反病毒處理預(yù)案.doc

1、2*有限責(zé)任公司信息系統(tǒng)反病毒應(yīng)急響應(yīng)處理預(yù)案（初稿）反病毒應(yīng)急響應(yīng)處理的組織機(jī)構(gòu)為了在病毒突發(fā)事件中協(xié)調(diào)關(guān)系，明確職責(zé)，統(tǒng)一布置公司信息系統(tǒng)的反病毒應(yīng)急處理, 公司建立病毒事件應(yīng)急響應(yīng)中心。以公司信息中心為主體建立。 反公司病毒事件應(yīng)急響應(yīng)中心以公司分管領(lǐng)導(dǎo)直接領(lǐng)導(dǎo)、 病毒應(yīng)急處理的現(xiàn)場(chǎng)負(fù)責(zé)人為信息中心主管領(lǐng)導(dǎo)。病毒事件分級(jí)針對(duì)公司信息網(wǎng)絡(luò)的狀態(tài)和病毒侵襲事件的特點(diǎn)，按照以下的標(biāo)準(zhǔn)對(duì)病毒時(shí)間進(jìn)行分 級(jí)：一級(jí)病毒事件：遭到病毒嚴(yán)重攻擊， 主要設(shè)備停機(jī)或主干網(wǎng)絡(luò)堵塞，對(duì)信息系統(tǒng)的業(yè)務(wù)運(yùn)作有重大影響，持續(xù)時(shí)間超過(guò)24小時(shí)。二級(jí)病毒事件：病毒侵襲公司網(wǎng)絡(luò)系統(tǒng)，使現(xiàn)有系統(tǒng)的運(yùn)行性能或操作性能?chē)?yán)重降低,

2、 或由于網(wǎng)絡(luò)性能失?；虬踩录?yán)重影響信息網(wǎng)絡(luò)主要業(yè)務(wù)運(yùn)作，持續(xù)時(shí)間超過(guò) 時(shí)。8小時(shí)。三級(jí)病毒事件：病毒侵襲公司網(wǎng)絡(luò)系統(tǒng)并在小范圍內(nèi)發(fā)作，現(xiàn)有系統(tǒng)的操作性能受損, 但大部分系統(tǒng)業(yè)務(wù)運(yùn)作仍可正常工作，持續(xù)時(shí)間超過(guò)網(wǎng)絡(luò)安全設(shè)備、服務(wù)器、存但病毒事件對(duì)信息系統(tǒng)的業(yè)務(wù)運(yùn)三級(jí)病毒事件仍作為日常運(yùn)行維護(hù)處 二級(jí)病毒事件和一級(jí)病毒事件屬于應(yīng)急響應(yīng)處理 系統(tǒng)管理人員應(yīng)自動(dòng)轉(zhuǎn)入應(yīng)急響應(yīng)處理，同時(shí)向四級(jí)病毒事件：病毒侵襲公司網(wǎng)絡(luò)系統(tǒng)，在網(wǎng)絡(luò)交換設(shè)備、 儲(chǔ)設(shè)備等的功能或配置方面需要信息咨詢(xún)或技術(shù)支持。 作幾乎沒(méi)有影響，持續(xù)時(shí)間超過(guò)48小時(shí)。一般定義，四級(jí)病毒事件屬于日常運(yùn)行維護(hù)范疇; 理，但需要向信息中心主管領(lǐng)導(dǎo)匯

