第二天

　　根據(jù)Sygate實(shí)驗(yàn)室的分析，即使一到兩只蠕蟲，在瘋狂發(fā)包的情況下，都能夠癱瘓桌面交換機(jī)乃至樓層交換機(jī)。由于全網(wǎng)統(tǒng)一殺毒非常困難，且逐個(gè)端點(diǎn)殺毒的時(shí)間太長(zhǎng)，采用病毒治理的方法不可能在剩余的兩天時(shí)間內(nèi)完成領(lǐng)導(dǎo)的要求。于是Sygate建議分兩步走，首先在網(wǎng)絡(luò)端點(diǎn)上對(duì)病毒進(jìn)行隔離，杜絕其對(duì)網(wǎng)絡(luò)的沖擊。其次再謀求根除病毒，并修復(fù)系統(tǒng)漏洞。

　　由于Sygate客戶端有主機(jī)防火墻的模塊。利用該模塊我們可以做應(yīng)用程序控制，以及連接控制。Sygate系統(tǒng)還有自學(xué)習(xí)的能力，它能夠自動(dòng)發(fā)現(xiàn)網(wǎng)絡(luò)中所有的應(yīng)用程序。利用這兩個(gè)功能，我們?cè)谥锌嘏_(tái)上輕松制定出一個(gè)網(wǎng)絡(luò)程序黑名單，將所有學(xué)習(xí)回來(lái)的蠕蟲及病毒列入其中。黑名單中的程序?qū)⑹ピL問網(wǎng)絡(luò)的權(quán)限。這樣即使安裝有Sygate的網(wǎng)絡(luò)節(jié)點(diǎn)感染了上述病毒，這些病毒也被隔離在本地系統(tǒng)之上，無(wú)法擴(kuò)散和影響網(wǎng)絡(luò)。

　　有意思的是，五毒蟲病毒包含大量與常見進(jìn)程同名的二進(jìn)制文件，例如IEXPLORE.EXE，NetMeeting.exe，COMMAND.EXE等。這些進(jìn)程企圖混淆視聽，逃避安全方案中黑名單的制裁。Sygate特有的應(yīng)用程序指紋自動(dòng)生成功能，幫助用戶死死鎖定惡意程序，而不影響正常進(jìn)程的使用。

　　同時(shí)我們還配置了規(guī)則，封閉了上述病毒使用到的一些端口。這個(gè)規(guī)則配合HIDS模塊，可以起到雙保險(xiǎn)的作用，防止沒有感染的終端被病毒入侵。

　　隨后，應(yīng)急響應(yīng)小組以各種方式動(dòng)員用戶安裝sygate客戶端，在隨后的兩天時(shí)間里，很快部署了600多個(gè)節(jié)點(diǎn)，覆蓋了網(wǎng)絡(luò)中的所有的終端。網(wǎng)絡(luò)最終恢復(fù)到穩(wěn)定的狀態(tài)。

　　第三天

　　最后一天，我們利用Sygate系統(tǒng)進(jìn)行統(tǒng)計(jì)分析，總結(jié)事故的直接原因：

　　1. 補(bǔ)丁缺失嚴(yán)重，未打關(guān)鍵補(bǔ)丁的機(jī)器比例高大65%。例如，財(cái)務(wù)辦公區(qū)所有Win2000__僅打了SP3.機(jī)器買回來(lái)后，系統(tǒng)就再也沒有更新過(guò)。

　　2. 不能上互聯(lián)網(wǎng)的區(qū)域反而成了重災(zāi)區(qū)。例如計(jì)費(fèi)網(wǎng)和OA服務(wù)器區(qū)。因?yàn)椴荒苓B接互聯(lián)網(wǎng)，所以安全意識(shí)疏忽，系統(tǒng)也疏于升級(jí)。

　　3. 很多筆記本終端上收集到多個(gè)IP，原來(lái)他們?cè)谶B接到內(nèi)網(wǎng)的同時(shí)，還使用CDMA連接到互聯(lián)網(wǎng)。因?yàn)镃DMA的使用對(duì)于部分用戶來(lái)說(shuō)是免費(fèi)的，這樣導(dǎo)致交叉感染。

　　4. 大量的機(jī)器使用空口令，為口令蠕蟲大開方便之門

　　最后增加了如下規(guī)則

　　1. 在內(nèi)部架設(shè)SUS服務(wù)器，設(shè)定規(guī)則，所有Sygate客戶端將重定向到內(nèi)部SUS服務(wù)器，自動(dòng)升級(jí)補(bǔ)丁

　　2. 強(qiáng)制檢查關(guān)鍵補(bǔ)丁，如果關(guān)鍵補(bǔ)丁缺失，開啟IE，自動(dòng)連接到內(nèi)部安全網(wǎng)站的相關(guān)頁(yè)面，幫助用戶了解問題，并提供下載鏈接

　　3. 一旦Sygate客戶端檢查到重大病毒進(jìn)程在運(yùn)行，自動(dòng)分發(fā)病毒專殺工具到用戶主機(jī)。

　　4. 給筆記本用戶設(shè)置兩套自適應(yīng)規(guī)則，當(dāng)在內(nèi)網(wǎng)時(shí)，禁止其使用CDMA撥號(hào)適配器

　　5. 啟用了強(qiáng)口令，系統(tǒng)文件保護(hù)，禁止匿名訪問等一系列系統(tǒng)加固策略