PowerPoint Presentation

Size: px

Start display at page:

Download "PowerPoint Presentation"

铨永石
5 years ago
Views:

1 報告人 : 資訊室鄭順中

2 內壹防毒的重要性容貳病毒的感染途徑大參病毒的類型綱肆防毒的具體作法

4 病毒帶來的重大災難毀損重要資料造成網路癱瘓資訊系統不正常運作營運停擺造成商譽的負面影響

5 主要病毒事件之經濟衝擊 Year Virus Name Worldwide Economic Impact Computer Economics Cyber Quake Index Rating 2001 Nimda 0.53 Billions US$ Code Red(s) 2.62 Billions US$ SirCam 1.05 Billions US$ Love Bug 8.75 Billions US$ Melissa 1.1 Billions US$ Explorer 1.02 Billions US$ 1.17 (Source: Computer Economics, )

7 病毒的感染途徑病毒的感染途徑 ( ) 病毒來源電子郵件附件 9% 26% 32% 56% 87% 83% 網路下載 10% 16% 9% 11% 1% 13% 瀏覽網頁 0% 5% 2% 3% 0% 7% 不確定 15% 7% 5% 9% 2% 1% 軟體自動安裝 0% 2% 1% 0% 0% 2% 其他感染源 0% 5% 1% 1% 1% 2% 磁片 : 其他 21% 27% 21% 9% 2% 1% 磁片 : 自家中 36% 42% 36% 25% 4% 0% 磁片 : 試用程式 11% 8% 4% 2% 0% 0% 磁片 : 套裝軟體 2% 4% 2% 0% 0% 0% 磁片 : 網管人員 1% 3% 1% 0% 0% 0% 磁片 : 修復 / 升級 3% 3% 3% 2% 0% 0% 磁片 : 惡意人為 0% 1% 1% 0% 0% 0% ICSA Labs Computer Virus Prevalence Survey 2001

8 病毒的感染途徑病毒的感染途徑 ( ) 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% 電子郵件附件網路下載瀏覽網頁不確定軟體自動安裝其他感染源磁片 : 其他磁片 : 自家中磁片 : 試用程式磁片 : 套裝軟體磁片 : 網管人員磁片 : 修復 / 升級磁片 : 惡意人為光碟 : 安裝片 ICSA Labs Computer Virus Prevalence Survey 2001

9 Internet 病毒入侵管道 Internet Upload Files Firewall SMTP Web/FTP Server HTTP/FTP File Server Mail Server Client

11 傳統病毒 (Virus) 開機型病毒 (Boot Strap Sector Virus) 檔案型病毒 (File Infector Virus) 文件巨集病毒 (Macro Virus) 特洛依木馬 (Trojan Horse) 蠕蟲 (Worm) 混合型電腦病毒的演進 Virus Worm Trojan Windows Internet DOS

12 電腦病毒電腦病毒 (Virus) 電腦病毒是一種電腦程式, 設計有特定的功能, 並且會感染寄生或附著在別的電腦程式或文件檔案裡面有些電腦病毒就只有自我複製這個單一的功能與目的, 有些電腦病毒則會破壞電腦裡面的資料, 甚至會破壞電腦系統 ( 如 :CIH)

13 特洛伊木馬特洛伊木馬 (Trojan Horse) 特洛伊木馬 ( 或簡稱 Trojan) 是一種具破壞性的電腦程式, 通常會偽裝成某種有用的或有趣的程式, 比如螢幕保護程式算命程式電腦遊戲等 ; 它可以破壞資料騙取使用者的密碼做為駭客後門程式等特洛伊木馬通常不會自我複製, 也不會主動散播到別的電腦裡面

14 電腦蠕蟲電腦蠕蟲 (Worm) 電腦蠕蟲也可說是電腦病毒的一種, 與病毒不同的是, 蠕蟲不會感染寄生在其他檔案蠕蟲的主要特性是會自我複製並主動散播到網路系統上的其他電腦裡面就像蟲一樣在網路系統裡面到處爬竄, 所以稱為蠕蟲

