第12章 反病毒策略

计算机病毒分析与防治·第12章反病毒策略为什么局域网一台电脑中毒，全网都瘫痪了？杀毒软件该装在网关、服务器还是桌面？被动杀毒和主动防护差在哪里？第12章·反病毒策略·01学习目标1.了解病毒的五种防治策略（多层次/基于点/集成/被动主动/订购服务）2.掌握浏览器安全设置（IE安全级别、360安全浏览器沙箱）3.了解主流反病毒产品的特点和功能4.了解云安全技术（IWSA防病毒网关、IWSS反病毒产品）第12章·反病毒策略·02本章内容12.1病毒的防治策略多层次保护·基于点·集成方案·被动vs主动12.2浏览器安全IE安全设置·360安全浏览器沙箱12.3主流反病毒产品趋势维C片·OfficeScan·InterScan·ScanMail12.4集成云安全技术IWSA防病毒网关·IWSS反病毒产品第12章·反病毒策略·03引导案例为什么局域网一台电脑中毒，全网都瘫痪了？威金病毒——蠕虫病毒的"局域网杀手"。它感染电脑后会下载大量木马和病毒，感染通信软件和游戏，盗取账号密码。它还会搜索局域网所有共享电脑，猜解密码，感染邻近计算机；还会下载QQ病毒，自动向QQ好友发消息带网址，一点就中毒。一周内9600余名个人用户和10余家企业被感染——单机杀毒根本不够，必须用网络版！第12章·反病毒策略·0412.1节杀毒软件该装在哪里？什么时候杀？装在网关、服务器还是桌面？多层防护还是单点防护？中毒了再杀，还是提前防御？——这就是反病毒策略要回答的问题。第12章·反病毒策略·05为什么杀毒软件要从桌面搬到网关和服务器？过去：病毒通过软盘传播到个人工作站，防病毒软件主要针对桌面保护。现在：大多数病毒来自Internet或电子邮件，先攻击服务器和网关，再扩散到整个内部网络。现代网络的三个层次——防病毒软件部署在哪里？层次位置防护目标网关层企业网络入口（防火墙/代理服务器）拦截从Internet进来的病毒服务器层邮件服务器、文件服务器、Web服务器防止服务器成为病毒传播源桌面层员工个人电脑、笔记本保护终端，防止本地感染和扩散多层次保护策略=在三个层次都部署防病毒软件，提供集中保护第12章·反病毒策略·06三层防护用一家的产品还是多家的？单个厂商的产品·三个层次都部署同一个厂商的产品·厂商经常成套出售产品·更经济——套装价格通常更优惠·易于管理——统一控制台、统一策略多个厂商的产品·三个层次分别部署两个或多个厂商的产品·可能选择各厂商的优势产品·可能有兼容性问题·产品不易管理——多套控制台、多套策略结论：大多数企业选择单个厂商的成套方案——经济又好管第12章·反病毒策略·07只保护桌面就够了吗？——基于点的保护策略什么是基于点的保护？——只将产品置入网络中已知的进入点。桌面防病毒软件就是最典型的例子，它不负责保护服务器或网关。优点·更有针对性——只保护已知进入点·更加经济——只买桌面端就行缺点（致命）·无法应对混合型病毒——红色代码、Nimda等病毒会攻击多个进入点，单点防护挡不住·不能集中管理——各桌面端各自为政，无法统一策略和监控结论：基于点的保护更经济，但在混合型病毒面前不堪一击——这就是为什么威金病毒能瘫痪整个局域网第12章·反病毒策略·08哪种策略用得最多？——集成方案策略集成方案策略=多层次保护策略+基于点的保护策略相结合，来抵御病毒。为什么它是使用最广泛的保护策略？·既有多层次保护的全面性，又有基于点保护的针对性·许多防病毒软件包都是根据这种策略设计而成的——你买的企业版杀毒软件基本都是集成方案·通过提供一个中央控制台提高管理水平，尤其在使用单个厂商产品时更是如此中央控制台——统一管理网关、服务器、桌面三层第12章·反病毒策略·09中毒了再杀毒，还是提前防御？——被动vs主动被动型策略·中毒后才行动——计算机被感染后才想怎么清除·甚至没有部署保护性基础设施·被感染后才联系防病毒厂商要病毒库·耽误时间——等厂商提供工具的过程中损失在扩大·造成生产效率和数据的损失主动型策略·病毒发生前就准备好抵御方法·定期获得最新病毒代码文件（病毒库）·进行日常的恶意代码扫描·不能保证永远不被感染·但能快速检测和抑制感染，减少损失时间和被破坏的数据量主动型策略是现代企业的标准做法——提前准备，快速响应第12章·反病毒策略·10主动型企业为什么要订购防病毒支持服务？对抵御病毒采取主动型策略的公司通常会订购防病毒支持服务。这种服务由防病毒厂商提供。服务内容说明定期更新病毒库定期更新的病毒代码文件——这是主动防御的基础新病毒消息有关新病毒的最新消息——让你提前知道威胁减少感染建议对减少病毒感染的建议——专业的防护指导全天候支持中心解决病毒相关问题的方案，提供全天候的信息服务和帮助服务本质：你买的不是一个软件，而是一套持续的病毒情报和响应服务第12章·反病毒策略·1112.2节电脑弹窗是浏览网页中的毒吗？大多数弹窗不是浏览网页中毒，而是下载程序被种了恶意程序。浏览器安全怎么设置？IE的安全级别怎么调？360的沙箱是什么？第12章·反病毒策略·12IE安全级别怎么调？