English日本語
随着虚拟货币的疯狂炒作，虚拟货币价格一路飙升，基于区块链技术的网络挖矿行为成为当下最为热门的话题之一。因此越来越多的黑客瞄准了虚拟货币市场，通过流传病毒法式熏染他人主机实施网络挖矿活动，获取虚拟货币，已成为黑客提倡网络攻击的主要目的之一。
去年盛夏，某用户被黑客利用信息系统漏洞，上传了僵尸病毒法式，并通过该法式流传和熏染了网络环境中其他业务主机，形成了一个庞大的僵尸网络进行网络挖矿。
事情发后，系统管理员接到了网络慢和业务系统加载慢的告警信息，随即检察网络流量分析设备和入侵检测告警设备，发现系统中存在大量的网络攻击告警事件和异常流量告警事件。在对告警日志进行关联分析后发现，该告警日志大多来自网络中某五台主机。
随机登陆其中一台业务主机后发现，主机CPU利用率到达了100%，内存利用率也明显偏高，通过对业务主机的历史进程进行匹配和检察，发现主机进程中存在多个异常进程。
使用病毒专杀工具强制停用系统进程后，主机CPU及内存利用率明细下降，网络流量分析设备和入侵检测告警设备关于该主机的告警日志也明显减少。通过检察进程位置，利用专杀工具删除了进程法式。以此方式操作，删除了其他四台主机的异常法式。法式删除完成后，设备告警日志减少，业务系统访问速度和网络速度恢复正常。
检察入侵检测设备历史告警记录发现，在1个小时前网络中存在大量的网络扫描告警；检察问题主机系统告警日志发现，40分钟前存在大量的登录认证失败告警；检察主机事故主机服务开启信息和端口开启信息发现，系统开启有3389、445、139、137等端口；检察出口防火墙设备宁静计谋信息发现，防火墙对事故主机开放了地址映射和端口映射计谋，并对外开放了访问权限，外部人员可以直接通过互联网侧进入到该主机。
随即关闭事故主机的远程桌面服务，取消出口防火墙映射计谋和开放的访问控制规则。
通过对异常法式的逆向分析发现，该法式为网络僵尸法式，法式存在一定的复制性和熏染性，法式内还嵌套有网络挖矿法式。通过熏染大量熏染主机形成僵尸网络，实现网络挖矿。
通过对告警日志的关联分析，回溯了该黑客的攻击手法，具体攻击要领如下所示：
一、通过扫描器扫描网络中可能存在宁静漏洞的主机（扫描告警日志），如是否存在可利用的系统漏洞，是否开放了远程连接服务等。本次被熏染主机对公网开放了远程连接服务（防火墙宁静计谋设置了该IP地址和服务映射）。
二、使用暴力破解工具对开放了远程连接服务的主机进行口令暴力破解（主机系统存在的大量用户登陆认证失败告警信息）。
三、使用破解的用户名和密码远程连接了该主机，上传僵尸法式和挖矿法式。
四、利用法式的可复制性和熏染性，熏染网络中的其他主机，形成庞大的僵尸网络系统，实施网络挖矿。
五、通过时间设定，隐藏挖矿法式和僵尸法式，以免被发现（通过病毒法式解析发现，法式设定启动时间为凌晨1点到凌晨7点，其他时间段为休眠状态）。
事后总结分析发现，该事故发生的原因主要有以下几点：
一、业务系统管理员缺乏须要的宁静意识。为方便对业务系统进行调整，对互联网开放了不宁静协议和不宁静端口。而且为了方便记忆设置了宁静指数较低的系统口令。
二、因缺乏有效的宁静检测手段，未定期对网络宁静漏洞进行检测和修复，导致黑客利用系统漏洞大量攻击网络中其他服务器。
三、缺乏主动的宁静防护手段。网络中虽然部署了流量监测设备、入侵检测设备及其他网络宁静界限防护设备，但未形成有效关联分析、告警、响应和处置机制，对宁静事件的防护处于相对被动的局面。
通过上述网络宁静事件不难发现，传统依靠单一产物或单一宁静服务项目已无法解决现有网络宁静难题，需要一个集宁静检测、告警、分析、响应、处置、宁静培训于一体的宁静运营体系来资助用户防护网络宁静，打破被动防御局面。
东森平台开启的都市级宁静运营中心运营模式，正是围绕“保障业务系统宁静”，以“解决宁静风险”为诉求，从管理、技术、制度、流程、人员等多方面进行优化及革新宁静建设，从而实现业务动态宁静的建设目标，有别于传统的解决单一或局部问题的方式和理念，它不仅要解决现有问题，还要资助客户提高宁静能力和业务抗风险能力。
经实践检验这种模式是切实有效的，截至目前，东森平台已陆续在全国20多个省市建立了宁静运营中心，助力政企客户宁静能力建设，赋能智慧都市建设。
Copyright ? 东森平台 版权所有 京ICP备05032414号 
京公网安备11010802024551号
