关于控制冲击波病毒的处理.docxVIP

关于控制冲击波病毒的处理 关于控制冲击波病毒的处理 关于控制“冲击波”病毒的处理 一、 情况简述 近日因“冲击波”病毒和“冲击波杀手”病毒的影响，在发现网络上出现大量访问目的端口135、445等TCP包和巨量的ICMP包，短时甚至影响到交换机的CPU利用率。4506（S3引擎）短时CPU利用率达到90%。 二、 采取措施方法 1、4506上的处理 针对上述情况，首先在4506上进行了如下访问控制： vlan access-map drop_udp_1434 10 action drop match ip address udp_1434 vlan access-map drop_udp_1434 15 action drop match ip address cjb vlan access-map drop_udp_1434 20 action forward match ip address ip_match vlan filter drop_udp_1434 vlan-list 1-4094 ip access-list extended cjb permit tcp any any eq 4444 permit tcp any eq 135 any permit tcp any eq 137 any ip access-list extended ip_match permit ip any any 不到半小时即拦截了几十万个源端口为135的TCP包。 然后在该设备上增加了“冲击波”病毒的所有特征包： permit tcp any any eq 135 permit tcp any any eq 139 permit tcp any any eq 445 permit tcp any any eq 593 permit udp any any eq tftp permit udp any any eq 135 permit udp any any eq netbios-ns permit udp any any eq netbios-dgm permit udp any any eq netbios-ss permit tcp any eq 139 any permit tcp any eq 4444 any permit tcp any eq 445 any permit tcp any eq 593 any permit udp any eq tftp any permit udp any eq 135 any permit udp any eq netbios-ns any permit udp any eq netbios-dgm any permit udp any eq netbios-ss any 加上后，效果更为显著，拦截情况如下： 4506#sh ip acce Standard IP access list 98 permit , wildcard bits 55 (6 matches) check=2537 permit , wildcard bits 3 (1502 matches) check=2537 permit 24, wildcard bits 1 (1127 matches) check=2535 deny any log (130326 matches) Standard IP access list 99 permit 21 log (4 matches) permit , wildcard bits 55 log (14 matches) check=8 permit , wildcard bits 1 log (8 matches) Extended IP access list cjb permit tcp any any eq 4444 (348 matches) permit tcp any eq 135 any (164 matches) permit tcp any eq 137 any permit tcp any any eq 135 matches) permit tcp any any eq 139