第二天

　　根據(jù)Sygate實驗室的分析，即使一到兩只蠕蟲，在瘋狂發(fā)包的情況下，都能夠癱瘓桌面交換機(jī)乃至樓層交換機(jī)。由于全網(wǎng)統(tǒng)一殺毒非常困難，且逐個端點殺毒的時間太長，采用病毒治理的方法不可能在剩余的兩天時間內(nèi)完成領(lǐng)導(dǎo)的要求。于是Sygate建議分兩步走，首先在網(wǎng)絡(luò)端點上對病毒進(jìn)行隔離，杜絕其對網(wǎng)絡(luò)的沖擊。其次再謀求根除病毒，并修復(fù)系統(tǒng)漏洞。

　　由于Sygate客戶端有主機(jī)防火墻的模塊。利用該模塊我們可以做應(yīng)用程序控制，以及連接控制。Sygate系統(tǒng)還有自學(xué)習(xí)的能力，它能夠自動發(fā)現(xiàn)網(wǎng)絡(luò)中所有的應(yīng)用程序。利用這兩個功能，我們在中控臺上輕松制定出一個網(wǎng)絡(luò)程序黑名單，將所有學(xué)習(xí)回來的蠕蟲及病毒列入其中。黑名單中的程序?qū)⑹ピL問網(wǎng)絡(luò)的權(quán)限。這樣即使安裝有Sygate的網(wǎng)絡(luò)節(jié)點感染了上述病毒，這些病毒也被隔離在本地系統(tǒng)之上，無法擴(kuò)散和影響網(wǎng)絡(luò)。

　　有意思的是，五毒蟲病毒包含大量與常見進(jìn)程同名的二進(jìn)制文件，例如IEXPLORE.EXE，NetMeeting.exe，COMMAND.EXE等。這些進(jìn)程企圖混淆視聽，逃避安全方案中黑名單的制裁。Sygate特有的應(yīng)用程序指紋自動生成功能，幫助用戶死死鎖定惡意程序，而不影響正常進(jìn)程的使用。

　　同時我們還配置了規(guī)則，封閉了上述病毒使用到的一些端口。這個規(guī)則配合HIDS模塊，可以起到雙保險的作用，防止沒有感染的終端被病毒入侵。

　　隨后，應(yīng)急響應(yīng)小組以各種方式動員用戶安裝sygate客戶端，在隨后的兩天時間里，很快部署了600多個節(jié)點，覆蓋了網(wǎng)絡(luò)中的所有的終端。網(wǎng)絡(luò)最終恢復(fù)到穩(wěn)定的狀態(tài)。

　　第三天

　　最后一天，我們利用Sygate系統(tǒng)進(jìn)行統(tǒng)計分析，總結(jié)事故的直接原因：

　　1. 補丁缺失嚴(yán)重，未打關(guān)鍵補丁的機(jī)器比例高大65%。例如，財務(wù)辦公區(qū)所有Win2000__僅打了SP3.機(jī)器買回來后，系統(tǒng)就再也沒有更新過。

　　2. 不能上互聯(lián)網(wǎng)的區(qū)域反而成了重災(zāi)區(qū)。例如計費網(wǎng)和OA服務(wù)器區(qū)。因為不能連接互聯(lián)網(wǎng)，所以安全意識疏忽，系統(tǒng)也疏于升級。

　　3. 很多筆記本終端上收集到多個IP，原來他們在連接到內(nèi)網(wǎng)的同時，還使用CDMA連接到互聯(lián)網(wǎng)。因為CDMA的使用對于部分用戶來說是免費的，這樣導(dǎo)致交叉感染。

　　4. 大量的機(jī)器使用空口令，為口令蠕蟲大開方便之門

　　最后增加了如下規(guī)則

　　1. 在內(nèi)部架設(shè)SUS服務(wù)器，設(shè)定規(guī)則，所有Sygate客戶端將重定向到內(nèi)部SUS服務(wù)器，自動升級補丁

　　2. 強(qiáng)制檢查關(guān)鍵補丁，如果關(guān)鍵補丁缺失，開啟IE，自動連接到內(nèi)部安全網(wǎng)站的相關(guān)頁面，幫助用戶了解問題，并提供下載鏈接

　　3. 一旦Sygate客戶端檢查到重大病毒進(jìn)程在運行，自動分發(fā)病毒專殺工具到用戶主機(jī)。

　　4. 給筆記本用戶設(shè)置兩套自適應(yīng)規(guī)則，當(dāng)在內(nèi)網(wǎng)時，禁止其使用CDMA撥號適配器

　　5. 啟用了強(qiáng)口令，系統(tǒng)文件保護(hù)，禁止匿名訪問等一系列系統(tǒng)加固策略