3、報(bào)； 項(xiàng)目，病毒事件從三級(jí)升級(jí)到二級(jí)時(shí)， 公司主管領(lǐng)導(dǎo)匯報(bào)。故障響應(yīng)各級(jí)病毒事件的最晚響應(yīng)時(shí)間為:響應(yīng)時(shí)間一級(jí)病毒事件二級(jí)病毒事件三級(jí)病毒事件四級(jí)病毒事件1小時(shí)系統(tǒng)管理人員 信息中心領(lǐng)導(dǎo)系統(tǒng)管理人員2小時(shí)分管副總經(jīng)理信息中心領(lǐng)導(dǎo)系統(tǒng)管理人員4小時(shí)技術(shù)支持專(zhuān)豕分管副總經(jīng)理技術(shù)支持專(zhuān)豕信息中心領(lǐng)導(dǎo)系統(tǒng)管理人 員12小時(shí)技術(shù)支持專(zhuān)豕技術(shù)支持專(zhuān)豕四 資源和環(huán)境資源準(zhǔn)備1. 防病毒軟件工具 本公司配備以下防殺毒軟件：趨勢(shì)防毒墻網(wǎng)絡(luò)版軟件（主要的網(wǎng)絡(luò)防殺毒軟件） 趨勢(shì)防毒墻服務(wù)器版軟件（主要的網(wǎng)絡(luò)防殺毒軟件） 瑞星殺毒軟件網(wǎng)絡(luò)版（備用的網(wǎng)絡(luò)防殺毒軟件） 諾頓防病毒軟件（特定設(shè)備上使用的防殺毒軟件） 金山毒

4、霸殺毒軟件（備用的單機(jī)版殺毒軟件）在信息中心機(jī)房應(yīng)保存趨勢(shì)防病毒軟件最新版本的光盤(pán)， 并確認(rèn)可以通過(guò)網(wǎng)絡(luò)迅速取得 該軟件最新版本的病毒碼。備用和特定設(shè)備的殺毒軟件光盤(pán)也必須保存在信息中心機(jī)房?jī)?nèi)， 并及時(shí)進(jìn)行版本更新。2. 操作系統(tǒng)及補(bǔ)丁包a. 信息中心主機(jī)房應(yīng)常備以下操作系統(tǒng)的光盤(pán)： IBM AIX 5L for POWER V5.1SUN Solaris 2.6Windows 2000 Advanced Server 中文版Windows 2000 Server 中文版Windows 2000 Professional 中文版Windows NT Server 中文版Windows NT W

5、orkstation 中文版Windows XP 中文版Windows 98 中文版 （第二版）b. 信息中心主機(jī)房應(yīng)常備以下操作系統(tǒng)補(bǔ)丁包的光盤(pán)：Windows NT Service Pack 6Windows 2000 Service Pack 4Windows XP Service Pack3. 撥號(hào)通訊設(shè)備撥號(hào)通訊設(shè)備在公司信息網(wǎng)絡(luò)與因特網(wǎng)的連接出現(xiàn)故障， 務(wù)商得到技術(shù)服務(wù)時(shí)使用。平時(shí)應(yīng)保持其完整可用。56k 調(diào)制解調(diào)器一臺(tái) 直撥電話(huà)線(xiàn)一路 配套的連接電纜和驅(qū)動(dòng)軟件無(wú)法直接升級(jí)殺毒軟件和從服a.b.c.五 病毒事件的處理1. 更新防毒墻服務(wù)器版和防毒墻網(wǎng)絡(luò)版 通過(guò)配置服務(wù)器使之從 *

6、更新服務(wù)器下載組件來(lái)更新，下載任何可用更新之后， 服務(wù)器會(huì)基于“更新 客戶(hù)機(jī)部署”下“自動(dòng)部署”屏上指定的部署時(shí)間表來(lái)將這些更新部署到 客戶(hù)機(jī)。一般情況下， * 每天（有時(shí)是幾個(gè)小時(shí)）都會(huì)更新組件。 發(fā)生任何級(jí)別的病毒事件，都必須首先檢查并更新防毒墻服務(wù)器版和防毒墻網(wǎng)絡(luò)版。a. 更新防毒墻服務(wù)器版信息服務(wù)器（1）更新組件 防毒墻服務(wù)器版的更新組件包括：程序組件病毒碼文件掃描引擎(2) 使用立即下載更新信息服務(wù)器1) 單 擊邊欄上的“更新 更新”或單擊主菜單上的“執(zhí)行 更新”。2) 單 擊“更新”主窗口上的“立即下載” 。將出現(xiàn)顯示到更新完成為止所剩時(shí)間 的進(jìn)度條。單擊邊欄上的“更新 更新”或單

