云系统僵尸主机测试及防护手段

2017.141 背景因为云计算平台提供弹性计算、 弹性储存、 云网络等基础设施产品， 以及、 应用服务与中间件、 计算与探讨等系统服务产品， 具有灵活便捷、 低成本等优势而迅速发展， 同时也遭遇各种安全难题： 云主机沦为肉鸡、 网络迅速、 服务不可用、 遭受勒索工具勒索等。 随着黑客技术有朝着大众化方向演进的态势， 能够把握攻击对方系统技术的人越来越多， 如果主机平台或应用上存在漏洞或调试了有问题的应用程序， 被借助入侵后， 主机可能还会沦为肉鸡， 被黑客任意操纵。 当控制者和肉鸡之间所产生的一个可一对多控制的分布式网络， 又称为僵尸网络。针对肉鸡或僵尸网络事件， 其涵盖的方面很广， 包括网络安全、 系统安全、 应用安全、 安全观念等等。 而安全遵循着弊端原理， 只要有一个方面被突破了， 就也许导致被侵入或植入木马。 所以借助分析肉鸡或僵尸网络构建的理由， 在每位环节使用相应的安全检查方法和防止机制， 才能提高安全事故出现的几率， 提高云系统的整理信息安全防护水平。2 成因2.1 外部入侵通过运用平台或应用层面的脆弱性， 如弱口令、 系统漏洞、 应用漏洞， 黑客一般使用一些已知的漏洞对互联网发起的探测和防御， 对存在脆弱性的系统进行袭击， 当攻击者成功获得到平台权限时， 即可任意操控， 其中包含上传后门程序或病毒木马。

2.2 感染病毒针对主机用户而言， 感染上 “僵尸病毒” 有很多种途径， 不安全的网站连接 （网页挂马）、 下载并调试了有问题的硬件应用、 邮件附件、 ftp 下载、 U 盘传播等等， 一旦这样有毒的硬件处于到主机， 远端攻击者就可以发号施令， 对主机进行操控。3 安全事故闭环管理闭环管理是综合闭环系统、 管理的封闭原理、 管理控制、 信息系统等原理产生的一种， 对于安全事件也适用这种一套管理方法。 从信息系统安全攻防的视角来预测， 安全事件的闭环管理可分为 3 个阶段， 事前 （漏洞管理）、 事中 （态势、 入侵高级预测、 攻击链）、 事后 （日志审计）。事前阶段： 安全事件通常是鉴于自身平台脆弱性导致的内部威胁， 这种脆弱性包括计算机平台已存在的安全漏洞、 弱口令、 不安全配置之类。事中阶段： 当恶意攻击者利用系统脆弱性发起攻击时， 会精心设计和构造恶意代码和词语， 最终超过入侵系统的目的。事后阶段： 当安全事故出现后， 其体现包括系统被控制、 感染细菌木马、 数据窃取、 拒绝服务等。4 检测及防护策略对于肉鸡或僵尸主机， 从感染的方法和过程上探讨， 检测隔离方式大概可以分为事前检测及防治 （感染病毒前）， 事中防御 （发生袭击或接收到病毒）， 事后溯源 （已感染病毒） 3 个阶段。

4.1 事前检测及防止4.1.1 关闭不必要端口计算机要与外界进行通信， 必须借助一些端口。 黑作者简介： 谢肇开 （ 1989- ）， 男， 本科， 高级安全工程师， 研究方向： 安全检测、 安全咨询、 安全体系等。收稿日期：2017-04-03云系统僵尸主机测试及防护方法谢肇开，张贺勋，吴泽江，周才奋，张志伟（北京天融信网络安全技术，北京 510630）摘 要： 僵尸主机，又称肉鸡，是指可以被远程攻击者或者黑客远程利用的机器，通常被用作 DDos 攻击。由于公有云平台提供的虚拟主机服务，具有敏捷、方便、成本低等推进特点，用户通常忽视了其安全性，所以很容易沦为僵尸主机的重灾区。有效地看到、检测和攻击僵尸主机，对于提高云计算系统安全性成为迫在眉睫的安全难题。关键词： 云系统；僵尸主机；僵尸网络；肉鸡612017.14客想要顺利入侵控制某台电脑， 肯定是借助这些端口进行伤害的。 假如， 开放的这些端口对应的应用程序存在安全漏洞， 黑客攻击的成功率将会大大增加。 所以， 关闭服务器的不必要端口将会为黑客的防御提高难度， 降低伤害失败的机率， 提升安全防护的整体水准。如果这些端口的关掉可能会影响服务器的正常使用， 可以借助服务器自带的防火墙进行访问控制规则设定， 只把端口开放给需要访问的 IP ， 此时黑客将很难利用此端口进行攻击。

