2017年-360研究报告_关于大型机构防范“永恒之蓝”勒索蠕虫攻击的建议_11页_674kb

关于“永恒之蓝”勒索蠕虫攻击的防范建议总结

核心内容

“永恒之蓝”勒索蠕虫攻击是一种基于Windows网络共享协议（SMB）传播的恶意代码，利用NSA泄露的漏洞进行攻击。该蠕虫无需用户操作，即可在开机上网的设备中植入恶意程序，导致系统被加密、数据被破坏，甚至要求高额赎金。攻击事件自2017年5月12日开始爆发，已对各类机构、企业、高校等造成严重影响，360安全监测与响应中心将其风险评级为“危急”。

主要观点

• 攻击方式：通过扫描开放445端口的Windows系统，利用漏洞进行传播。
• 影响范围：所有未安装MS17-010补丁或未关闭Server服务的系统均可能受影响。
• 风险等级：攻击事件已被评定为“危急”，具有极高的破坏性和传播性。
• 防范重点：需从网络边界、生产区域、办公网络及互联网接入等多个层面进行防护。

关键信息

1. 确认影响范围

• 网络边界：扫描内网，确认所有开放445端口的设备。
• 网关设备：查看IOC_IP连接情况，确认感染范围。
• DNS流量：监测DNS_IOC请求，识别内网感染情况。
• 安全设备：记录所有对445端口的扫描事件，以进行后续分析。

2. 紧急抑制方法

2.1 DMZ非军事化隔离区

• 阻断445端口的访问。
• 升级防火墙、IPS设备规则，阻断相关漏洞攻击。
• 检查是否开放445端口，如开放则关闭Server服务。
• 安装MS17-010补丁，补丁下载地址：https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx
• 安装360敲诈者病毒免疫工具，下载地址：https://eyun.360.cn/surl_yZ3RsYgQuvu（提取码：e2ab）

2.2 生产区域

• 同样建议阻断445端口访问。
• 对已感染机器进行紧急隔离。
• 关闭Server服务。
• 安装MS17-010补丁。
• 安装敲诈者病毒免疫工具。
• 安装XP漏洞免疫工具（针对Windows XP系统）。

2.3 办公网络

• 阻断445端口访问。
• 检查并关闭Server服务。
• 安装MS17-010补丁。
• 安装敲诈者病毒免疫工具。
• 安装XP漏洞免疫工具（针对Windows XP系统）。

2.4 互联网边界

• 紧急下线未关闭445端口的服务器。
• 封锁445端口的双向流量。
• 封锁已知扫描源IP，防止进一步扩散。

3. 隐患根除方法

• 系统升级：Win7及以上系统应立即安装MS17-010补丁。
• 关闭服务：关闭非必要的Server服务，特别是445端口。
• 访问控制：在网络访问层面封锁445端口服务，实现安全域隔离。
• 老旧系统处理：对Windows XP、2003等无安全更新的系统，使用360“NSA武器库免疫工具”检测并关闭漏洞端口，建议尽快淘汰或替换。

4. 业务恢复建议

• 数据备份：对重点服务器和业务系统立即进行数据备份。
• 系统恢复机制：建立快速系统重装机制，制作系统镜像和恢复盘，以便快速替换受损设备。

总结

“永恒之蓝”勒索蠕虫攻击具有极高的传播性和破坏性，建议大型机构从多个层面进行防范。紧急措施包括阻断445端口、关闭Server服务、安装补丁和免疫工具。隐患根除需结合系统升级、服务关闭与访问控制。同时，建立完善的业务恢复机制，以应对可能的数据损失和系统瘫痪。