科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道冲击波病毒查杀技巧:局域网中冲击波病毒攻击解决方法

冲击波病毒查杀技巧:局域网中冲击波病毒攻击解决方法

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

冲击波/震荡波病毒、SQL蠕虫、伪造源地址DDoS攻击、ARP欺骗,是在宽带接入的网吧、企业、小区局域网内最常见的蠕虫病毒攻击形式。
  • 评论
  • 分享微博
  • 分享邮件

  冲击波/震荡波病毒、SQL蠕虫、伪造源地址DDoS攻击、ARP欺骗,是在宽带接入的网吧、企业、小区局域网内最常见的蠕虫病毒攻击形式。

  这几种病毒发作时,非常消耗局域网和接入设备的资源,造用户上网变得很慢或者不能上网。下面就来介绍一下,怎样在HiPER安全网关内快速诊断局域网内电脑感染了这些蠕虫病毒,以及怎样设置安全策略防止这些这些病毒对用户上网造成影响。

  1.冲击波/震荡波病毒

  【故障现象】感染此类病毒的计算机和网络的共同点:

  1、不断重新启动计算机或者莫名其妙的死机;

  2、大量消耗系统资源,导致windows操作系统速度极慢;

  3、中毒的主机大量发包阻塞网络,整个网络会迅速被这些攻击所形成的流量影响,形成DoS拒绝服务攻击。造成局域网内所有人网速变慢直至无法上网。

  局域网的主机在感染冲击波、震荡波及其变种病毒之后,会向外部网络发出大量的数据包,以查找其他开放了这些端口的主机进行传播,常见的端口有:

  TCP 135端口(常见);TCP 139端口(常见);TCP 445端口(常见);TCP 1025端口(常见);TCP 4444端口;TCP 5554端口;TCP 9996端口;UDP 69端口… …

  【快速查找】在WebUIà上网监控页面,查询当前全部上网记录,可以看到感染冲击波病毒的主机发出的大量NAT会话,特征如下:

  1、协议为TCP,外网端口为135/139/445/1025/4444/5554/9996等;

  2、会话中该主机有上传包,下载包往往很小或者为0。

  

  【解决办法】

  1、将中病毒的主机从内网断开,杀毒,安装微软提供的相关Windows的补丁。

  2、在安全网关上关闭该病毒向外发包的相关端口。

  1)WebUIà高级配置à组管理,建立一个工作组“all”(可以自定义名称),包含整个网段的所有IP地址(192.168.0.1--192.168.0.254)。

  注意:这里用户局域网段为192.168.0.0/24,用户应该根据实际使用的IP地址段进行组IP地址段指定。

  

  2) WebUIà高级配置à业务管理à业务策略配置,建立策略“f_445”(可以自定义名称),屏蔽目的端口为TCP 445的数据包,按照下图进行配置,保存。

  

  3)WebUIà高级配置à业务管理à业务策略列表中,可以查看到上一步建立的“f_445”的策略(“dns”、“dhcp”为系统自动生成的允许dns和dhcp数据包的策略,不必修改),同时系统自动生成一条名称为“grp1_other”的策略,该策略屏蔽了所有外出的数据包,为了保障其他上网的正常进行,需要将此策略动作编辑为“允许”。

  

  4)在上表中,单击策略名“grp1_other”,在下面的表项中,将动作由“禁止”编辑为“允许”,保存。

  

  5)重复步骤2),将其他冲击波/震荡波端口TCP 135/139/445/1025/4444/5554/9996等关闭。

  6)WebUIà高级配置à业务管理à全局配置中,取消“允许其他用户”的选中,选中“启用业务管理”,保存。

  3、注意:

  1)配置之前不能有命令生成的业务管理策略存在,否则可能导致Web界面生成的业务管理策略工作异常或者不生效。

  2)如果,已经有工作组存在,并且在业务管理中配置了策略,必须在WebUIà高级配置à组管理中,将该网段所有用户分配在相关的组中,然后在WebUIà高级配置à业务管理中将每个组的相关端口关闭。

  3)某些冲击波/震荡波病毒的变种,攻击外网固定IP地址的TCP 80端口,如果关闭此端口,将导致用户无法正常Web浏览。此时可以将其攻击的外网地址关闭。如下图,在步骤2.2)中建立策略关闭内网用户到外网地址218.1.1.1/32的访问。

  

  4)某些冲击波/震荡波病毒的变种,随机攻击外网地址的TCP 80端口,如果关闭此端口,将导致用户无法正常Web浏览。此时可以将该主机关闭。如下图,在步骤2.2)中建立策略关闭内网中毒主机192.168.0.100对外网的访问。

  

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章