近日，某公司安裝部署“火絨終端安全管理系統(tǒng)1.0”（以下簡(jiǎn)稱“火絨企業(yè)版”）后，通過火絨日志發(fā)現(xiàn)大量攔截病毒記錄，向火絨求助。火絨工程師遠(yuǎn)程分析日志后發(fā)現(xiàn)，該公司服務(wù)器近期頻繁遭到黑客入侵，企圖運(yùn)行勒索病毒，但均被火絨攔截。隨后，火絨工程師在幫助用戶做全面排查過程中又發(fā)現(xiàn)了木馬病毒，經(jīng)查看該病毒入侵日期在部署“火絨企業(yè)版“之前，推測(cè)該公司在此前還曾遭遇過黑客入侵，得到用戶確認(rèn)。最終，火絨工程師指導(dǎo)該公司使用“火絨企業(yè)版”下發(fā)“全盤查殺“命令后清理了服務(wù)器中殘留的病毒，徹底解決了黑客入侵的問題。

相關(guān)病毒

某公司在“火絨企業(yè)版”中心日志中發(fā)現(xiàn)服務(wù)器上有大量攔截日志，聯(lián)系火絨工程師進(jìn)行排查。查看后發(fā)現(xiàn)，有黑客在該公司服務(wù)器中實(shí)施勒索攻擊，被火絨成功攔截。

被火絨攔截的黑客入侵時(shí)間為9月份。黑客使用的賬戶為域管理員賬戶，此賬戶密碼已經(jīng)泄露。黑客曾試圖執(zhí)行上傳到用戶服務(wù)器的滲透腳本、黑客工具、勒索病毒均被火絨文件實(shí)時(shí)監(jiān)控?cái)r截，并在中心日志中記錄。

因?yàn)橛脩羰褂没鸾q設(shè)置了管理員密碼，黑客無(wú)法退出火絨保護(hù)，更無(wú)法繞過火絨文件監(jiān)控的查殺，最終只得放棄勒索。用戶企業(yè)數(shù)據(jù)安全和業(yè)務(wù)均未受到此次攻擊影響。對(duì)于用戶已經(jīng)泄露的賬戶和密碼火絨工程師也給予了相應(yīng)的安全建議。

值得注意的是，在火絨工程師處理的多起企業(yè)被入侵事件中，因?yàn)楣芾韱T密碼泄露和被暴力破解導(dǎo)致的事件占據(jù)很大比例，可見大部分企業(yè)管理員對(duì)高權(quán)限賬戶密碼的使用存在問題。這也是該公司9月份安全事件的主要問題。

隨后火絨工程師指導(dǎo)用戶全網(wǎng)部署火絨終端，在使用“火絨企業(yè)版”進(jìn)行全盤安全檢測(cè)時(shí)發(fā)現(xiàn)服務(wù)器中存在木馬病毒，根據(jù)文件創(chuàng)建時(shí)間推斷早在5月份（未部署“火絨企業(yè)版“）就已經(jīng)有黑客成功入侵過服務(wù)器。隨后用戶確認(rèn)，該公司確實(shí)在今年5月曾遭到入侵并感染勒索病毒。

被加密的文件

殘留木馬

這些殘存的木馬病毒會(huì)通過共享在內(nèi)網(wǎng)進(jìn)行傳播，并竊取系統(tǒng)信息等數(shù)據(jù)，同時(shí)進(jìn)行弱口令爆破。最終火絨工程師指導(dǎo)該公司對(duì)所有部署火絨終端的服務(wù)器下發(fā)“全盤查殺“命令清除了殘留的木馬病毒。

如今"黑客入侵+勒索病毒"惡性攻擊事件日漸增多，主要攻擊目標(biāo)為各大政企單位，一旦攻擊成功將損失慘重。企業(yè)的安全管理員通過定期檢測(cè)，設(shè)置合理的安全軟件策略，可以很大程度上降低類似安全事故發(fā)生的概率。因此火絨工程師對(duì)已經(jīng)部署“火絨企業(yè)版”的企業(yè)有以下安全建議：

1. 在火絨中心內(nèi)對(duì)外網(wǎng)、業(yè)務(wù)等服務(wù)器單獨(dú)分組并應(yīng)用策略，以便后期進(jìn)行維護(hù)，關(guān)閉不需要的系統(tǒng)服務(wù)、默認(rèn)共享，并使用火絨"IP協(xié)議控制"功能限制高危端口；

2. 在火絨中心內(nèi)，啟用"管理員密碼保護(hù)"、"防止終端卸載密碼保護(hù)"，保證火絨正常運(yùn)行；

3. 使用火絨"漏洞修復(fù)"功能定期安裝補(bǔ)丁，保護(hù)終端不受Windows漏洞影響；

4. 員工使用移動(dòng)設(shè)備時(shí)，遵循“先查殺，后使用”的原則，避免感染通過移動(dòng)設(shè)備傳播的蠕蟲病毒；

5. Windows與服務(wù)賬戶，賬戶密碼需符合密碼安全性要求，不要存在賬戶空口令或弱口令的情況。組策略內(nèi)配置"賬戶鎖定閾值",賬戶登錄失敗次數(shù)過多時(shí)鎖定；

6. 對(duì)重要數(shù)據(jù)進(jìn)行異地備份，定期審查火絨與Windows日志，定期下發(fā)查殺任務(wù)，發(fā)現(xiàn)異常時(shí)，及時(shí)聯(lián)系安全公司，對(duì)網(wǎng)絡(luò)內(nèi)異常進(jìn)行排查。

7. “火絨企業(yè)版”用戶可以隨時(shí)聯(lián)系火絨工程師，獲取更多專業(yè)、有效的防御策略。