우리 네트워크에 웜 감염 문제가 있었습니다. 모든 웜을 제거하고 적절한 조치를 취했습니다.
저는 웜이 네트워크에 어떻게 확산되었는지 어떻게 판단할 수 있는지 알고 싶었습니다.
감사해요,
게리..
흥미로운 기사를 보내주셔서 정말 감사합니다..... 저의 기본적인 질문은 웜 샘플을 얻을 수 없는 경우 웜이 어떻게 확산되는지 어떻게 판단할 수 있느냐는 것입니다. 내 시스템에서 웜을 제거했지만 웜 샘플이 없습니다...
보안 정책과 로그를 보면 웜이 네트워크에 어떻게 확산되었는지 알 수 있습니다. ??
다시 한 번 감사드립니다.
게리
답변1
귀하의 요청은 세부 사항, 특히 어떤 웜에 감염되었는지, 발병 이전의 보안 정책은 무엇이었고 "적절한 조치"는 무엇인지에 대해 매우 간단합니다.
먼저 내 보안 정책에 허점이나 문제가 있는지 검토합니다. 보안 정책이 없었다면 어떻게 맞았는지 파악하는 것을 포기하고 보안 정책이 탄탄하지 않은 것은 내 잘못이라고 생각할 것입니다. 작성되었지만 주의 깊게 따르고 있으며 5년 이상 동안 의도치 않게 바이러스에 감염된 적이 없습니다.)
둘째, 보안정책이 지켜지지 않는 곳을 찾아본다. 나는 무슨 일이 일어났는지 알 때까지 서버, PC 및 라우터에서 로그/이벤트 뷰어를 사용하고, 다중 사용자 환경에서는 처음으로 발병을 알아차린 사용자에게 몇 가지 질문을 하고 그렇지 않다는 것을 명확하게 전달하려고 노력했습니다. (내가 전화를 걸 수 있다고 가정할 때) 어려움에 처해 있으며 그들의 도움이 중요하다고 생각합니다. 아마도 여기에 수집된 정보를 바탕으로 몇 가지 조치를 취하게 될 것입니다.
셋째, 이런 일이 다시는 발생하지 않도록 보안 정책이나 시행을 업데이트하겠습니다. 이는 보다 시기적절하게 업데이트를 설치하거나, 서버나 PC에 바이러스 백신을 추가하거나, 방화벽 규칙을 강화하거나, 스마일리 팩을 다운로드하는 것이 왜 나쁜 생각인지 사용자에게 교육하는 것을 의미할 수 있습니다. 이 시점에서 나는 또한 당국에 전화하는 것이 적절한 단계인지 판단할 것입니다. 여러 번 아무에게도 연락하지 않았는데 두 번은 당국에 에스컬레이션되었습니다.
마지막으로 보안 정책을 지속적으로 검토하고 정책 시행이 제대로 작동하는지 확인하겠습니다. 저는 방해하지 않는 다양한 방법을 사용하여 이 작업을 수행할 것이며, 방해가 되는 일이 있을 때마다 관련자들과 함께 이를 정리할 것이며 항상 비용 대 이점을 인식할 것입니다(과도한 보안을 사용하거나 이를 방해하는 것은 필요하지 않습니다). 일을 하려고 노력 중).
나는 그것이 모호하다는 것을 알고 있지만 이것이 내가 한 방법입니다. 나는 이런 방식으로 몇 가지 위협을 성공적으로 식별했으며 더 많은 위협으로부터 함께 일한 팀을 보호했습니다. 더 많은 것을 놓쳤지만 모두 시스템과 작업 흐름을 개선하는 기회로 삼았습니다. 나는 또한 좋은 보안 정책이 있으면 성공할 수 있다는 것을 알고 있습니다.이론적으로수많은 Windows PC 또는 기타 안전하지 않은 플랫폼을 사용하는 경우에도 해킹/감염이 불가능합니다. 그만큼현실일이 계획대로 정확하게 작동하지 않기 때문에 상당히 다릅니다. 이론과 현실이 만나는 회색 영역을 모든 큰 문제를 방지할 수 있을 만큼 안전하고 사람과 시스템이 작동할 수 있을 만큼(또는 어떤 목표를 실행하거나 달성할 수 있을 만큼) 충분히 사용할 수 있도록 하는 것이 아이디어입니다.
답변2
선호하는 소독 도구를 통해 웜의 유형을 알고 있다면 해당 유형의 웜/바이러스가 어떻게 확산되는지에 대한 정보/문서를 찾거나 Google에서 찾을 수 있습니다. 거기에서 다음 사항을 고려해야 합니다.표준화된 보호 방법클라이언트와 서버용(아직 없는 경우)
웜이 실제로 네트워크 클라이언트를 통해 어떻게 확산되는지 추적하려고 생각하지 않기를 바랍니다. 이 작업은 시간이 많이 걸리고 불가능하지는 않더라도 엄청나게 어려울 것입니다.
답변3
이 일이 당신이 원하는 만큼 쉽지는 않을 것 같아 두렵습니다. 다른 것이 없다면 이제 네트워크는 감염 당시의 방식과 다르므로 조사를 수행해도 유효한 결과가 나올 가능성은 거의 없습니다. 둘째, 많은 악성 소프트웨어는 자신의 흔적을 매우 잘 덮을 수 있으므로(많은 악성 소프트웨어도 매우 나쁠 수 있습니다...) 처음부터 기록된 관련 정보에 의존하게 됩니다.
따라서 귀하의 접근 방식은 웜이 무엇인지 식별하고, 그것이 어떻게 확산되는지 읽고, 그것이 네트워크에 어떻게 확산되는지 합리적인 가정을 하는 것입니다. 그러나 나는 당신이 그것이 어떻게 들어왔는지에 더 관심이 있을 것이라고 생각합니다. 그래야 나중에 문이 닫혀 있다는 것을 확신할 수 있습니다. 이것은 관리자 권한으로 실행하는 사용자, 제어되지 않는 USB 장치 액세스, 보안되지 않은 웹 액세스, 이전 소프트웨어 사용, 오래된 AV, 보안 패치를 최신 상태로 유지하지 못함, 잘못된 방화벽 또는 게이트웨이 등 오래 전부터 즐겨 사용했던 것 중 하나일 것입니다. 구성 등이 있습니다. 이들 중 하나가 여러분에게 신호를 보낼 것이며, AV 공급업체 웹사이트의 정보를 통해 이를 확인할 수 있습니다.