另外当主机被植入僵尸病毒， 也有也许进入这些端口以供黑客进行远程连接和控制， 所以必须定期排查和关闭可疑或不必要端口。4.1.2 卸载不必要程序为了便于远程管理， 服务器会调试远程管理的硬件， 如： Pcanywhere 、 Radmin 、 VNC 等，但远程管控软件在便利远程管理的同时如何获得僵尸主机的方法， 也给他们带给了很大的安全隐患。 因为这些远程管控的硬件存在安全漏洞， 如超强的远程管理工具 DameWare NT Utilitie ， 它的工具包中的 DameWare Mini Remote Control 某些版本也存在着缓冲区溢出漏洞， 黑客可以借助这个漏洞在平台上执行任意命令。所以， 对于非必要工具， 需要尽快卸载， 对于必要工具的安装， 同种类中尽量选用权威性高、 版本最新的进行下载调试， 保证平台的安全。4.1.3 定期安全检测及加固黑客成功侵入， 一般是运用了这些安全漏洞， 所以需要定期对服务器做安全检查， 如： 端口扫描、 弱口令检测、 合规配置检查、 系统漏洞扫描、 Web 漏洞扫描、渗透检测等。 安全自检能迅速看到服务器当前存在的安全难题， 安全是一个动态的安全， 系统的安全并不是一成不变的， 所以要定期进行安全检查， 及时清除存在的安全难题， 及时加装系统和工具的补丁升级， 保障平台的动态安全。

4.2 事中防御4.2.1 入侵监测防护设施入侵测试 / 防护平台是指对计算机系统或网络进行即时监控， 一旦看到异常状况后进行故障或抑制。 一般入侵监测平台支持测试的入侵行为有缓冲区溢出、 SQL注入、 暴力破解、 DoS 攻击、 扫描侦测等， 因此可对内部借助平台脆弱性， 包括弱口令、 系统漏洞、 Web 漏洞的攻击行为进行检测。4.2.2 下一代防火墙下一代防火墙， 是可以全面抵御应用层威胁的高性能防火墙。 通过深入洞察网络流量中的客户、 应用和内容， 并通过全新的高性能单模式异构并行处理引擎，NGFW 能够提供有效的应用层一体化安全隔离。 其中应用层防护支持入侵防护、 URL 过滤、 防病毒、 内容过滤等安全组件， 对数据包进行 7 层解码和探讨， 在网络边界即可看到病毒木马等恶意程序。4.2.3Web 应用防火墙 WAFWeb 应用防火墙是借助执行一系列 针 对 HTTP/HTTPS 的安全思路来专门为 Web 应用提供保护的一种安全防护科技方法。 WAF 能对 Web 常见的漏洞进行防护， 如对于 SQL 注入、 XSS 跨站、 Webshell 上传、 后门防护保护、 命令注入、 非法 HTTP 协议请求、 常见 Web服务器漏洞防御、 核心文件非授权访问、 路径穿越、 扫描防护等提供安全防护。

对于有 Web 服务的平台，WAF 能对于不同网站修改不同的规则策略， 大大提升了平台安全防护水平。4.2.4 防恶意代码工具或安全 Agent服务器安全是平台的最后一道防线， 要完善纵深攻击模式， 服务器安全是必不可少的一环， 服务器安借助安装在服务器上的组件和云端防护中心的联动， 精准捕捉服务器上各类安全事件， 对入侵和异常行为进行即时监视告警与拦截， 是避免黑客侵入， 提升平台安全的一个重要保障。防恶意代码工具， 可进行检查、 防护， 并采取行动来终止或删除恶意软件程序， 如病毒、 木马、 蠕虫和后门， 而肉鸡往往是当主机受到入侵后被植入肉鸡木马，或直接传染到细菌引起， 所以防恶意代码工具能有效制止肉鸡事件的出现。云服务器安全 Agent ， 就是云服务器上加装的安全管控软件， 主要提供木马文件加壳、 密码防暴力破解、高危漏洞修补等安全隔离功能， 业界小型的公有云服务提供商如阿里云、 腾讯云均提供各类云服务器安全产品， 以下为两种安全 Anent 的对比。4.3 事后溯源4.3.1 网络流量恶意代码测试平台网络流量恶意代码测试平台部署在 IP 网络中， 用( 下转第 65 页 )622017.14于对网络恶意流量进行发现和测试， 能够按照预先配置的思路， 如恶意流量特性和基于云安全计算系统支撑的特点对恶意流量进行检查， 从而发现蠕虫、 木马、 僵尸网络和个别攻击的平台。

