什么是计算机病毒，看这里
????????????????????????????????目錄
1. 什么是惡意軟件（病毒）？
2. 惡意軟件的特征
3. 惡意軟件的分類
????????按照傳播方式
????????按功能分類分
?4. 惡意軟件的免殺技術(shù)
5. 反病毒技術(shù)
6. 反病毒網(wǎng)關(guān)的工作過程
7. 反病毒網(wǎng)關(guān)的配置流程
?8.案例
1. 什么是惡意軟件（病毒）？
惡意軟件，是以多種途徑感染合法用戶計(jì)算機(jī)及予以加害的一種計(jì)算機(jī)程序。惡意軟件能夠以多種途徑感染計(jì)算機(jī)和設(shè)備，并且表現(xiàn)出多種形式。按照傳播方式，將惡意軟件大致分為三類，病毒、蠕蟲、木馬。
2. 惡意軟件的特征
惡意軟件通常具備以下某些特征：
下載特征
?? ?很多木馬、后門程序間諜軟件會(huì)自動(dòng)連接到Internet某Web站點(diǎn)，下載其他的病毒文件或該病毒自身的更新版本/其他變種。
后門特征
-
?? ?后門程序及很多木馬、蠕蟲和間諜軟件會(huì)在受感染的系統(tǒng)中開啟并偵聽某個(gè)端口，允許遠(yuǎn)程惡意用戶來(lái)對(duì)該系統(tǒng)進(jìn)行遠(yuǎn)程操控;
-
?? ?某些情況下，病毒還會(huì)自動(dòng)連接到某IRC站點(diǎn)某頻道中，使得該頻道中特定的惡意用戶遠(yuǎn)程訪問受感染的計(jì)算機(jī)。
信息收集特性
-
QQ密碼和聊天記錄;
-
網(wǎng)絡(luò)游戲帳號(hào)密碼;
-
網(wǎng)上銀行帳號(hào)密碼;
-
用戶網(wǎng)頁(yè)瀏覽記錄和上網(wǎng)習(xí)慣;
自身隱藏性
?? ?多數(shù)病毒會(huì)將自身文件的屬性設(shè)置為“隱藏'、“系統(tǒng)′和"只讀”，更有一些病毒會(huì)通過修改注冊(cè)表，從而修改用戶對(duì)系統(tǒng)的文件夾訪問權(quán)限、顯示權(quán)限等，以使病毒更加隱蔽不易被發(fā)現(xiàn)。
文件感染性
-
?? ?病毒會(huì)將惡意代碼插入到系統(tǒng)中正常的可執(zhí)行文件中，使得系統(tǒng)正常文件被破壞而無(wú)法運(yùn)行，或使系統(tǒng)正常文件感染病毒而成為病毒體;
-
?? ?有的文件型病毒會(huì)感染系統(tǒng)中其他類型的文件。
-
?? ?Wannacry就是一種典型的文件型病毒，它分為兩部分，一部分是蠕蟲部分，利用windows的“永恒之藍(lán)"漏洞進(jìn)行網(wǎng)絡(luò)傳播。一部分是勒索病毒部分，當(dāng)計(jì)算機(jī)感染wannacry之后，勒索病毒部分就會(huì)自動(dòng)安裝并且加密計(jì)算機(jī)中包括音頻、圖像、文檔等各種類型的文件。與此同時(shí)彈出勒索框進(jìn)行勒索。
網(wǎng)絡(luò)攻擊特性
-
木馬和蠕蟲病毒會(huì)修改計(jì)算機(jī)的網(wǎng)絡(luò)設(shè)置，使該計(jì)算機(jī)無(wú)法訪問網(wǎng)絡(luò);
-
木馬和蠕蟲還會(huì)向網(wǎng)絡(luò)中其他計(jì)算機(jī)攻擊、發(fā)送大量數(shù)據(jù)包以阻塞網(wǎng)絡(luò)，甚至通過散布虛假網(wǎng)關(guān)地址的廣播包來(lái)欺騙網(wǎng)絡(luò)中其他計(jì)算機(jī)，從而使得整個(gè)網(wǎng)絡(luò)癱瘓。
3. 惡意軟件的分類
按照傳播方式分為：
1.病毒----基于硬件和操作系統(tǒng)的程序，具有感染，傳播，破壞能力，被感染的機(jī)器叫做宿主。宿主既是病毒傳播的目的地，又是下一次感染的出發(fā)地。
?? ?病毒感染目標(biāo)：硬盤系統(tǒng)分配表扇區(qū)、硬盤引導(dǎo)區(qū)、軟盤引導(dǎo)區(qū)、可執(zhí)行文件、命令文件、覆蓋文件、COMMAND文件、IBMDOS文件。
原理
?? ?? ?病毒感染的一般過程：當(dāng)計(jì)算機(jī)運(yùn)行染毒的宿主程序時(shí)，病毒奪取控制權(quán);尋找感染的突破口;將病毒程序嵌入感染目標(biāo)中。計(jì)算機(jī)病毒的感染過程與生物學(xué)病毒的感染過程非常相似，它寄生在宿主程序中，進(jìn)入計(jì)算機(jī)并借助操作系統(tǒng)和宿主程序的運(yùn)行，復(fù)制自身、大量繁殖。
主要傳播方式：感染文件傳播
?? ??? ??? ??? ??? ??? ???
