标题最近病毒有点多

最近病毒有点多 李玮 向农 刘源 遭遇红色代码病毒的人们惊魂未定,Nimda(尼姆达)病毒就又开始肆虐。还记得1999年4月26日CIH病毒曾使成千上万台计算机瘫痪,让人们谈毒色变,但与上述两种病毒相比,CIH其实只是小巫见大巫。尤其是Nimda,一夜之间就从美国传染到亚洲,而后欧洲企业也立即受到全面感染,很多企业的网络都因此中断,其破坏力之大、波及面之广,让很多人刻骨铭心。 魔高一丈 病毒的发展堪称日新月异,甚至可以说极具想像力,常令防毒厂商防不胜防。早期的病毒都是附着在文件上,通过软盘、光盘等介质进行传播,但是随着互联网的发展,这种基于文件传播感染的传统型病毒越来越少。目前我们看到的绝大多数病毒都是以蠕虫的方式自动在网络上繁衍,其传播形式主要有三类。 1、数量最多的是通过E-mail散布的病毒,如曾经名噪一时的爱虫、梅丽莎等。它们大多以具有吸引力的主题引诱人点击附件从而感染,但现在已出现了即使不点击附件,只要打开E-mail就会被感染的病毒,比较典型的如欢乐时光。 2、还有一些病毒通过文件共享的方式来传播,如Funlove,它会在局域网内部自动寻找共享,一旦找到就会往文件里面写入病毒。 3、红色代码之类的病毒则展现了病毒的一种新发展趋势,即利用计算机系统本身的漏洞,通过计算机的内存与内存之间进行传播。它的攻击对象已不仅仅限于单独的计算机、服务器,而是变为整个网络,它甚至可以查到网络操作系统的漏洞,然后将类似于特洛伊木马这样的恶意代码程序放入,瞬间使整个网络瘫痪。事实上,这种攻击方式看上去更像是黑客所为,而在此前,病毒和黑客攻击是截然分开的,但现在二者已经紧密结合起来,病毒可以不通过文件就能够传播,而黑客原本由外至内的攻击则转化为通过被感染的系统发动新的攻击和传染,同时病毒能够在被感染的系统中给黑客留下后门便于黑客攻击。 揽尽风光的“头号杀手”——Nimda之所以威力无穷,便是因为它将上述的E-mail、共享、内存三种传播途径融于一身,也就是结合了这三种病毒的特点用三种方式发动攻击。而且Nimda的破坏性非常大,计算机被感染后如果不及时清理的话,几天后系统甚至可能会无法恢复。 每次新病毒的出现都是检验各防毒厂商实力的考试,对于此次Nimda出现后他们交出的答卷,北京联科安致信息咨询有限公司的网管顾老师并不满意。“宣传得都不错,说能够彻底清除,但事实并非如此。我试过了好几种产品,国内国外的都有,当时都能杀掉,但过后都会再感染。而且有时根本就报不出病毒,有时在感染后才能报出来。我在“十一”前就断网了,专门全部杀了一次,过完节后发现还是染上了。升级、补丁我都做了,但还是不行。” 有类似顾老师感受的用户还有很多,相信Nimda让很多防病毒公司都倍感苦涩。防病毒产品的发展一直跟随着病毒的发展趋势,最初的文件传染型病毒对付起来应该说还算容易,只要装上防病毒软件,一执行查杀就万事大吉了。但对于红色代码、Nimda这样的病毒,虽然各个杀毒厂商通过努力可以把其发展的势头降下来,想彻底根除却是很困难的事情。但是Nimda的变种或类似的病毒会越来越多,在未来的一段时间内可能会成为互联网的一个灾难。 何妨多加一道门 当然并不是说面对病毒我们只能束手无策,而是说防病毒的手段必须有所突破。伴随着病毒的发展,防病毒的解决方案也经历了一个从比较原始到如今比较高级的过程。早期的病毒基本上是通过磁盘等外部存储器来侵袭PC机,所以人们采用单机版的防毒产品。随着网络技术及应用的迅猛发展,病毒更多地依赖网络传播。单机版的杀毒产品虽然可以暂时查杀客户机的病毒,但由于网络是互联互通的,只要有一台PC中毒,其他PC依旧会感染。于是,基于网络服务器的防毒产品应运而生,用户只要在服务器端安装上这些产品,流经服务器的信息就会受到检查。