企業(yè)網(wǎng)絡(luò)感染惡意軟件可能會造成關(guān)鍵信息系統(tǒng)或數(shù)據(jù)的破壞，直接威脅正常業(yè)務(wù)的運行。為了應(yīng)對這樣的情況，企業(yè)應(yīng)該提前做好準(zhǔn)備，構(gòu)建惡意軟件的檢測和響應(yīng)能力。

[[285185]]

惡意軟件的擴散途徑

惡意軟件可能會通過通信工具傳播，如通過電子郵件或即時通信軟件，也可以通過惡意網(wǎng)站或P2P連接傳播，還可以通過系統(tǒng)漏洞傳播。惡意軟件一般具備在大型企業(yè)網(wǎng)絡(luò)快速傳播的能力，對于企業(yè)而言，查清惡意軟件的感染途徑對于事件處理具有重要作用。有利于惡意軟件傳播的系統(tǒng)主要是企業(yè)應(yīng)用程序，尤其是那些直接與多個主機和終端連接并對其產(chǎn)生影響的應(yīng)用程序，包括：

• 補丁管理系統(tǒng)
• 資產(chǎn)管理系統(tǒng)
• 遠程協(xié)助或遠程管理軟件
• 防病毒系統(tǒng)
• 系統(tǒng)管理員或網(wǎng)絡(luò)管理員的工作站
• 集中式備份服務(wù)器
• 集中式文件共享服務(wù)器

網(wǎng)絡(luò)攻擊者雖然雖然與惡意軟件的行為模式不盡相同，但也可能會破壞企業(yè)其他信息資源，從而影響企業(yè)關(guān)鍵數(shù)據(jù)和應(yīng)用程序的可用性，如：

• 集中式存儲設(shè)備，潛在風(fēng)險為直接訪問磁盤分區(qū)和數(shù)據(jù)倉庫;
• 網(wǎng)絡(luò)設(shè)備，潛在風(fēng)險–向路由表中注入虛假路由，從路由表中刪除特定路由，通過刪除或修改配置降低關(guān)鍵網(wǎng)絡(luò)資源的可用性。

安全措施建議

最常用的策略是增加企業(yè)對惡意軟件的防護能力，對易受惡意軟件攻擊的企業(yè)信息組件和系統(tǒng)，可以看展必要安全評估，并部署必要的安全防護措施。

1. 網(wǎng)絡(luò)安全

在企業(yè)網(wǎng)絡(luò)中進行必要的網(wǎng)絡(luò)分段和分區(qū)：

• 僅允許網(wǎng)絡(luò)的訪問控制列表(ACL)中配置為“允許”的端口和協(xié)議進行服務(wù)器到主機和主機到主機的連接，并僅允許特定流向的數(shù)據(jù)通過。
• 所有的數(shù)據(jù)流路徑都應(yīng)定義、授權(quán)和記錄。
• 增強可用作橫向拓展或直接連接到整個企業(yè)網(wǎng)絡(luò)中其他端點的網(wǎng)關(guān)系統(tǒng)的安全。
• 確保這些網(wǎng)關(guān)系統(tǒng)包含在有限的VLAN中，并在其他網(wǎng)絡(luò)間構(gòu)建有效的訪問控制機制。
• 確保集中式網(wǎng)絡(luò)和存儲設(shè)備的管理端口僅連接有限的VLAN。

實現(xiàn)分層訪問控制：實現(xiàn)設(shè)備級訪問控制施–僅允許來自特定的VLAN和可信IP范圍的訪問。

2. 訪問控制

對于可以直接與多個終端連接的企業(yè)系統(tǒng)：

• 交互式登錄需要雙因子身份驗證。
• 確保授權(quán)用戶與企業(yè)特定人員一一對應(yīng)。

如果可能，不應(yīng)允許“Everyone”，“ Domain Users”或“Authenticated Users”這樣的用戶組直接訪問這些系統(tǒng)。

