本帖最后由 SANGFOR_1037 于 2017-9-10 17:38 编辑
标准化排查——僵尸网络 一、问题现象 1、安全状态提示有僵尸主机 2、查杀僵尸网络病毒 3、没有僵尸网络日志
二、问题场景/模块排查思维导图
三、排查步骤 1. 确认基本配置: a) 僵尸网络规则库是否最新版本 b) 僵尸网络策略是否记录日志,区域和IP是否配置正确 c) 确认全局排除是否关联需要防护的IP地址 2. 收集日志:截图或导出相关的僵尸网络日志提供给处理工程师 3. 基本病毒查杀: a) 使用NGAF反僵尸网络软件进行查杀 b) 使用第三方查杀工具进行查杀 d) 注意事项:删除文件之前需备份 4. 排除代理: a) 僵尸网络配置-高级配置-排除域名或IP,对代理设备地址进行排除 5. 开启恶意域名重定向: a) 僵尸网络配置-高级配置-启用恶意域名重定向 6. 收集环境信息: a) 网络拓扑信息 b) 目前受到影响的业务系统信息 7. 僵尸网络策略验证:
转400处理包含的信息 版本: 现象确认: 排错步骤: 1、确认基本配置(是/否/没有检查) 2、基本病毒查杀(是/否/没有测试) 3、业务类型: 4、排除代理(是/否/没有测试) 5、开启恶意域名重定向(是/否/没有测试)
PS:服务我们只提供标准、专业的,
此贴专人维护,有建议欢迎回复,谢谢! |