2.蠕蟲----蠕蟲是主要通過網(wǎng)絡(luò)使惡意代碼在不同設(shè)備中進(jìn)行復(fù)制、傳播和運(yùn)行的惡意代碼。一個(gè)能傳染自身拷貝到另一臺(tái)計(jì)算機(jī)上的程序。
原理
傳播方式：通過網(wǎng)絡(luò)發(fā)送攻擊數(shù)據(jù)包
3.木馬----攻擊者通過欺騙的方法在用戶不知情的情況下安裝的。木馬系統(tǒng)軟件一般由木馬配置程序、控制程序和木馬程序（服務(wù)器程序）三部分組成。
原理
傳播過程
? ? ? ?黑客利用木馬配置工具生成一個(gè)木馬的服務(wù)端;通過各種手段如Spam、Phish、Worm等安裝到用戶終端;利用社會(huì)工程學(xué),或者其它技術(shù)手段使得木馬運(yùn)行;木馬竊取用戶隱私信息發(fā)送給黑客;同時(shí)允許黑客控制用戶終端。
傳播方式：捆綁，利用網(wǎng)頁(yè)
常見木馬：掛馬代碼 ????????掛馬代碼的功能是在網(wǎng)頁(yè)打開的時(shí)候，同時(shí)打開另外一個(gè)網(wǎng)頁(yè)，當(dāng)然這個(gè)網(wǎng)頁(yè)可能包含大量的木馬，也可能僅僅是為了騙取流量。按功能分類分為：
后門 具有感染設(shè)備全部操作權(quán)限的惡意代碼。- 典型功能∶文件管理、屏幕監(jiān)控、鍵盤監(jiān)控、視頻監(jiān)控、命令執(zhí)行等。
- 典型家族∶ 灰鴿子、pCshare
- 加密特點(diǎn)∶
- 主要采用非對(duì)稱加密方式
- 對(duì)文檔、郵件、數(shù)據(jù)庫(kù)、源代碼、圖片、壓縮文件等多種文件類型進(jìn)行加密
- 其他特點(diǎn)∶
- 通過比特幣或其它虛擬貨幣交易
- 利用釣魚郵件和爆破rdp口令進(jìn)行傳播
- 不會(huì)對(duì)感染設(shè)備的數(shù)據(jù)和系統(tǒng)造成破壞。
- 由于大量消耗設(shè)備資源，可能會(huì)對(duì)設(shè)備硬件造成損害。
?4. 惡意軟件的免殺技術(shù)
????????惡意代碼希望能順利繞過殺毒軟件與防火墻，在受害者的計(jì)算機(jī)中長(zhǎng)期隱藏下去，并能在必要的時(shí)候向攻擊者提供有用的信息。 ????????免殺技術(shù)又稱為免殺毒（Anti Anti- Virus）技術(shù)，是防止惡意代碼免于被殺毒設(shè)備查殺的技術(shù)。主流免殺技術(shù)如下∶- 修改文件特征碼
- 修改內(nèi)存特征碼
- 行為免查殺技術(shù)
5. 反病毒技術(shù)
單機(jī)反病毒 檢測(cè)工具- 單機(jī)反病毒可以通過安裝殺毒軟件實(shí)現(xiàn)，也可以通過專業(yè)的防病毒工具實(shí)現(xiàn)。
- 病毒檢測(cè)工具用于檢測(cè)病毒、木馬、蠕蟲等惡意代碼，有些檢測(cè)工具同時(shí)提供修復(fù)的功能。
- 常見的病毒檢測(cè)工具包括：
- TCP View
- Regmon
- Filemon
- Process
- Explorer
- IceSword
- Process Monitor
- Wsyscheck
- SREng
- Wtool
- ?Malware Defender
- 內(nèi)網(wǎng)用戶可以訪問外網(wǎng)，且經(jīng)常需要從外網(wǎng)下載文件。
- 內(nèi)網(wǎng)部署的服務(wù)器經(jīng)常接收外網(wǎng)用戶上傳的文件。
- FW作為網(wǎng)關(guān)設(shè)備隔離內(nèi)、外網(wǎng)，內(nèi)網(wǎng)包括用戶PC和服務(wù)器。內(nèi)網(wǎng)用戶可以從外網(wǎng)下載文件，外網(wǎng)用戶 可以上傳文件到內(nèi)網(wǎng)服務(wù)器。為了保證內(nèi)網(wǎng)用戶和服務(wù)器接收文件的安全，需要在FW上配置反病毒功 能。
- 在FW上配置反病毒功能后，正常文件可以順利進(jìn)入內(nèi)部網(wǎng)絡(luò)，包含病毒的文件則會(huì)被檢測(cè)出來(lái)，并被采 取阻斷或告警等手段進(jìn)行干預(yù)。
6. 反病毒網(wǎng)關(guān)的工作過程
