我們的網路中存在蠕蟲感染問題。我已經清除了所有蠕蟲並採取了適當的步驟。
我想知道如何確定蠕蟲病毒是如何在網路中傳播的。
謝謝，
加里..
非常感謝大家提供的所有有趣的文章......我的基本問題是，如果無法獲得蠕蟲樣本，如何確定蠕蟲的傳播方式？我已經從我的系統中清除了該蠕蟲，但沒有該蠕蟲的樣本...
透過查看安全性策略和日誌，我們可以了解蠕蟲病毒是如何在網路中傳播的。 ??
再次感謝，
蓋瑞
答案1
您的請求在詳細資訊上非常簡單，特別是您感染了哪種蠕蟲病毒，爆發之前您的安全政策是什麼，以及「採取了適當的步驟」是什麼？
首先，我會檢查自己的安全策略是否有漏洞或問題。如果我沒有安全策略，我會放棄弄清楚我是如何被攻擊的，並認為這是我自己的錯，因為沒有可靠的安全策略（我甚至為我的家用機器製定了安全策略，它不是寫的，但我仔細遵循它，並且5 年多來我沒有無意中被病毒攻擊過）。
其次，我會尋找不遵守安全政策的地方。我會在伺服器、PC 和路由器上使用日誌/事件檢視器，直到清楚地了解發生了什麼，在多用戶環境中，我會嘗試向首先註意到爆發的用戶詢問一些問題，並清楚地表明他們沒有發生任何情況遇到麻煩了（假設我可以打電話）並且他們的幫助很重要。根據此處收集的信息，我可能會採取幾個步驟。
第三，我會更新安全性策略或執行策略，以便這種情況不再發生。這可能意味著更及時地安裝更新、向伺服器或 PC 添加防毒軟體、收緊防火牆規則，甚至可能教育用戶為什麼下載笑臉包是一個非常糟糕的主意。此時我還將確定致電當局是否是適當的步驟。很多時候我都沒有聯絡任何人，有兩次被上報給當局。
最後，我將對安全策略進行持續審查，並檢查其執行是否有效。我會使用各種非侵入性方法來做到這一點，每當有侵入性的事情時，我都會與相關人員一起清除它，並且我將始終意識到成本與收益（過度的安全性和妨礙那些人是沒有用的）嘗試做這項工作）。
我知道這很模糊，但這就是我所做的。透過這種方式，我成功識別了一些威脅，並保護了與我合作的團隊免受更多威脅。我錯過了很多，但我把它們都當作一個機會來改善系統和工作流程。我也知道，只要有好的安全政策，就可以做到這一點理論上即使使用大量 Windows PC 或其他被認為不安全的平台，也無法破解/感染。這現實這是完全不同的，因為事情永遠不會完全按照計劃進行。這個想法是讓理論和現實相遇的灰色區域足夠安全，以防止所有大問題，並足夠可用，讓人們和系統工作（或玩耍或實現任何目標）。
答案2
如果您知道蠕蟲的類型（透過您首選的消毒工具），您將能夠找到/谷歌有關該類型蠕蟲/病毒如何傳播的資訊/文件。從那裡開始，您應該考慮標準化保護方法對於您的客戶端和伺服器（如果您還沒有）。
我希望您沒有考慮嘗試追蹤該蠕蟲實際上是如何透過您的網路用戶端傳播的。這項任務即使不是不可能，也將非常耗時、極為困難。
答案3
我擔心這不會像您希望的那麼容易。如果不出意外的話，您的人脈現在與您被感染時的情況不同，因此您所做的任何調查都不太可能得出有效的結果。其次，許多惡意軟體可能非常擅長掩蓋其痕跡（許多惡意軟體也可能非常糟糕...），因此您首先依賴已記錄的相關資訊。
因此，您的方法是確定蠕蟲病毒是什麼，了解它的傳播方式，並合理地假設它是它在您的網路中傳播的方式。不過，我猜你更感興趣的是它是如何進來的，這樣你就可以確定門將來是關著的。這很可能是舊的最愛之一：以管理員權限運行的用戶、不受控制的USB 設備訪問、不安全的Web 訪問、使用舊軟體、過時的AV、未能及時更新安全性修補程式、不良的防火牆或網關配置等。其中之一可能會給您敲響警鐘，並且來自 AV 供應商網站的資訊將證實這一點。