每個企業(yè)應(yīng)用程序服務(wù)僅分配唯一的域帳戶并對其進行記錄。

分配給帳戶的權(quán)限上下文應(yīng)記錄完整，并根據(jù)最小特權(quán)原則進行配置。

企業(yè)具有跟蹤和監(jiān)視與應(yīng)用程序服務(wù)帳戶分配相關(guān)的能力。

如果可能，盡量不要授予具有本地或交互式登錄權(quán)限的服務(wù)帳戶。

應(yīng)該明確拒絕服務(wù)帳戶訪問網(wǎng)絡(luò)共享和關(guān)鍵數(shù)據(jù)位置的權(quán)限。

集中式企業(yè)應(yīng)用程序服務(wù)器或設(shè)備進行身份驗證的帳戶不應(yīng)包含對整個企業(yè)下游系統(tǒng)和資源的權(quán)限。

經(jīng)常關(guān)注集中式文件共享訪問控制列表及其分配的權(quán)限。

盡可能限制寫入/修改/完全控制權(quán)限。

3. 監(jiān)測審計

常態(tài)化檢查安全日志，關(guān)注企業(yè)級管理(特權(quán))帳戶和服務(wù)帳戶的異常使用情況。

• 失敗的登陸嘗試
• 訪問共享文件或目錄
• 遠程交互式登陸

查看網(wǎng)絡(luò)流量數(shù)據(jù)以發(fā)現(xiàn)異常網(wǎng)絡(luò)活動。

特定端口的連接與該端口應(yīng)用程序標(biāo)準(zhǔn)通信流不相關(guān)，端口掃描或枚舉相關(guān)的網(wǎng)絡(luò)活動，反復(fù)通過某端口進行連接可用于命令和控制目的。

確保網(wǎng)絡(luò)設(shè)備具有日志記錄功能并審核所有配置更改。

不斷檢查網(wǎng)絡(luò)設(shè)備配置和規(guī)則集，以確保通信連接符合授權(quán)規(guī)則。

4. 文件分發(fā)

在整個企業(yè)中安裝補丁或反病毒升級包時，請分階段向特定的系統(tǒng)分組分發(fā)(在預(yù)定時間段內(nèi)分階段進行)。

如果將企業(yè)補丁管理或反病毒系統(tǒng)用作惡意軟件的分發(fā)媒介，則此操作可以最大程度地降低總體影響。

監(jiān)測和評估整個企業(yè)中的補丁和反病毒升級包的完整性。

確保僅從可信來源接收這些升級包，

執(zhí)行文件和數(shù)據(jù)完整性檢查

對企業(yè)應(yīng)用程序分發(fā)的所有數(shù)據(jù)進行監(jiān)測和審計。

5. 系統(tǒng)和應(yīng)用加固

企業(yè)可以根據(jù)行業(yè)標(biāo)準(zhǔn)或最佳實踐建議，配置和加固基礎(chǔ)操作系統(tǒng)(OS)和支持組件(如IIS、Apache、SQL)，并根據(jù)供應(yīng)商提供的最佳實踐指南實施應(yīng)用程序級的安全控制。常見建議包括：

• 構(gòu)建基于角色的訪問控制機制
• 防止最終用戶繞過應(yīng)用程序級安全控制功能
• 如–在本地工作站上禁用防病毒軟件
• 禁用不必要或未使用的功能或軟件
• 實施強大的應(yīng)用程序日志記錄和審核
• 及時測試供應(yīng)商補丁，并盡快更新。

業(yè)務(wù)恢復(fù)

業(yè)務(wù)影響分析(BIA)是應(yīng)急響應(yīng)規(guī)劃和準(zhǔn)備工作的重要組成部分。業(yè)務(wù)影響分析主要輸出兩部分內(nèi)容(與關(guān)鍵任務(wù)/業(yè)務(wù)運營有關(guān))，包括：

