11、网络间谍软件威胁：僵尸网络的检测与应对

网络间谍软件威胁：僵尸网络的检测与应对

1. 网络威胁防护基础

在网络安全领域，防范网络间谍软件相关的犯罪、经济间谍活动至关重要。电子邮件过滤服务提供商，如MailFrontier和MessageLabs，提供启发式过滤功能，通过分析电子邮件的各种钓鱼攻击特征，判断该邮件是否为钓鱼攻击或垃圾邮件，并给出相应的置信百分比。而像Websense这样的网络过滤产品和服务，则通过阻止访问已知的钓鱼网站或具有钓鱼特征的网站，来保护企业网络安全。

2. 僵尸网络检测概述

僵尸网络在受感染主机上往往难以检测。不过，波特兰州立大学的Jim Binkley教授和网络安全工程师对名为Ourmon的工具进行了改进，利用网络流量分析来检测僵尸网络的存在，目前也有其他类似工具陆续出现。

3. 主机上僵尸程序的检测

• 预防措施
  • 预防是抵御僵尸网络的最佳策略。佐治亚理工学院的Kapil Kumar Singh指出，80%的僵尸客户端是未打补丁的Windows机器。因此，要确保系统补丁、杀毒软件及其数据文件保持最新状态。
  • 关闭已启用但未使用的服务。
  • 使用Sysinternals的Autoruns（www.sysinternals.com）检查系统启动时执行的程序。
  • 在企业防火墙中，仅允许已知需要的端口通过。尤其要确保不允许IRC程序和IRC端口，若无法完全禁止，可使用能识别IRC流量的入侵检测或预防工具，全面阻止IRC流量。
• 检测困