7、擊主菜單上的“執(zhí)行更新”。在“下載”下，單擊配置。出現(xiàn)“下載選項(xiàng)”窗口。 單擊“預(yù)設(shè)設(shè)置”選項(xiàng)卡。輸入或選擇下載頻率、時(shí)間。 選擇“重試”復(fù)選框以指示在初始下載操作不成功時(shí)嘗試重新連接下載服務(wù) 器，并輸入或選擇次數(shù)與每個(gè)重試之間的延遲。(3) 配置信息服務(wù)器預(yù)設(shè)下載1)2)3)4)5)6) 單擊“確定” 。下載的文件將保存在信息服務(wù)器的以下目錄中： trendsprotectspntshareb. 更新防毒墻網(wǎng)絡(luò)版服務(wù)器防毒墻網(wǎng)絡(luò)版提供下列更新服務(wù)器的方法：?jiǎn)螕暨厵谏系摹案?服務(wù)器更新 自動(dòng)更新”。顯示自動(dòng)更新屏。 選中“啟用防毒墻網(wǎng)絡(luò)版服務(wù)器的預(yù)設(shè)更新”復(fù)選框。 在“組件”框中，選擇要更新

8、的組件。 在“更新時(shí)間表”下，指定執(zhí)行預(yù)設(shè)更新的時(shí)間表。 在“更新源”下面，選擇要從中下載更新的位置。 如要使服務(wù)器在更新嘗試失敗后繼續(xù)重試，應(yīng)選中“程序更新重試”下面的 更新嘗試失敗后繼續(xù)重試”復(fù)選框。選擇“重試次數(shù)”和“時(shí)間間隔” 單擊“保存” 。(1) 基于時(shí)間表更新服務(wù)器1)2)3)4)5)6) 7)(2) 手動(dòng)更新服務(wù)器1) 單擊邊欄上的“更新 服務(wù)器更新 手動(dòng)更新”。顯示手動(dòng)更新屏，顯示當(dāng)前 組件、版本號(hào)以及上次更新的日期等。2) 在“更新源”下面，選擇從更新服務(wù)器接受更新還是從其他更新源接受更新 并鍵入源 URL 。3) 單擊“更新”。服務(wù)器會(huì)檢查 * 更新服務(wù)器上有無(wú)更新的組件

9、。 如果有可用 更新，則會(huì)顯示在“ * 可用的更新”屏中，包括組件名稱(chēng)和版本號(hào)。4) 選中要更新的組件的復(fù)選框。5) 單擊“更新” 。服務(wù)器會(huì)下載更新的組件。c. 更新標(biāo)準(zhǔn)服務(wù)器(1) 預(yù)設(shè)部署默認(rèn)情況下， 防毒墻服務(wù)器版會(huì)在安裝標(biāo)準(zhǔn)服務(wù)器的時(shí)候自動(dòng)創(chuàng)建三項(xiàng)默認(rèn)任務(wù)： 掃描、 統(tǒng)計(jì)和部署，當(dāng)下載更新后，會(huì)自動(dòng)向標(biāo)準(zhǔn)服務(wù)器分發(fā)最新更新。手動(dòng)創(chuàng)建任務(wù)的操作步 驟：1)2)在域?yàn)g覽樹(shù)上選擇信息服務(wù)器、域或標(biāo)準(zhǔn)服務(wù)器。單擊主菜單上的“執(zhí)行 新建任務(wù)”或單擊邊欄上的“任務(wù) 新建任務(wù)。 單擊“創(chuàng)建” 。3)34)5)6)7)8)9)(2) 立即部署。 當(dāng)發(fā)現(xiàn)全部或部分標(biāo)準(zhǔn)服務(wù)器未得到及時(shí)更新， 保存在信息