15 Worm 的感染方式透過經由郵件伺服器進行傳播需要使用者開啟郵件來引發病毒感染感染後會自行寄送郵件

16 Worm 的感染方式透過網路可經由 Internet 或區域網路散播針對網頁伺服器或分享目錄進行破壞自動進行網路掃描, 無需人力介入即可發作

17 PE_NIMDA.A 行為模式 ( 一 ) 感染其他使用者 Internet 自動傳送中毒當使用者電腦中毒時. 會利用傳播病毒

18 PE_NIMDA.A 行為模式 ( 二 ) 透過資源分享感染開啟 *.EXE *.EML *.DOC 檔案電腦即中毒搜尋網路芳鄰進行感染中毒電腦

19 駭客的入侵行為模式發動攻擊獲得資訊監聽, 掃瞄入侵直接, 間接破壞病毒, 修改網頁阻斷服務竊取資料企業網路 / 個人電腦

20 更改網頁攻擊攻擊目標 Windows NT Windows200 IIS 4.0 /5.0 駭客程式值入不雅網頁駭客

21 DDoS - 分散式阻絕服務攻擊 DDoS - Distributed Denial of Service 攻擊目標 Call-in 部隊大量佔線, 導致真正的使用者無法連線集體發動攻擊駭客程式散播駭客程式, 潛伏在別人的電腦系統駭客

22 CodeRed 登陸阻絕服務漏洞未補的系統漏洞已補的系統阻絕服務阻絕服務阻絕服務阻絕服務隨機攻擊作者散播者 CodeRed 隨機攻擊 Internet 隨機攻擊阻絕服務阻絕服務 5 透過系統漏洞感染 3 發作, 發動隨機攻擊 4 造成阻絕服務效應 1 製造 2 散播感染潛伏

23 CodeRed.C 的行為模式電腦系統日期 < 20, 且作業系統語系為中文語系, 產生 600 個 threads 其他語系則產生 300 個 threads 每個 thread 使用一串 HTTP command 攻擊 random IP address 的 Port 80 若該系統為 Microsoft IIS 3.x,4.x,5.x 且沒有安裝 Q 的 hotfix, 這串 HTTP command 會使 Indexing Service(IDA) 造成 Buffer Overflow, 使其成為另一個攻擊發起中心 ( 跳島作戰 ), 因此可以透過 FireWall 攻進企業內部網路

24 CodeRed.C 的破壞性發作日期與破壞性 1. 當電腦系統日期 < 20, 此蠕蟲會任意產生 IP 位址, 並透過 80 PORT 來散播和複製自己 2. 電腦系統日期介於 20~28, 使用 DDoS 攻擊白宮網站 3. 系統日期 > 28, 休息其他行為在網頁伺服器 (web server) 中植入駭客後門程式 (Backdoor), 以取得完整存取控制權, 進行遠端遙控

26 求職信病毒 (WORM_KLEZ.G 及 PE_ELKERN) 不需執行郵件附加檔案, 只要預覽此病毒信件, 就會受到病毒感染大量寄發郵件給通訊錄中的人, 造成伺服器的負荷沒有固定主旨, 信件內容及附加檔案的多變形式出現隨機抓取通訊錄中其中一個來充當寄件者解除已安裝之防毒軟體

28 高雄榮總資訊安全網路架構高雄榮總網站電子郵件伺服器 DMZ 網際防電腦防毒系統高雄榮總網火區域網路路入侵線上牆偵測掃描伺服器防護系統系系統統

29 防毒常駐程式 - OfficeScan 防毒常駐掃描程式

30 本院電腦中毒統計

31 本院電腦病毒分佈統計

32 即時掃描病毒掃描的種類即時偵測即將入侵的病毒並發出警告並不表示電腦已經中毒表示電腦中存有可供感染的管道手動掃描使用者自行操作病毒掃描動作如偵測到病毒則表示電腦已遭病毒感染

33 用戶端電腦如何進行病毒掃描

34 如何判斷電腦是否中毒步驟一開啟 OfficeScan 主畫面步驟二執行病毒掃描功能步驟三查看掃描結果步驟四如掃描結果有發現病毒且無法清除或刪除, 則必須至趨勢網站尋找解毒方法

35 用戶端電腦防毒小秘訣停用 Windows Scripting Host 或 VBS 功能不要隱藏已知檔案類型的副檔名資源分享的控管至少將 Internet Explorer 的安全層級設定為 [ 中安全性 ] 停止自動送信功能取消信件自動預覽功能

停用 Windows Scripting Host 或 VBS 功能安裝 Windows 98

在 [ 新增 / 移除程式 ] 上按兩下 c. 選取 [Windows 安裝程式 ] 標籤 d.

36 停用 Windows Scripting Host 或 VBS 功能安裝 Windows 98 或 Internet Explore 5 時, 根據預設會安裝 Windows Scripting Host (WSH) 若要避免執行 Script ( 或.VBS 檔 ) a. 選擇 [ 開始 ] > [ 設定 ] > [ 控制台 ], 來開啟 [ 控制台 ] b. 在 [ 新增 / 移除程式 ] 上按兩下 c. 選取 [Windows 安裝程式 ] 標籤 d. 在 [ 附屬應用程式 ] 上按兩下 e. 取消標示 [Windows Scripting Host] f. 按一下 [ 確定 ] 按鈕

txt.exe] 的惡意程式, 在 [ 檔案總管 ] 中會顯示成 [readme.

