網(wǎng)絡病毒,特別是Web木馬現(xiàn)在已經(jīng)是過街老鼠,人人喊打?梢奧eb木馬給網(wǎng)民帶來了多么大的損害。有些甚至已經(jīng)到了談虎色變的地步。其實Web木馬并沒有大家想象中的那么可怕。只要選擇一款合適自己的防木馬工具,就可以將Web木馬擋在門外。在這篇文章中,筆者就給大家介紹一下如何介紹如何選擇Web木馬防護工具。
標準一:對Zip壓縮包的掃描能力
在Web木馬傳播中,ZIP壓縮包是木馬比較喜歡藏匿的地方。當用戶通過Web郵件客戶端下載一個ZIP附件并打開時,有可能木馬已經(jīng)在用戶不知覺的情況下在本地運行。并伺機取感染其他用戶。為此筆者認為,在選擇Web木馬防護工具的時候,首先需要去確認一下,這個防護工具對于Zip壓縮包的掃描能力。
通常情況下,大部分Web木馬防護工具已經(jīng)具有了這個ZIP壓縮包掃描工具,但是其只能夠掃描單層的Zip壓縮包。其實用戶可能都有過這方面的經(jīng)驗。當選中ZIP壓縮包,按右鍵進行解壓后,發(fā)現(xiàn)解押出來的文件還是一個壓縮包。然后再對這個壓縮包進行解壓,得到的仍然是一個壓縮包。如此循環(huán)幾次后,最后得到的才是文件的本身。這就涉及到多層ZIP壓縮文件。當接受到這個文件的時候,需要特別當心。因為這很可能就是Web木馬的伎倆。因為現(xiàn)在很多Web防木馬工具,只具有單層ZIP壓縮包掃描工具。當對以上這種情況,具有兩層或者兩層以上的壓縮時,就對隱藏在其中的木馬無能為力了。不少木馬就是利用防護工具的這個缺陷,故意將一個文件進行多次打包,以躲過防護工具的監(jiān)測。
為此在選擇木馬防護工具時,要選擇那些可以掃描ZIP壓縮包,特別是能夠支持多層掃描的防護工具,效果會比較好。標準二:防護工具是否能夠進行內存掃描
當用戶打開某個網(wǎng)頁,如果對方網(wǎng)頁有木馬,首先這個木馬會進入到用戶主機的內存中。然后在內存中尋找可以利用的進程。如果發(fā)現(xiàn)有可疑利用的漏洞(如操作系統(tǒng)某個進程的缺陷等等)。這是一種比較傳統(tǒng)的,也是危害性比較大的木馬侵入手段。
這也就要求一款優(yōu)秀的木馬防護工具還必須具有內存掃描的能力。通過內存掃描來發(fā)現(xiàn)插入其他進程地址空間運行的最新木馬。另外需要注意的是,從內存中查殺木馬是比較危險的一項工作。因為其如果誤殺了其他系統(tǒng)可用的進程(即使這個進程正的被木馬感染了),此時就會導致主機或者所使用的系統(tǒng)死機。這也就要求我們在選擇防木馬工具的時候,同時要兼顧其穩(wěn)定性。特別是在涉及到內存中的木馬自動查殺的時候,如果有可能導致用戶系統(tǒng)死機的關鍵進程,在清除之前最好能夠像用戶發(fā)出提醒。當用戶保存了相關數(shù)據(jù)之后再進行清除。畢竟木馬雖然可恨,但是數(shù)據(jù)同樣重要。標準三:需要能夠分析未知的病毒
道高一尺,魔高一丈。通常情況下,木馬總是比防護工具先走一步。也就是說,木馬出來后(一段時間后),相應的防護工具才能夠識別并進行查殺。這就是說當木馬被發(fā)現(xiàn)之后,相當一部分數(shù)量的用戶其實已經(jīng)中了木馬。這無疑會給用戶帶來很大的損失。畢竟發(fā)生在你的身上,這個中木馬的幾率就是百分之一百。