10、服務(wù)器中的更新。立即部署的操作：?jiǎn)螕暨厵谏系摹案?>更新”或從主菜單單擊“執(zhí)行 >更新”。 單擊“立即部署” 。出現(xiàn)確認(rèn)窗口。單擊“是”繼續(xù)，出現(xiàn)部署窗口。服務(wù)器 樹(shù)中將顯示每個(gè)服務(wù)器組件的當(dāng)前版本。 默認(rèn)情況下， 將選定病毒碼版本復(fù) 選框。選擇需要更新的組件的復(fù)選框。要更新標(biāo)準(zhǔn)服務(wù)器中的所有組件，可選擇服 務(wù)器復(fù)選框。單擊“部署”激活部署過(guò)程，或單擊“取消”停止。應(yīng)使用立即部署功能向標(biāo)準(zhǔn)服務(wù)器部署1)2)3)4)在創(chuàng)建新任務(wù)窗口的現(xiàn)有任務(wù)列表中選擇希望包含在此任務(wù)中的功能。 單擊“添加任務(wù)項(xiàng)“向選定任務(wù)列表添加選定的功能。選擇“創(chuàng)建為預(yù)設(shè)任 務(wù)”復(fù)選框。單擊“創(chuàng)建” 。出現(xiàn)“任

11、務(wù)向?qū)А贝翱?。單擊“下一步?。在“預(yù)設(shè)設(shè)置“中輸入或選擇頻率、日期、時(shí)間等。 單擊“下一步”繼續(xù)，為立即掃描指定目標(biāo)。掃描任務(wù)必須運(yùn)行在指定的驅(qū) 動(dòng)器上。一般應(yīng)選擇所有本地驅(qū)動(dòng)器。單擊邊欄上的“任務(wù) >現(xiàn)有任務(wù)”或單擊主菜單上的“執(zhí)行>現(xiàn)有任務(wù)” 。檢查現(xiàn)有任務(wù)列表。4d. 更新防毒墻網(wǎng)絡(luò)版客戶(hù)機(jī)(1) 使用“自動(dòng)部署”更新1) 單擊邊欄上的“更新 > 客戶(hù)機(jī)部署 > 自動(dòng)部署 ”。顯示“自動(dòng)部署”屏幕。2) 在“事件觸發(fā)部署”下，選擇部署更新的時(shí)間以及是否掃描客戶(hù)機(jī)。正常情 況下應(yīng)選擇 “防毒墻網(wǎng)絡(luò)版服務(wù)器下載完新組件后立即部署到客戶(hù)機(jī)”和“在客戶(hù)機(jī)重啟時(shí)部署到客戶(hù)

12、機(jī)上” 。(2) 使用“手動(dòng)部署”更新客戶(hù)機(jī)1) 單擊邊欄上的“更新 > 客戶(hù)機(jī)部署 > 手動(dòng)部署 ”。顯示“手動(dòng)部署”屏幕。2) 在“部署目標(biāo) “下面， 選擇更新所有組件過(guò)期的客戶(hù)機(jī)或選擇指定的客戶(hù)機(jī)。3) 選頂所有要更新的客戶(hù)機(jī)后， 單擊 “通知”。服務(wù)器應(yīng)開(kāi)始通知每個(gè)客戶(hù)機(jī)下 載更新。1)(3) 使用“立即更新”更新客戶(hù)機(jī) 右鍵單擊防毒墻網(wǎng)絡(luò)版客戶(hù)機(jī)系統(tǒng)托盤(pán)中的防毒墻網(wǎng)絡(luò)版圖標(biāo)。出現(xiàn)防毒墻 網(wǎng)絡(luò)版快捷菜單。2)3)單擊“立即更新” 。顯示“立即更新設(shè)置”屏。 系統(tǒng)未設(shè)“代理服務(wù)器” ，單擊“立即更新”即可。應(yīng)出現(xiàn)顯示組件下載進(jìn)度 的狀態(tài)屏。因此可以防止將被感染文件復(fù)2. 病毒