当上网、收发E-mail等变成商业计算必不可少的一项辅助工作时,防范来自Internet或E-mail所携带的病毒就势在必行。基于网关级的防毒产品便于1999年年底顺理成章地浮出水面,并且很快在国外兴起。 中科网威公司开发部经理肖江先生的一句顺口溜——“纯粹的杀毒没门,纯粹的防毒有招”说明了对病毒当然要杀,但最重要的是防,“亡羊补牢”在很多时候其实已经晚了,“防御为先”才是正途。而网关级的杀毒产品则能够在病毒侵入系统之前就筑起一道屏障。 但对于绝大多数中国用户来说,客户端、服务器端、邮件系统的防护已经理所当然了,而网关处的数据安全似乎无所谓。事实上,网关(目前网关的概念很混乱,此处指Internet网关)就像一个国家的国门,是内网和外网进行交互的惟一通路,一般企业都会在此处设置防火墙。但防火墙的作用主要是防止黑客入侵,拦截非授权的要求,就像我们在过海关时检查身份证一样,验证是否是合法乘客。但是光这样做,并不能保证乘客没有携带毒品及武器,所以还必须有一道专门的安全检查,即在防火墙后面再安装防毒产品。也就是说,在用防火墙阻挡非法入侵者的同时,还要检查数据包是否带毒,二者相辅相成,缺一不可。 因此在网关堵截病毒已经成为反病毒的一个非常重要的趋势。企业要构建防毒系统,就必须层层设防,从客户端到服务器再到网关进行通盘细致的策划,切断所有可能的染毒源。网关是能在第一时间判断出入数据是否带毒的关口,如果在此处就对数据流进行实时的检查,那么至少可以拦截来自外部的病毒,就可以把绝大部分病毒排斥掉,势必会大大缓解内部网抵制外来攻击的压力。 基于网关的防病毒产品其原理基本相同,就是堵住病毒的进入通道,一般都是在网关实现对SMTP、HTTP以及FTP 协议的防护。鉴于90%以上的病毒都是通过E-mail传播的,所以SMTP防护功能就成了重中之重,它会帮助用户过滤进出的E-mail;针对网页浏览时可能染毒,HTTP防护功能让用户统一设定Java与Authenticode的系统安全等级,杜绝恶性的Java与Active X程序;而FTP防护功能自动防止带毒的档案被下载,避免了文件传染。目前,有许多防病毒公司都提供这种网关级的防毒产品,如趋势科技公司、Symantec公司、NAI公司、冠群金辰软件有限公司、Nokia公司和熊猫软件有限公司等。可惜国内的公司还没有这样的产品,不过瑞星公司表示他们在观望用户的反应,如果用户欢迎的话,他们一定会推的,而且还会加入瑞星自己的特色。 早期基于网关的杀毒产品都是软件,但是对用户来说,软件有很多不尽如人意的地方。最大的问题就是实施起来困难,安装时没有几小时一般是装不完的,还要考虑网络系统所采用的操作系统平台是否适合、硬件是否符合安装要求等问题。另外,由于需要对通过网关的所有数据包都要进行实时的截留,如果数据流量很大的话,就会影响系统本身的性能,从而产生瓶颈效应。而且,一旦杀毒软件出问题,往往就会影响所依附的硬件上的其他应用。所以,很多人都希望能够将其独立出来。 在这种情况下,趋势科技率先推出了硬件产品(自称为“防毒墙”),将软件固化在一个类似于黑盒子的硬件中。其好处是显而易见的。首先,易于维护与管理。平时用户只要观察程序是否在运行即可,出了问题就直接找防病毒厂商,而不用像以前那样,先要费很大的功夫弄清楚问题是出在硬件还是软件身上,需要升级时插入厂商提供的相应光盘软件即可。其次,即插即用。用户无需另购硬件平台,也无需执行繁杂的软件设定程序,只要将它连接到现有局域网的防火墙之后,插上电源,打开开关,再进行一些很简单的设定即可使用。最后,不影响系统数据流量。与软件相比,它对病毒的检查几乎不会对系统数据流通产生时延。看来,硬件产品对于用户来说简单明了,而且安装简单、操作方便,尤其适合缺乏专业人才的企业。