企业内网僵尸木马应急响应与流量分析技术方案.pdfVIP

流量分析

笔记本：应急

创建时间：2022/10/189:12

1、概述

遇到的一个案例，某用户被机构通报，该企业内网存在一僵尸木马向某一ip

发起，用户在接到通报后进行分析，进行内网排查，内网情况如下：

1、被通报的公网出口，主要是办公网出口，内网办公电脑大约200多台；

2、边界存在一台，但是没有上网行为管理功能，其日志记录的

也不全；

3、内网内没有其他进行日志记录；

综合用户的描述，简单画出如下拓扑图，

从图中可看到，交换机上先是进行了vlan划分，然后用户被分为了不同的网段，最后

通过出口互联网。

通报中也已经明确给出了，僵尸木马的目标地址，常规思路是通过查看边界

设备，确定是内网的哪个ip地址了目标地址，但是奈何内网没有能查看该条日志的设

备，所以很难通过这个思路进行，客户内网机器上都装有杀毒软件，通过联系厂商，未发

现相关杀毒软件的记录日志。

在遇到这种情况下怎么取处理呢，还有法就是每台主机进行排查，但是200多台机器

排查起来也是很费劲的，这时候可采用如下方法进行排查。

2、