13、掃描 實(shí)時(shí)掃描監(jiān)控服務(wù)器上所有輸入和輸出文件的感染特征， 制到服務(wù)器或從服務(wù)器復(fù)制被感染文件。實(shí)時(shí)掃描是系統(tǒng)默認(rèn)的日常任務(wù)。立即掃描將立即檢查全部或某臺(tái)服務(wù)器是否受病毒攻擊。 在系統(tǒng)發(fā)生病毒事件或懷疑某 服務(wù)器已被感染，應(yīng)使用“立即掃描”檢查所有服務(wù)器是否處于無(wú)病毒狀態(tài)。a.在系統(tǒng)控制服務(wù)器上執(zhí)行“立即掃描”的步驟：1) 單擊域?yàn)g覽樹(shù)上的信息服務(wù)器、域或標(biāo)準(zhǔn)服務(wù)器。2) 單擊邊欄上的“立即掃描 立即掃描”或“執(zhí)行 立即掃描”。3) 在“立即掃描配置”窗口中，應(yīng)選擇“所有本地驅(qū)動(dòng)器”、“所有文件” 、“掃描 OLE 層”，設(shè)優(yōu)先級(jí)為“高” 。4) 單擊“立即掃描” 。b.在 Windows 標(biāo)準(zhǔn)

14、服務(wù)器上運(yùn)行立即掃描打開(kāi)標(biāo)準(zhǔn)服務(wù)器上的“資源管理器” 。 單擊安裝 ServerProtect 所在的文件夾，默認(rèn)位置是： C:Program FilesTrendSprotect 雙擊 ScanNow.EXE 。將執(zhí)行立即掃描。 可使用如下所示的帶停止開(kāi)關(guān)參數(shù)的命令停止立即掃描：1)2)3)4)5)ScanNow.EXE /STOPc.網(wǎng)絡(luò)客戶(hù)機(jī)的立即掃描1)2)3)4)單擊邊欄上的“客戶(hù)機(jī)” 。顯示客戶(hù)機(jī)的域樹(shù)屏幕。 單擊域樹(shù)中響應(yīng)的圖標(biāo)選擇要運(yùn)行“立即運(yùn)行”的域或客戶(hù)機(jī)。要選擇所有的 域和客戶(hù)機(jī)，應(yīng)單擊根圖標(biāo)。單擊邊欄上的“立即掃描” 。出現(xiàn)“立即掃描”屏幕，顯示選擇的客戶(hù)機(jī)或域。 在計(jì)

15、算機(jī)下，選擇要運(yùn)行“立即掃描”的客戶(hù)機(jī)，然后單擊“啟動(dòng)通知” 務(wù)器將向客戶(hù)機(jī)發(fā)送一個(gè)運(yùn)行“立即掃描”的請(qǐng)求。服3.趨勢(shì)防毒墻網(wǎng)絡(luò)版提供了控制網(wǎng)絡(luò)病毒爆發(fā)的幾種方法，包括監(jiān)控網(wǎng)絡(luò)上的可疑活動(dòng)、 阻塞重要的客戶(hù)計(jì)算機(jī)端口和文件夾等?！安《颈l(fā)”控制在發(fā)生二級(jí)及以上病毒事件時(shí)使用。a. 使用“爆發(fā)阻止”(1)1)2)病毒爆發(fā)”控制3)4)5)(2)1)2)3)阻塞共享文件夾 單擊邊欄上的“爆發(fā)阻止“。顯示客戶(hù)機(jī)的域樹(shù)屏幕。 單擊域樹(shù)中的圖標(biāo)以選擇想要啟用 “爆發(fā)阻止 “的域或客戶(hù)機(jī)。 要選擇所有的 域和客戶(hù)機(jī)，應(yīng)單擊根圖標(biāo)。單擊邊欄上的“立即部署” 。顯示“爆發(fā)阻止設(shè)置”屏幕。 在“爆發(fā)阻止設(shè)置”下

