CISP-2-恶意代码课件.pptVIP

P2P Overlay网络构成的相对独立网络； IRC、MSN、QQ、BT、eMule IPv6 网络规模 加密传输 IPv4 的Internet ，Slammer 蠕虫，10分钟后，感染了大多数有漏洞的计算机 IPv6 的Internet ， 28年后，感染第一台主机 结合人工智能技术； 动态功能升级技术； 多平台传播技术； 分布式实体技术； 如何检测智能蠕虫？ 不需扫描，流量无明显异常； 查询条件的无穷组合； 脚本代码的任意变化； 如何防治智能蠕虫？ IPv6的抗扫描特性不再适用； 封锁有哪些信誉好的足球投注网站引擎？海量信息如何查找； 有哪些信誉好的足球投注网站引擎屏蔽？查询合法性的不可判定； 蠕虫爆发预警 仿真环境与蠕虫传播模拟 良性蠕虫的控制策略 恶意移动代码来源定位 网络安全生态理论 Title 版本： 编号： 日期：2003年 中国信息安全产品测评认证中心（CNITSEC） * * * 攻击的复杂性在增加，攻击者的知识和技能需求在下降。 80年代初，黑客需要手工测试系统的漏洞，自己发现系统的漏洞，猜测计算机系统的口令，手工编写代码利用系统的漏洞，他能够控制的计算机也很少10几台或几十台； 现在，关于网络和系统漏洞的站点有很多，利用这些漏洞的源代码也很容易得到，网络上已经有很多自动化的工具可以用（扫描目标系统、自动入侵、自动汇总攻击结果），而且经常交流，新的漏洞公布以后，黑客可以重用大部分代码，一夜之间可以控制成百、上前，甚至数十万台计算机 * Let’s revisit the nature of DDoS attacks * Most recent survey DDoS on top of CSO / CIO minds * 恶意移动代码原来仅仅指嵌入在网页中的脚本代码。 * Time between the exposure of a vulnerability and the release of a worm is becoming shorter. When a new vulnerability released, the hacker can reuse most of the code of old worms. The only work to create a new worm is to write a piece of code to exploit the vulnerability. * 版本历史： 2. 1禁用WSHShell对象，阻止运行程序 删除或更名系统文件夹中的wshom.ocx或删除注册表项： HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\ F935DC22-1CF0-11D0-ADB9-00C04FD58A0B 2. 2禁用FileSystem对象，阻止读写文件。 删除或更名系统文件夹中的scrrun.dll或删除注册表项： HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\ 0D43FE01-F093-11CF-8940-00A0C座机电话号码 2. 3禁用Shell.Application对象，阻止运行程序删除注册表项： HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\ 1座机电话号码-C279-11CE-A49E-座机电话号码0000 由于该对象在shell32.dll里，而shell32.dll是一个重要的系统文件，不能删除，但可以阻止WEB用户访问： cacls %systemroot%\system32\shell32.dll /e /d guests 3、在IE中设置禁止活动脚本的执行： 选择：“工具”- “Internet 选项...”- “安全”- “Internet”（或者其他区域，例如“本地Intranet”、“受信任的站点”）点击“自定义级别”,在“安全设置”中选择“脚本”- “活动脚本”，将其属性改为“禁用”，按“确定”保存设置。 4、在IE中设置禁止下载： 选择：“工具”- “Internet 选项...”- “安全”- “Internet”（或者其他区域，例如“本地Intranet”、“受信任的站点”）点击“自定义级别”,在“安全设置”中选择“下载”- “文件下载”，将其属性改为“禁用”，按“确定”保存设置。 邮件中的恶意代码 IE 带来的问题 客户端本身的问题 对象包装程序 用户安全意识 反恶意代码邮件网关 检查html邮件及附件 基于主机的反病毒程序 检测网页及邮件恶意代码 反病毒网关 检测网页、ftp下载、邮件等 使用其它浏览器 opera 虚拟主机的问题和提供CGI的WEB空间服务 ASP、PERL、PHP、JSP 查看系