為此在選擇木馬工具的時候,最好還要確認一下,這款防木馬工具對未知病毒的發(fā)現(xiàn)能力。如筆者推薦一款Antiy的木馬防護工具。這是一個相對來說比較專業(yè)級別的Web木馬檢測和系統(tǒng)安全工具。這款工具最重要的特點就是不僅能夠查殺已知的木馬,而且還能夠發(fā)現(xiàn)部分未知的木馬。這主要是因為這款工具有一個智能分析系統(tǒng)。能夠根據(jù)某些進程的特征與運行情況,來判斷這個進程是否是木馬或者被木馬所感染。然后會提醒用戶。不過由于其不確定性,一般系統(tǒng)不會進行自動查殺,而只是提醒用戶需要注意這個進程。當用戶認為這個進程木馬的可能性比較大時,出于安全的考慮,可以將這個進程查殺掉。這就可以最大程度避免木馬對用戶造成不必要的損害。
對于一些安全級別高的應用,如網(wǎng)上銀行等等,在選擇木馬防護工具時,就需要特別注意這一點。標準四:對程序通訊進行全面監(jiān)視
從專業(yè)的角度講,木馬的運行具有一定的規(guī)律。也就是說,一個安全專家可以通過查看程序通訊的內容,來判斷網(wǎng)頁中或者系統(tǒng)中是否有木馬。不過這需要有比較專業(yè)的技術與比較豐富的經(jīng)驗,才做的到。對于普通用戶來說,就需要借助專業(yè)的工具對程序通訊進行全面的監(jiān)視,利用工具來彌補自己在知識與經(jīng)驗上的不足,以發(fā)現(xiàn)可以進程并最終切斷木馬的通訊。木馬最基本的工作原理就是客戶端與服務器端之間的通訊。判斷服務器端或者客戶端身份合法性(如是否是自己請求的服務器或者說單個連接請求連接了多個服務器),這是判斷一個程序是否是木馬的最重要的標準之一。不過話說起來簡單,木馬程序會采取各種手段來千方百計的隱藏這種特征,以實現(xiàn)欺騙防護工具與用戶的目的。
為此在選擇防護工具的時候,最后選擇這些具有對程序通訊進行全面監(jiān)視功能的工具,并在必要的情況下切斷木馬的通訊。如果防護工具具有這個功能的話,那么具有一定專業(yè)技能的安全人員就可以借助這個工具,對進程的通信進行監(jiān)控。這可以在最早的時間之內發(fā)現(xiàn)可以的進程。其實這個標準與第三個標準有點類似。其主要作用仍然在于在第一時間內發(fā)現(xiàn)可以的進程,即未知的木馬,并進行查殺。不過筆者需要提醒的是,這往往對于操作者的專業(yè)技能要求比較高。一般來說,都是由企業(yè)的IT技術人員來完成。普通用戶可能沒有這種能力來完成這項工作。標準五:對特定文件和敏感區(qū)域的監(jiān)視
操作系統(tǒng)中不同的應用往往對于安全有不同的要求。如網(wǎng)上銀行應用,其安全級別要求就比較高。對于這些關鍵應用,在防護木馬是需要特別考慮。這就涉及到防護功能能否對特定的文件或者敏感區(qū)域進行有差別的監(jiān)視。
簡單的說,現(xiàn)在有兩個應用,分別為網(wǎng)上銀行應用和論壇BBS應用。這兩個地方都是木馬比較喜歡關注的地方。但是從安全的角度講,網(wǎng)上銀行的應用比論壇來說,安全級別要高的多。如果同時對這個兩個應用進行監(jiān)控(有時候企業(yè)所采用的應用多達幾十種),則監(jiān)控到的記錄信息會很多。此時從眾多的信息中發(fā)現(xiàn)可疑的行為,如同大海撈針,會非常的困難。但是如果在監(jiān)控時,只監(jiān)控那些關鍵的應用,那么其涉及到的范圍就會非常的小。IT安全人員對通訊進行監(jiān)控時也會更加具有針對性。