该平台不进行控制和过滤， 不对外发送任何数据报文。 对于甄别起来的木马、 僵尸网络流量， 能够形成串扰并列出受控端和控制端 IP 地址。4.3.2 抗 DDOS 防护设备DDOS （ Distributed Denial of Service ） 分布式拒绝服务攻击指借助这些 “僵尸主机” 向受害主机发送大量看似合法的网络包， 从而导致网络堵塞或服务器资源耗费而造成拒绝服务， 分布式拒绝服务攻击一旦被实施， 攻击网络包时常犹如暴雨般涌入受害主机， 从而把合法客户的网络包淹没， 导致合法客户能够正常访问服务器的网路资源， 常见的 DDOS 攻击方式有 SYN Flood 、 ACKFlood 、 UDP Flood 、 ICMP Flood 、 TCP Flood 、 Connec-tions Flood 、 Script Flood 、 Proxy Flood 等。抗 DDOS 防护设施是对于这种伤害进行攻击的产品， 当主机受到僵尸病毒感染并对外发起 DDOS 攻击时， 触发抗 DDOS 防护设施的安全策略后， 即可看到肉鸡或僵尸网络。5 结语通过事前检测及防治、 事中防御、 事后看到 3 个环节， 以安全事件闭环管理的模式，建立相应的科技方法和管控体系如何获得僵尸主机的方法， 能提升预防检查、 防御和看到僵尸主机的效果， 有效提高云系统的安全风险， 提升云计算、 云网络等资源的有效运用。

网络安全威胁无处不在， 安全漏洞类型较多， 但是安全攻击方式上似乎大同小异， 尤其是在事前的防止阶段， 建立健全的安全保障方式， 一般能防止绝大多数安全攻击， 包括科技上对平台进行定期检测、 加固、 更新、 数据备份， 管理上进行员工安全观念培训、 管理步骤建立和推进等。 再结合事中的攻击方式、 事后的溯源手段， 形成一套完整的安全事件闭环管控， 就能不断改进系统安全保障能力， 大大地降低平台和组织的风险。参考文献[1] 张冰 , 杜国琦 , 李静 . 僵尸网络科技发展新趋势分析 [J] . 电信科学， 2011 ， (02).[2] 于戈 , 于晓聪 , 董晓梅 , 秦玉海 . P2P 僵尸网络的迅速检测技术 [J] . 东北大学学报 （自然科学版），2010 ， (12).[3] JUNG J,PAXSON V,BERGER A, et al. Fast PortscanDetection Using Sequential Hypothesis Testing. Pro-ceedings of IEEE Symposium on Security and Privacy,2004.非叶子节点进行探讨， 计算出在修剪后会造成的错误率。

当看到修剪会妨碍到预期分类的错误率， 就应该按照实际状况下降修剪， 当该节点无用时就可以对其进行剪枝。 通过一些列的修剪决策树就可以进入候选中， 利用数据集对其进行检测， 根据修剪后决策树的分类对其进行评判， 这样才能提高决策树错误率的出现， 提高算法的准确性。4 结语在建立决策树的过程中， 主要的是要对逻辑和属性进行判断。 决策树主要使用在互联网中， 决策树技术才能提升筛选数据的精度， 有针对性地缓解问题。 要想提升数据挖掘中决策树的算法， 就应该对适应性、 容噪性等方面进行适度的优化。 在算法的计算上， 要学会运用数据的相关属性对其进行分门别类的筛选， 找出合适该信息的决策树。 决策树算法能够简单明了、 提高计算机的精度， 进而才能在计算机配置较低的状况下， 能够提高资源的浪费快速地生成决策树。参考文献[1] 戴艳丽 . 分析数据挖掘中决策树算法及其应用 [J] .科技传播 , 2015, 7 (23).[2] 马强 . 数据挖掘中决策树算法的改进应用研究 [J] .电子测试 , 2016 ， (8) : 30-31.[3] 李迎春 . 数据挖掘中决策树分类算法的研究 [D] .湖南师范大学 , 2015.[4] 程斐斐 , 王子牛 , 侯立铎 . 决策树算法在 Weka 平台上的数据挖掘应用 [J] . 微型电脑应用 , 2015,31 (6) : 63-65.[5] 胡新海 . 数据挖掘与决策树 J48 算法在文本分类中的应用 [J] . 甘肃高师学报 , 2015, 20 (5) : 25-29.!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!( 上接第 62 页 )65

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-129482-1.html