16、，選擇“共享文件夾阻塞” 。單擊“激活設(shè)置” ，啟用選定域或客戶(hù)機(jī)上的“爆發(fā)阻止” 。顯示當(dāng)前的爆發(fā)阻 止設(shè)置。阻塞端口 單擊邊欄上的“爆發(fā)阻止“。顯示客戶(hù)機(jī)的域樹(shù)屏幕。 單擊域樹(shù)中的圖標(biāo)以選擇想要啟用 “爆發(fā)阻止 “的域或客戶(hù)機(jī)。 要選擇所有的 域和客戶(hù)機(jī)，應(yīng)單擊根圖標(biāo)。單擊邊欄上的“立即部署” 。顯示“爆發(fā)阻止設(shè)置”屏幕。54)5)30”。在“爆發(fā)阻止設(shè)置”下，選擇“阻塞端口”復(fù)選框。配置端口阻塞設(shè)置， 指定需阻塞的端口。 該特定端口應(yīng)根據(jù)病毒事件中特定的 病毒侵襲行為確定，一般為已知的受病毒攻擊的端口。病毒爆發(fā)監(jiān)控(3) 病毒爆發(fā)監(jiān)控功能以監(jiān)控網(wǎng)絡(luò)上的并發(fā)會(huì)話(huà)數(shù)量來(lái)檢測(cè)病毒。 定數(shù)值的情

17、況，防毒墻網(wǎng)絡(luò)版服務(wù)器會(huì)發(fā)送警報(bào)記錄。配置“病毒爆發(fā)監(jiān)控”1) 單擊邊欄上的“病毒爆發(fā)監(jiān)控” 。顯示“病毒爆發(fā)監(jiān)控”屏幕。2) 選中“啟用病毒爆發(fā)監(jiān)控”復(fù)選框，一般情況下，網(wǎng)絡(luò)會(huì)話(huà)數(shù)應(yīng)輸入“3) 單擊“保存” 。 查看“病毒爆發(fā)記錄” 1) 2)a.b.3)當(dāng)出現(xiàn)并發(fā)會(huì)話(huà)數(shù)超過(guò)指單擊邊欄上的“病毒爆發(fā)監(jiān)控” 。顯示“病毒爆發(fā)監(jiān)控”屏幕。 在“當(dāng)前狀態(tài)”下單擊顯示“記錄的網(wǎng)絡(luò)會(huì)話(huà)數(shù)”鏈接。顯示“病毒爆發(fā)監(jiān)控 記錄”屏幕。將日志保存為逗號(hào)分隔(CSV )數(shù)據(jù)文件，單擊“導(dǎo)出為 CSV格式”。顯示 個(gè)確認(rèn)屏幕。該導(dǎo)出的數(shù)據(jù)文件可用 Excel 查看。病毒爆發(fā)”控制失效后的處理4. 當(dāng)發(fā)現(xiàn)“病毒爆發(fā)”控制失效，病毒侵襲加劇時(shí)，一般說(shuō)明信息系統(tǒng)網(wǎng)絡(luò)已經(jīng)遭遇趨 勢(shì)防毒墻無(wú)法識(shí)別或無(wú)法清除的病毒侵襲。此時(shí)，可按以下步驟進(jìn)行處理：(1) 聯(lián)系 * 公司， 要求提供技術(shù)支持， 該技術(shù)支持一般采用電話(huà)服務(wù)和電子郵件的方 式。(2) 設(shè)法查找病毒來(lái)源，切斷病毒傳播途徑。1) 趨勢(shì)防病毒墻網(wǎng)絡(luò)版：從“最近病毒事件> 最新感染源 >前十個(gè)感染源”中得到感染源機(jī)器的機(jī)器名和 IP 地址，盡快地定位機(jī)器，并關(guān)閉之。2) 檢查入侵檢測(cè)系統(tǒng)的日志記錄， 查找可疑的機(jī)器或 IP 地址， 如發(fā)現(xiàn)異?；顒?dòng)， 應(yīng)在邊界路由器上進(jìn)行攔截配置。(3) 必要