您的位置:首页>>电脑软件
搜索: 标题  

针对“永恒之蓝”攻击紧急处置手册(蠕虫 WannaCry)

发布时间:2017-05-13 22:55:21  来源:互联网   编辑:即时新闻  背景:

    2017 年 05 月 13 日

    第1章 隔离网主机应急处置操作指南

    首先确认主机是否被感染

  被感染的机器屏幕会显示如下的告知付赎金的界面:

    如果主机已被感染:

  则将该主机隔离或断网(拔网线)。若客户存在该主机备份,则启动备份恢复程序。

    如果主机未被感染:

  则存在四种方式进行防护,均可以避免主机被感染。针对未感染主机,方式二是属于彻底根除的手段,但耗时较长;其他方式均属于抑制手段,其中方式一效率最高。

  从响应效率和质量上,360 建议首先采用方式一进行抑制,再采用方式二进行根除。

   方式一:启用蠕虫快速免疫工具

  免疫工具的下载地址:http://dl.b.360.cn/tools/OnionWormImmune.exe

  请双击运行 OnionWormImmune.exe 工具,并检查任务管理器中的状态。

  方式二:针对主机进行补丁升级

  请参考紧急处置工具包相关目录并安装 MS17-010 补丁,微软已经发布winxp_sp3 至 win10、win2003 至 win2016 的全系列补丁。

  微软官方下载地址:

  https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/

  快速下载地址:

  https://yunpan.cn/cXLwmvHrMF3WI 访问密码 614d

  方式三:关闭 445 端口相关服务

  点击开始菜单,运行,cmd,确认。

  输入命令 netstat –an 查看端口状态

  输入 net stop rdr 回车

  net stop srv 回车

  net stop netbt 回车

   再次输入 netsta –an,成功关闭 445 端口。

   方式四:配置主机级 ACL 策略封堵 445 端口

  通过组策略 IP 安全策略限制 Windows 网络共享协议相关端口

  开始菜单->运行,输入 gpedit.msc 回车。打开组策略编辑器

  在组策略编辑器中,计算机配置->windows 设置->安全设置->ip 安全策略 下,  在编辑器右边空白处鼠标右键单击,选择“创建 IP 安全策略”

  下一步->名称填写“封端口”,下一步->下一步->勾选编辑属性,并点完成

  去掉“使用添加向导”的勾选后,点击“添加”

  在新弹出的窗口,选择“IP 筛选列表”选项卡,点击“添加”

  在新弹出的窗口中填写名称,去掉“使用添加向导”前面的勾,单击“添加”

  在新弹出的窗口中,“协议”选项卡下,选择协议和设置到达端口信息,并点确定。

  重复第 7 个步骤,添加 TCP 端口 135、139、445。添加 UDP 端口 137、138。添加全部完成后,确定。

  选中刚添加完成的“端口过滤”规则,然后选择“筛选器操作”选项卡。

  去掉“使用添加向导”勾选,单击“添加”按钮

  1. 选择“阻止”

  2. 选择“常规”选项卡,给这个筛选器起名“阻止”,然后“确定”。点击

  3. 确认“IP 筛选列表”选项卡下的“端口过滤”被选中。确认“筛选器操作”选项卡下的“阻止”被选中。然后点击“关闭”。

  4. 确认安全规则配置正确。点击确定。

  5. 在“组策略编辑器”上,右键“分配”,将规则启用。

    第2章 核心网络设备应急处置操作指南

  大型机构由于设备众多,为了避免感染设备之后的广泛传播,建议利用各网络设备的 ACL 策略配置,以实现临时封堵。

  该蠕虫病毒主要利用 TCP 的 445 端口进行传播, 对于各大企事业单位影响很大。为了阻断病毒快速传播, 建议在核心网络设备的三层接口位置, 配置 ACL 规则从网络层面阻断 TCP 445 端口的通讯。