• 系統(tǒng)組件的特征和分類
• 相互依賴關(guān)系

確定企業(yè)的關(guān)鍵信息資產(chǎn)(及其相互依賴關(guān)系)后，如果這些資產(chǎn)受到惡意軟件的影響，則應(yīng)考慮進行業(yè)務(wù)恢復(fù)工作。為了能夠有效應(yīng)對這樣的情況，企業(yè)應(yīng)該進行以下準(zhǔn)備(并應(yīng)在事件應(yīng)急響應(yīng)演練中確認(rèn))：

列出所有關(guān)鍵業(yè)務(wù)系統(tǒng)和應(yīng)用程序清單：

• 版本信息
• 系統(tǒng)或應(yīng)用程序依賴關(guān)系
• 系統(tǒng)分區(qū)、存儲配置和連接情況
• 資產(chǎn)所有者和聯(lián)系人
• 組織內(nèi)所有重要人員的聯(lián)系方式
• 恢復(fù)團隊的安全通信手段
• 外部支持組織或相關(guān)資源的聯(lián)系方式信息
• 通信服務(wù)供應(yīng)商
• 軟硬件組件供應(yīng)商
• 外部合作伙伴
• 服務(wù)合同編號清單–用于協(xié)調(diào)服務(wù)供應(yīng)商支持
• 企業(yè)采購聯(lián)絡(luò)點

關(guān)鍵系統(tǒng)和應(yīng)用程序恢復(fù)所需的ISO或映像文件：

• 操作系統(tǒng)安裝介質(zhì)
• 服務(wù)包或者補丁
• 固件
• 應(yīng)用程序軟件安裝包
• 操作系統(tǒng)(OS)和相關(guān)應(yīng)用程序的許可或激活密鑰
• 企業(yè)網(wǎng)絡(luò)拓?fù)鋱D和架構(gòu)圖
• 系統(tǒng)和應(yīng)用程序的相關(guān)文檔
• 操作清單或操作手冊的紙質(zhì)副本
• 系統(tǒng)和應(yīng)用程序配置備份文件
• 數(shù)據(jù)備份文件(完整或差異備份)
• 系統(tǒng)和應(yīng)用程序安全性基線、加固清單或準(zhǔn)則
• 系統(tǒng)和應(yīng)用程序完整性測試和驗收清單

事件響應(yīng)

如果企業(yè)發(fā)現(xiàn)破壞性惡意軟件大規(guī)模爆發(fā)的跡象，在事件響應(yīng)過程中，應(yīng)當(dāng)采取有效措施遏制其傳播，防止企業(yè)網(wǎng)絡(luò)其他部分受到影響。遏制措施包括：

確定所有出現(xiàn)異常行為的系統(tǒng)所感染的惡意軟件類型，惡意軟件并可能通過以下途徑進一步傳播：

• 集中式企業(yè)應(yīng)用程序
• 集中式文件共享
• 受感染系統(tǒng)共用的特權(quán)用戶帳戶
• 網(wǎng)絡(luò)分區(qū)或網(wǎng)絡(luò)邊界
• 通用DNS服務(wù)器

根據(jù)惡意軟件可能采用傳播方式，可以有針對性地實施控制措施，以進一步減少影響：

• 實施基于網(wǎng)絡(luò)的訪問控制列表ACL，阻斷感染的系統(tǒng)或程序與其他系統(tǒng)的通信功能，
• 立即將特定系統(tǒng)或資源隔離，或通過沙箱進行監(jiān)控
• 為特定的IP地址(或IP范圍)實施空網(wǎng)絡(luò)路由—使其無法對外通信并傳播惡意軟件，
• 利用企業(yè)內(nèi)部DNS—將所有已感染惡意軟件的服務(wù)器和應(yīng)用程序解析為空地址
• 立即禁用可疑的用戶或服務(wù)帳戶
• 刪除可疑文件共享的訪問權(quán)限或禁用其共享路徑防止其他系統(tǒng)訪問