——太高用不了，太低不安全入口：工具→Internet选项→安全选项卡四个安全区域区域说明Internet默认区域，安全级别默认为"中-高"本地Intranet本地网络，如公司局域网内服务器中架设的网站可信站点被添加到可信任列表中的网站——降低安全限制受限站点被阻止的网站——提高安全限制三档安全级别：中/中-高/高——拖动滑块即可调整级别设太高（高）：无法下载文件、网上银行不能正常使用→调到"中-高"或"中"自定义级别：逐项设置ActiveX、下载、脚本等选项；还可"将所有区域重置为默认级别"第12章·反病毒策略·13360安全浏览器——沙箱把网页病毒"关禁闭"·恶意网址库+云查杀引擎——国内领先，突破传统查杀拦截思路·360沙箱——在系统内部构造独立虚拟空间，所有网页程序都密闭在此空间内运行。网页上任何木马病毒、恶意程序的攻击都会被限制在沙箱中六大主要功能功能说明新页面选项可以选择开启新页面的方式广告过滤智能识别自动弹出窗口、漂浮图片等广告；可加白名单过滤Flash动画Flash占用带宽和系统资源，可完全过滤；同样支持白名单快捷保存页面按住Alt+左键点击图片/动画/文字，自动保存到Medias子目录鼠标手势按住右键滑动轨迹对应不同浏览操作拖放链接拖动链接在新窗口打开；拖文字自动搜索；超64字弹出保存对话框第12章·反病毒策略·1412.3节主流反病毒产品长什么样？从个人U盘到企业邮件服务器，从桌面到网关——趋势科技的产品线覆盖了反病毒的每一个层次。第12章·反病毒策略·15从个人U盘到企业桌面——趋势科技的产品线趋势维C片（个人/桌面端）·趋势科技打造的PC&U盘安全防护产品·内置PC-cillinInternetSecurity2006·为PC提供实时的、全面的网络安全防护·内置趋势科技独有的U盘防毒引擎·保证存入U盘文件的安全性·是一款能够防止病毒感染的安全U盘OfficeScan企业版（企业桌面端）·为桌面和移动客户端提供综合病毒保护·具备集中管理功能·允许管理员管理和强化整个组织的防病毒策略·专为可靠和透明的病毒扫描和清除设计·结合强大的病毒清除服务·有助于清除病毒和修护损坏系统第12章·反病毒策略·16邮件病毒怎么防？——邮件服务器端的两道防线InterScan邮件安全版（InterScanMSS）——邮件网关端防护·封堵试图通过邮件服务器进入内部环境的Internet威胁·检测和清除位于通信网关的SMTP和POP3通信中的病毒·综合病毒保护+灵活的基于策略的内容过滤+易于使用的管理工具ScanMail——Exchange和Domino两个版本对比项ScanMailforExchangeScanMailforDomino支持协议SMTP、MAPI、HTTP、POP3、IMAP4、IFS、NNTPLotusNotes邮件、附件、数据库文档支持平台与MAPI、VSAPI、ESEAPI完全集成Windows、Solaris、AIX、S/390、AS/400、Linux共同特点为进出电子邮件及附件提供实时病毒检测和清除；管理员可创建规则阻挡/延迟/优化邮件；可与控管中心互操作第12章·反病毒策略·1712.4节病毒还没进公司，就被云安全拦在门外了？Web信誉技术怎么判断一个URL安不安全？HTTP和FTP流量怎么在网关端就把病毒清掉？第12章·反病毒策略·18IWSA防病毒网关——在Web威胁到达前就拦截IWSA2500/5000针对基于Web方式的威胁为企业网络提供动态的、集成式的安全保护，最大限度地保证恶意代码在进入企业网络前就被清除掉。核心能力·防病毒+防间谍软件双重保护·集成趋势科技云安全Web信誉技术——对被访问URL的安全等级进行评估，阻止对高风险URL的访问·URL分类过滤+ActiveX&JavaApplet控件过滤·发现嵌有恶意代码的URL，自动加入阻止列表·若网络节点感染并试图与恶意站点通信，自动阻止连接+远程清除·在控管平台TMCM管理下，与网络版安全解决方案协作，提供多层次一体化防护TrendLabs——趋势科技全球病毒研发暨技术支持中心，提供不间断的威胁检测和攻击防御第12章·反病毒策略·19IWSS——HTTP和FTP网关端的病毒防护新形态病毒常采用Web作为渗透渠道，企业往往在HTTP/FTP网关端部署防毒措施上有所迟疑，造成整体安全防护的漏洞。IWSS就是补上这个漏洞的。四大主要功能①稳定高效的HTTP/FTP数据传输②多种扫描功能，可自订安全等级③支持独立扫描+ICAP通信协议扫描④可纾解流量拥堵工作过程（扫描逻辑）·文件<64KB→内存中直接扫描·文件>64KB→复制到临时目录扫描·无毒→删除副本，传原始文件·有毒→隔离/删除/清除三种病毒侦测方式病毒库匹配用已知病毒代码字符串与病毒库记录比较——检测已知病毒扫描引擎让可疑文件在临时环境中运行，观察病毒代码嵌入后的变化——检测未知病毒第12章·反病毒策略·20本章小结反病毒——从策略到产品，从桌面到云端·策略层面：多层次保护（网关/服务器/桌面）+基于点保护→集成方案是主流；主动型策略