  以下内容是基于较为流行的网络设备,举例说明如何配置 ACL 规则,以禁止TCP 445 网络端口传输,仅供大家参考。在实际操作中,请协调网络管理人员或网络设备厂商服务人员,根据实际网络环境在核心网络设备上进行配置。

  Juniper 设备的建议配置(示例):

  set firewall family inet filter deny-wannacry term deny445 from protocol tcp

  set firewall family inet filter deny-wannacry term deny445 from destination-port 445 set firewall family inet filter deny-wannacry term deny445 then discard

  set firewall family inet filter deny-wannacry term default then accept

  #在全局应用规则

  set forwarding-options family inet filter output deny-wannacry set forwarding-options family inet filter input deny-wannacry

  #在三层接口应用规则

  set interfaces [ 需要挂载的三层端口名称 ] unit 0 family inet filter output deny-wannacry

  set interfaces [ 需要挂载的三层端口名称 ] unit 0 family inet filter input deny-wannacry

   华三(H3C)设备的建议配置(示例):

  新版本: acl number 3050

  rule deny tcp destination-port 445 rule permit ip

  interface [需要挂载的三层端口名称] packet-filter 3050 inbound packet-filter 3050 outbound

  旧版本: acl number 3050

  rule permit tcp destination-port 445

  traffic classifier deny-wannacry if-match acl 3050

  traffic behavior deny-wannacry filter deny

  qos policy deny-wannacry

  classifier deny-wannacry behavior deny-wannacry

  #在全局应用

  qos apply policy deny-wannacry global inbound qos apply policy deny-wannacry global outbound

  #在三层接口应用规则

  interface [需要挂载的三层端口名称]

  qos apply policy deny-wannacry inbound

  qos apply policy deny-wannacry outbound

   华为设备的建议配置(示例):

  acl number 3050

  rule deny tcp destination-port eq 445 rule permit ip

  traffic classifier deny-wannacry type and if-match acl 3050

  traffic behavior deny-wannacry

  traffic policy deny-wannacry

  classifier deny-wannacry behavior deny-wannacry precedence 5

  interface [需要挂载的三层端口名称] traffic-policy deny-wannacry inbound traffic-policy deny-wannacry outbound

   Cisco 设备的建议配置(示例):

  旧版本:

  ip access-list extended deny-wannacry

  deny tcp any any eq 445

  permit ip any any

  interface [需要挂载的三层端口名称] ip access-group deny-wannacry in

  ip access-group deny-wannacry out

  新版本:

  ip access-list deny-wannacry deny tcp any any eq 445 permit ip any any

  interface [需要挂载的三层端口名称] ip access-group deny-wannacry in

  ip access-group deny-wannacry out

  锐捷设备的建议配置(示例):

  ip access-list extended deny-wannacry deny tcp any any eq 445

  permit ip any any

  interface [需要挂载的三层端口名称] ip access-group deny-wannacry in

  ip access-group deny-wannacry out

   第3章 互联网主机应急处置操作指南

  采用快速处置方式,建议使用 360 安全卫士的“NSA 武器库免疫工具 ”,可一键检测修复漏洞、关闭高风险服务,包括精准检测出 NSA 武器库使用的漏洞

  是否已经修复,并提示用户安装相应的补丁。针对 XP、2003 等无补丁的系统版本用户,防御工具能够帮助用户关闭存在高危风险的服务,从而对 NSA 黑客武器攻击的系统漏洞彻底“免疫”。

