僵尸网络威胁、防御技巧及解决方案

核心提示： 被动的操作系统指纹识别可以确认源自僵尸网络的攻击，网络管理员可以配置防火墙设备，僵尸网络威胁、防御技巧及解决方案(3)，使用被动的操作系统指纹识别所获得的信息，对僵尸网络采取行动，并对其作出响应，如大型的僵尸网络在检测到自己正在被分析研究时，最佳的防御措施是利用安装有专用硬件的入侵防御系统

被动的操作系统指纹识别可以确认源自僵尸网络的攻击，网络管理员可以配置防火墙设备，使用被动的操作系统指纹识别所获得的信息，对僵尸网络采取行动。最佳的防御措施是利用安装有专用硬件的入侵防御系统。

一些僵尸网络使用免费的DNS托管服务将一个子域指向一个窝藏“肉鸡”的IRC服务器。虽然这些免费的DNS服务自身并不发动攻击，但却提供了参考点。清除这些服务可以破坏整个僵尸网络。近来，有些公司想方设法清除这些域的子域。僵尸社团将这种路由称之为“空路由”，因为DNS托管服务通常将攻击性的子域重新定向到一个不可访问的IP地址上。

前述的僵尸服务器结构有着固有的漏洞和问题。例如，如果发现了一个拥有僵尸网络通道的服务器，也会暴露其它的所有服务器和其它僵尸。如果一个僵尸网络服务器缺乏冗余性，断开服务器将导致整个僵尸网络崩溃。然而，IRC服务器软件包括了一些掩饰其它服务器和僵尸的特性，所以发现一个通道未必会导致僵尸网络的消亡。

基于主机的技术使用启发式手段来确认绕过传统的反病毒机制的僵尸行为。而基于网络的方法逐渐使用上述技术来关闭僵尸网络赖以生存的服务器，如“空路由”的DNS项目，或者完全关闭IRC服务器。

但是，新一代的僵尸网络几乎完全都是P2P的，将命令和控制嵌入到僵尸网络中，通过动态更新和变化，僵尸网络可以避免单个点的失效问题。间谍软件可以将所有可疑的口令用一种公钥“硬编码”到僵尸软件中。只能通过僵尸控制者所掌握的私钥，才能读取僵尸网络所捕获的数据。

必须指出，新一代僵尸网络能够检测可以分析其工作方式的企图，并对其作出响应。如大型的僵尸网络在检测到自己正在被分析研究时，甚至可以将研究者从网络中断开。所以单位需要专业的僵尸网络解决