1. 網(wǎng)絡(luò)流量進(jìn)入智能感知引擎后，首先智能感知引擎對(duì)流量進(jìn)行深層分析，識(shí)別出流量對(duì)應(yīng)的協(xié)議類 型和文件傳輸?shù)姆较颉? 2. 判斷文件傳輸所使用的協(xié)議和文件傳輸?shù)姆较蚴欠裰С植《緳z測(cè)。 NGFW支持對(duì)使用以下協(xié)議傳輸?shù)奈募M(jìn)行病毒檢測(cè)。- FTP（File Transfer Protocol）：文件傳輸協(xié)議
- HTTP（Hypertext Transfer Protocol）：超文本傳輸協(xié)議
- POP3（Post Office Protocol - Version 3）：郵局協(xié)議的第3個(gè)版本
- SMTP（Simple Mail Transfer Protocol）：簡(jiǎn)單郵件傳輸協(xié)議
- IMAP（Internet Message Access Protocol）：因特網(wǎng)信息訪問協(xié)議
- NFS（Network File System）：網(wǎng)絡(luò)文件系統(tǒng)
- SMB（Server Message Block）：文件共享服務(wù)器
- NGFW支持對(duì)不同傳輸方向上的文件進(jìn)行病毒檢測(cè)。
- 前綴匹配：host-text或url-text配置為“example”的形式，即只要域名或URL的前綴是“example”就命中白名單規(guī)則。
- 后綴匹配：host-text或url-text配置為“example”的形式，即只要域名或URL的后綴是“example”就命中白名單規(guī)則。
- 關(guān)鍵字匹配：host-text或url-text配置為“example”的形式，即只要域名或URL中包含“example”就命中白名單規(guī)則。
- 精確匹配：域名或URL必須與host-text或url-text完全一致，才能命中白名單規(guī)則。
- 如果只配置協(xié)議的響應(yīng)動(dòng)作，則協(xié)議上承載的所有應(yīng)用都繼承協(xié)議的響應(yīng)動(dòng)作。
- 如果協(xié)議和應(yīng)用都配置了響應(yīng)動(dòng)作，則以應(yīng)用的響應(yīng)動(dòng)作為準(zhǔn)。
????????如果病毒文件既沒命中病毒例外，也沒命中應(yīng)用例外，則按照配置文件中配置的協(xié)議和傳輸方 向?qū)?yīng)的響應(yīng)動(dòng)作進(jìn)行處理。
7. 反病毒網(wǎng)關(guān)的配置流程
??? ?
?8.案例
????????某公司在網(wǎng)絡(luò)邊界處部署了EW作為安全網(wǎng)關(guān)。內(nèi)網(wǎng)用戶需要通過Web服務(wù)器和POP3服務(wù)器下載文件和郵件，內(nèi)網(wǎng)FTP服務(wù)器需要接收外網(wǎng)用戶上傳的文件。公司利用EW提供的反病毒功能阻止病毒文件在這些過程中進(jìn)入受保護(hù)網(wǎng)絡(luò)，保障內(nèi)網(wǎng)用戶和服務(wù)器的安全。
????????其中，由于公司使用Ctdisk網(wǎng)盤作為工作郵箱，為了保證工作郵件的正常收發(fā)，需要放行Ctdisk網(wǎng)盤的所有郵件。另外，內(nèi)網(wǎng)用戶在通過Web服務(wù)器下載某重要軟件時(shí)失敗，排查發(fā)現(xiàn)該軟件因被EW判定為病毒而被阻斷（病毒ID為16424404)，考慮到該軟件的重要性和對(duì)該軟件來(lái)源的信任，管理員決定臨時(shí)放行該類病毒文件，以使用戶可以成功下載該軟件。
1.新建防病毒配置文件
兩個(gè)配置文件，一個(gè)滿足內(nèi)網(wǎng)用戶需要通過Web服務(wù)器和POP3服務(wù)器下載文件和郵件，一個(gè)滿足內(nèi)網(wǎng)FTP服務(wù)器接收外網(wǎng)用戶上傳的文件。
?
2.在安全策略里使用 反病毒配置文件
3.大功告成
總結(jié)
以上是生活随笔為你收集整理的什么是计算机病毒，看这里的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 计算机应届毕业生必须要培训吗？
- 下一篇： 权限管理中的RBAC与ABAC