  NSA 武器库免疫工具下载地址:http://dl.360safe.com/nsa/nsatool.exe




返回网站首页 本文来源:互联网

本文评论
“永恒之蓝”致多国关键基础设施瘫痪 国内大型机构紧急处置手册发布
针对5月12日开始在全球爆发的Wannacry(永恒之蓝)勒索蠕虫攻击,360安全监测与响应中心对此事件的风...
日期:05-13
针对“永恒之蓝”攻击紧急处置手册(蠕虫 WannaCry)
    第1章 隔离网主机应急处置操作指南
    首先确认主机是否被...
日期:05-13
勒索病毒公开私钥?360提示警惕解密骗局
5月12日开始,在全球近百个国家爆发的勒索蠕虫搞瘫了部分医院、交通、能源、金融等基础设施,在国内...
日期:05-13
毕业季惨遭网络病毒勒索 高校师生纷纷下载360安全卫士专杀工具
恰逢毕业季,国内各大高校学生都在紧张地撰写论文、整理简历,然而一场突如其来的网络病毒攻击让学...
日期:05-13
腾讯手机管家推出7.0版本,打造更懂你的安全体验
2017年母亲节将至,不少子女已经在“母亲节礼品清单”上列满了鲜花、护肤品、周末出游等...
日期:05-12
母亲节献礼盘点五大常见骗局 腾讯电脑管家提醒父母防诈骗
母亲节将至,普天之下的子女都会用心挑选礼物,为忙碌的母亲送上一份惊喜。但是,相比用物质表达心...
日期:05-12
【锐观点】Win10自带杀软竟成为病毒入侵的大漏洞!
Win10号称是微软有史以来“最安全”的操作系统(其实每个新版本发布时都这么说),而且默认...
日期:05-12
腾讯手机管家将上线7.0,新版本“更懂你”?
如今,以智能手机、智能家居为代表的科技产品越来越懂用户需求,致力于打造更美好、更便捷的生活体...
日期:05-11
全球首家!腾讯航空安全实验室为航空娱乐系统提供安全加固
2017年5月10日至11日,第六届航空客舱信息技术大会(ICT2017)于在上海召开,聚拢了300+航空业内人士...
日期:05-11
Windows 30年编年史:Vista成最大败笔
微软日前在纽约召开了主题为“Learn what's next”的发布会,公司在本届发布会上推出了定...
日期:05-06
欲盖弥彰:Windows 10 S和Surface的马甲游戏
近日,微软在纽约召开发布会,宣布针对教师和学生推出一系列教育类产品和服务,其中包括Windows 10 ...
日期:05-05
微软又将Windows RT复活了!
盛传已久的Windows 10 S终于现身,并且成功借助Surface Laptop落地。
日期:05-03
史上最复杂木马“暗云”升级来袭 腾讯电脑管家率先发布暗云III专杀工具
曾影响百万用户电脑的“暗云”系列病毒再度变种来袭。近日,腾讯电脑管家发现一个后门程...
日期:05-03
Windows 10 S 的定位:让人感到有些困惑
在刚刚结束的五月发布会上,微软强调了其专为未来课堂教学而带来的诸多创新。即使作为硬件主角的 Surface Laptop,...
日期:05-03
微软发布阉割版的Windows 10系统 你会买单吗?
在今天晚上的发布会上,微软正式发布了Windows 10 S操作系统,虽然小尾巴加了个“S”,但...
日期:05-03
微软将推Win10 S系统 是否会重蹈RT版覆辙?
微软预计将于美国东部时间5月2日上午9点在纽约召开主题为“Learn what'snext”的发布会,并会正式发布旗下...
日期:05-02
腾讯电脑管家:用Ghost装系统存安全隐患 或致电脑主页被锁
为体验不同的操作系统、解决电脑卡顿,不少网友往往会自己动手重装系统。当前,通过网络可以搜索到...
日期:04-26
以假乱真的Punycode钓鱼测试 360浏览器成功防御
最近,一种号称“几乎无法检测”的钓鱼网址攻击方法被曝光。利用浏览器漏洞,黑客可以把...
日期:04-20
微软漏洞仍有重大资料未曝光 腾讯电脑管家提醒:提防下轮网络攻击
4月14日晚间,黑客组织Shadow Brokers再次披露了一系列恶意软件,并声称这些软件工具来自美国国家安...
日期:04-19