以前的防火墙都是软件防火墙,而现在硬件防火墙已成为大势所趋,就是这个原因。但是对于防毒厂商来说,显然增加了日后的维护工作,这种沉重的负担也许会制约其进一步的发展。 NAI公司也有类似的硬件产品,除此之外, Nokia的Webshield和联想网御2000防火墙中也有这样的硬件模块。其中,Webshield的防毒功能主要是基于NAI的McAfee技术,网御2000的防毒功能主要基于趋势科技的InterScan技术。据了解,防毒墙主要适用于网络架构完整、系统建设规范、对内设防火墙与邮件服务器和路由器等产品、对外可接入Internet的中型企业。大型企业则一般采用量体定制的办法设计防毒措施。而对于网络环境不够健全的小型企业,防毒墙并不合适,而且价格也难以承受。 当然,在网关处防毒可以起到相当的作用,但是绝对不可以因此忽视其他部分的防毒工作,客户端、服务器端、网关,每个地方都要防毒,而且每个地方都同等重要,要知道病毒是无孔不入、无处不在的。其实这只是提供了又一个对付病毒的方法,只能起到一部分作用,只是防病毒整体解决方案的一部分。 寻找攻不破的盾 对于基于网关的防病毒产品,用户又是如何看待的呢?顾老师表示没有考虑过,这其中当然有价格的因素,但主要还是觉得防毒的关键不在于多建立几个盾牌,而是这个盾牌本身坚固与否,如果一戳就破的话,那建立多少个也没用。这种看法同熊猫软件中国有限公司北方区总经理管芹漓先生的观点不谋而合,他指出,拿什么防病毒并不重要,关键是要防住、防好,该进来的就进来,不该进来的绝对不能进来。 事实上,在网关处防毒也只是一个辅助性的解决办法,它只能对付一部分病毒,不是说有了防毒墙就可以高枕无忧。冠群金辰公司售前技术经理李军先生就指出,对待Nimda、红色代码、蓝色代码这种病毒,单纯依靠网关型的防病毒产品其实是很难有效防御的。因为这些病毒结合了黑客的手段,会寻找操作系统的漏洞,不使用Microsoft的补丁程序是不可能防住的。 那么该如何塑造攻不破的盾呢?病毒发展到今天,对于防病毒厂商来说也是一个新的挑战。像Nimda这些病毒的发展实际上已经超出了传统的防病毒的范畴,作为防毒厂商,依靠自身单一的防病毒产品已经几乎很难彻底地为用户根除类似Nimda这样的病毒了。 首先,作为一个防病毒的厂商,不能简简单单只做单机版,也绝不能只重视客户端或是服务器端,要客户端、服务器端以及网关通盘考虑,必须提供一个全面的解决方案。其次,基于原有的那些防病毒的技术和概念的解决方肯定是不行的,由于当前病毒的复杂性,防毒已经从单纯的病毒层面上升到整体网络安全的高度,因此有必要采用防火墙、入侵检测、VPN、加密认证等安全技术“层层设防”,并“防杀阻相结合”。单纯的只防毒不防黑的防毒技术将不再适应市场与用户的需要。也就是说,提供反病毒产品的厂商更应该具有信息安全综合解决的能力,而不再仅仅是病毒的查杀,以后的防病毒也不再是某个产品的概念,而是一个整体的解决方案。 企业防毒要义 守好网关。如果把绝大多数病毒挡在局域网外面,就会减少很多清毒的工作。 集中管理。一定要整体采用中央控制的方式管理所有的平台、所有的服务器。 讲求服务。所选择的防毒公司必须要真正能够提供很好的服务。 重在预防。如果预防工作做不好的话,再怎么清毒都没用,清完了还会再来。 ——趋势科技公司 大中国区业务发展总监周颂君先生 反病毒是信息安全中一个重要的分支,但由于病毒同黑客的结合,单纯讲反病毒这个市场是不成立的。 ——Symantec公司 市场部经理吴光霖先生 选择防毒厂商的标准 1. 对操作系统主流平台的支持; 2. 病毒代码更新的速度; 3. 能否做好本地化的服务。 ——熊猫软件中国有限公司北方区总经理管芹漓先生 第二十期: 先睹为快