四种在局域网中最常见的蠕虫病毒攻击快速诊断及解决方法v1.1.pdfVIP

四种在局域网中最常见的蠕虫病毒攻击的快速诊断和解决方法 冲击波/震荡波病毒、SQL 蠕虫、伪造源地址 DDoS 攻击、ARP 欺骗，是在宽带接入的 网吧、企业、小区局域网内最常见的蠕虫病毒攻击形式。 这几种病毒发作时，非常消耗局域网和接入设备的资源，造用户上网变得很慢或者不 能上网。下面就来介绍一下，怎样在 HiPER 安全网关内快速诊断局域网内电脑感染了这些 蠕虫病毒，以及怎样设置安全策略防止这些这些病毒对用户上网造成影响。 1.冲击波/震荡波病毒 【故障现象】感染此类病毒的计算机和网络的共同点： 1、不断重新启动计算机或者莫名其妙的死机； 2 、大量消耗系统资源，导致windows 操作系统速度极慢； 3、中毒的主机大量发包阻塞网络，整个网络会迅速被这些攻击所形成的流量影响，形 成 DoS 拒绝服务攻击。造成局域网内所有人网速变慢直至无法上网。 局域网的主机在感染冲击波、震荡波及其变种病毒之后，会向外部网络发出大量的数据 包，以查找其他开放了这些端口的主机进行传播，常见的端口有： TCP 135 端口 （常见）；TCP 139 端口 （常见）；TCP 445 端口 （常见）；TCP 1025 端口 （常见）；TCP 4444 端口；TCP 5554 端口；TCP 9996 端口；UDP 69 端口… … 【快速查找】在 WebUI上网监控页面，查询当前全部上网记录，可以看到感染冲击 波病毒的主机发出的大量 NAT 会话，特征如下： 1、协议为 TCP，外网端口为 135/139/445/1025/4444/5554/9996 等； 2 、会话中该主机有上传包，下载包往往很小或者为 0 。 上海艾泰科技有限公司 Page 1 of 15 【解决办法】 1、将中病毒的主机从内网断开，杀毒，安装微软提供的相关 Windows 的补丁。 2 、在安全网关上关闭该病毒向外发包的相关端口。 1）WebUI高级配置组管理，建立一个工作组“all ”（可以自定义名称），包含整个 网段的所有IP 地址（--54）。 注意：这里用户局域网段为 /24，用户应该根据实际使用的 IP 地址段进 行组 IP 地址段指定。 2） WebUI高级配置业务管理业务策略配置，建立策略“f_445 ”（可以自定义名 称），屏蔽目的端口为 TCP 445 的数据包，按照下图进行配置，保存。 3）WebUI高级配置业务管理业务策略列表中，可以查看到上一步建立的“f_445 ” 的策略（“dns ”、“dhcp ”为系统自动生成的允许dns 和 dhcp 数据包的策略，不必修 改），同时系统自动生成一条名称为“grp1_other ”的策略，该策略屏蔽了所有外出 的数据包，为了保障其他上网的正常进行，需要将此策略动作编辑为“允许”。 上海艾泰科技有限公司 Page 2 of 15 4） 在上表中，单击策略名“grp1_other ”，在下面的表项中，将动作由“禁止”编辑为 “允许”，保存。 5） 重复步骤 2 ），将其他冲击波/震荡波端口 TCP 135/139/445/1025/4444/5554/9996 等关 闭。 6） WebUI高级配置业务管理全局配置中，取消“允许其他用户”的选中，选中 “启用业务管理”，保存。 上海艾泰科技有限公司 Page 3 of 15 3、注意： 1）配置之前不能有命令生成的业务管理策略存在，否则可能导致 Web 界面生成的业务 管理策略工作异常或者不生效。 2 ）如果，已经有工作组存在，并且在业务管理中配置了策略，必须在 WebUI高级配 置组管理中，将该网段所有用户分配在相关的组中，然后在 WebUI高级配置