录软件安装记录软件的维护与晋级软件的维护与晋级盗版盗版妥善保管原软件妥善保管原软件日常监视防病毒系统 有了监控，分析缘由，控制泛滥有了监控，分析缘由，控制泛滥 制度与防备措施存有破绽制度与防备措施存有

19、破绽 方法方法教育用户教育用户系统监控系统监控网络监控网络监控应急方案制度要求应急方案制度要求应急方案应急方案的书写与测试应急方案的书写与测试建立应急小组，联络方式建立应急小组，联络方式分清职责分清职责分别关键的主机与网段分别关键的主机与网段备份与备份的防毒备份与备份的防毒软件的备份软件的备份配置的备份配置的备份备份的校验备份的校验恢复的步骤恢复的步骤防病毒制度 制度是中心制度是中心 防病毒制度防病毒制度用户不可以尝试传播病毒用户不可以尝试传播病毒制止从第三方的系统下载软件制止从第三方的系统下载软件组建一支队伍，监测和调查病毒事件组建一支队伍，监测和调查病毒事件重要的数据必需备份，并每月检查一次重要的数据必需备份，并每月检查一次小 结 防病毒是整个平安链中的一个环节防病毒是整个平安链中