驱逐威胁 六把安全利剑清除僵尸网络(上)

　僵尸网络（Botnet）是指多台被恶意代码感染、控制的与互联网相连接的计算机。Botnet正成为一种日益严重的威胁，不过，只要我们用好对付它的六把利剑，僵尸网络就难以造成严重的祸患。

　　第一剑：采用Web过滤服务

　　Web过滤服务是迎战僵尸网络的最有力武器。这些服务扫描Web站点发出的不正常的行为，或者扫描已知的恶意活动，并且阻止这些站点与用户接触。

　　Websense、Cyveillance 、FaceTime都是很好的例子。它们都可以实时地监视互联网，并查找从事恶意的或可疑的活动的站点，如下载JavaScript或执行screen scrapes等正常Web浏览之外的其它骗局。Cyveillance 和Support Intelligence还提供另外一种服务：通知Web站点操作人员及ISP等恶意软件已经被发现，因此黑客攻击的服务器能被修复，他们如是说。

　　第二剑：转换浏览器

　　防止僵尸网络感染的另一种策略是浏览器的标准化，而不是仅仅依靠微软的Internet Explorer 或Mozilla 的Firefox。当然这两者确实是最流行的，不过正因为如此，恶意软件作者们通常也乐意为它们编写代码。同样的策略也适用于操作系统。据统计，Macs很少受到僵尸网络的侵扰，正如桌面Linux操作系统，因为大多数僵尸的罪魁祸首都把目标指向了流行的Windows。

　　第三剑：禁用脚本

　　另一个更加极端的措施是完全地禁用浏览器的脚本功能，虽然有时候这会不利于工作效率，特别是如果雇员们在其工作中使用了定制的、基于Web的应用程序时，更是这样。

　　第四剑：部署入侵检测和入侵防御系统

　　另一种方法是调整你的IDS（入侵检测系统）和IPS（入侵防御系统），使之查找有僵尸特征的活动。例如，重复性的与外部的IP地址连接或非法的DNS地址连接都是相当可疑的。虽然难于发现，不过，另一个可以揭示僵尸的征兆是在一个机器中SSL通信的突然上升，特别是在某些端口上更是这样。这就可能表明一个僵尸控制的通道已经被激活了。您需要找到那些将电子邮件路由到其它服务器而不是路由到您自己的电子邮件服务器的机器，它们也是可疑的。僵尸网络的专家Gadi Evron进一步建议，您应该学会监视在高层对Web进行访问的家伙。它们会激活位于一个Web页面上的所有的链接，而一个高层次的访问可能会指明一台机器正被一个恶意的Web站点所控制。

　　一个IPS或IDS系统可以监视不正常的行为，这些行为指明了难于发现的、基于HTTP的攻击和来自远程过程的攻击、Telnet和地址解析协议（即ARP）欺骗等等。然而，值得注意的是，许多IPS检测器使用基于特征的检测技术，也就是说，这些攻击被发现时的特征被添加到一个数据库中，如果数据库中没有有关的特征就无法检测出来。因此，IPS或IDS就必须经常性的更新其数据库以识别有关的攻击，对于犯罪活动的检测需要持续不断的努力。