37 不要隱藏已知檔案類型的副檔名所有的 Windows 作業系統, 根據預設在 [ 檔案總管 ] 中會將已知的副檔名隱藏起來病毒撰寫者與駭客可以利用這項功能, 將惡意的程式偽裝成像文字影像或音效檔等其他檔案格式例如, 一支名稱為 [readme.txt.exe] 的惡意程式, 在 [ 檔案總管 ] 中會顯示成 [readme.txt] 因而使用者常常上當, 點按了這個文字檔, 然後不慎執行了這個惡意的檔案為了避免這種困擾, 建議您將 [ 檔案總管 ] 的設定變更為 [ 不要隱藏已知檔案類型的副檔名 ]

38 資源分享的控管在 [Windows 檔案總管 ] 或 [ 我的電腦 ] 中, 按一下您想要分享的某個資料夾在 [ 檔案功能表 ] 按一下 [ 內容 ] 按一下 [ 資源分享 ] 索引標籤, 再按一下 [ 資源分享名稱 ] 按一下您想要的 [ 存取類型 ], 必要時輸入一個密碼儘量避免不必要的網路資源分享, 或將網路資源分享設定為唯讀

我們鼓勵每一位使用者的安全層級設定至少是 [ 中安全性 ], 如此可降低意外執行惡意檔案的風險在 [ 中安全性 ] 的安全層級,Internet

39 至少將 Internet Explorer 的安全層級設定為 [ 中安全性 ] 根據預設,Internet Explorer 的安全層級設定為 [ 中安全性 ] 然而, 我們卻發現許多系統的安全層級被病毒特洛伊木馬或駭客變更成 [ 低安全性 ] 基於這項考慮, 我們鼓勵每一位使用者的安全層級設定至少是 [ 中安全性 ], 如此可降低意外執行惡意檔案的風險在 [ 中安全性 ] 的安全層級,Internet Explorer 5 會在執行內容可能不安全的檔案之前先提示使用者 Internet Explore 5 或以上的版本也會在執行任何 ActiveX 控制項之前先顯示警告訊息

40 停止自動送信功能

41 取消郵件自動預覽功能

42 防毒重要觀念病毒碼是如何產生的? 針對不同格式的檔案, 找出程式進入點, 並截取一段獨一無二的二進位程式碼為什麼要更換掃毒引擎及病毒碼? 病毒碼唯有隨時保持更新病毒碼 + 掃毒引擎方能決定可以偵測到的病毒數目掃毒引擎擁有最強的防禦能力! 決定可以偵測到的病毒種類及檔案格式, 例如 : 巨集病毒 Java 病毒被 ZIP 壓縮過的檔案主程式也時常更新嗎? 依使用的作業系統及相關程式而定

43 自動更新病毒碼之更新方式由防毒伺服器主動更新使用者登入作業系統時自動更新手動更新至趨勢網站下載最新病毒碼

44 如何得知電腦目前之病毒碼電腦目前之病毒碼

45 如何查詢目前最新之病毒碼

46 如何取得作業系統及 IE 最新修正檔

47 企業防毒要訣

48 高雄榮總電腦病毒防制管理辦法原則上, 本院之所有電腦均應安裝防毒軟體如有特殊原因考量而不欲裝設, 則必須填寫免裝防毒軟體申請單並取得資訊室同意讀取外部資料 ( 含光碟磁片及其它可攜性媒體 ), 必須先進行掃毒禁止隨意下載及安裝來路不明之應用程式不要開啟來路不明的電子郵件嚴禁員工自行架設網路伺服器因業務需要進行檔案分享時, 應設定嚴格之存取權限 ( 如唯讀 ) 資訊室與政風室將定期查驗電腦用戶防毒使用情況如因違反上述規定而導致電腦病毒感染將提報院方做行政處分

49 趨勢科技相關網站介紹網址 : 提供各類電腦病毒之介紹掃描及清除方法提供趨勢產品之最新病毒碼及修正程式主要產品 : PC-cillin OfficeScan ServerProtect InterScan 賽門鐵克網址 : 提供各類網路安全相關資訊提供該公司產品之最新病毒碼及修正程式主要產品 : Norton AntiVirus Norton Internet Security

<4D6963726F736F667420506F776572506F696E74202D2030325FC2B2B3F85FA44AAB49B0BBB4FABB50B977A8BEA874B2CEC2B2A4B6BB50C0B3A5CE2E707074>

<4D6963726F736F667420506F776572506F696E74202D2030325FC2B2B3F85FA44AAB49B0BBB4FABB50B977A8BEA874B2CEC2B2A4B6BB50C0B3A5CE2E707074> 入侵偵測與預防系統簡介與應用蕭翔之講師 BS 7799 LA 課程大綱第一章認識入侵偵測與預防系統第二章入侵偵測與預防系統的功能分類偵測技術第三章入侵偵測與預防系統部署架構第四章入侵偵測與預防系統的應用效益第五章結