处理恶意软件的六个步骤

负责安全维护者的人员，都会尽可能做好事先防范－比方安装软件更新、进行入侵测试、以及管理权限等等。不幸的是，有时候所有的防护性措拖都无法保护你的系统免于病毒、蠕虫或其他类型恶意软件的感染。

过去我曾写过一篇关于建立安全灾害对应政策重要性的文章，里面有讲到当安全灾害发生之后，应该采取的一些步骤。然而每个安全问题的规模与目标却差异甚大。虽然有整体对应政策是绝对必要，但实际的安全灾害处理方案应该要视个别问题来决定。

本文重点：持续增加的恶意软件感染威胁。恶意软件感染处理方案的关注焦点，并不是主动攻击行为；而是系统加载的软件。

什么是恶意软件？

恶意软件是恶意的程序代码，或是偷偷安装在系统内的软件，它们会影响到网络上数据或程序的安全性、整合性或是使用性。恶意软件可能造成网络的严重损害或断线，需要花费大量的努力来回复系统的安全与用户的信任

我们可以把恶意软件的威胁区分为五大类。以下是简单的描述：

病毒：会自我复制的程序，会将自己的副本插入寄生的程序或数据文件中。病毒同时会攻击操作系统与应用程序。

蠕虫：会自我复制，不经使用者启动就会自行执行的独立程序。蠕虫感染系统时不需要寄生程序。

特洛依木马：这是不会复制的独立程序，它看似无害但实际藏有恶意用途。特洛依木马通常会将其他的攻击程序带入系统。

恶意远程程序：这类含有不良意图的软件会从远程系统传数据到本地端的系统。入侵者用它把病毒、蠕虫与特洛依木马传送到用户的计算机中。恶意远程程序利用默认权限与未做升级的漏洞入侵计算机。

追踪Cookie：这些被许多网站使用的Cookie，可以让第三者记录用户的行为。入侵者通常会把追踪Cookie与网页臭虫一起结合使用。
以上是对公司的用户与网络造成威胁的恶意软件主要分类。他们入侵成功以后要怎么办？有效的恶意软件处理步骤有下列六点：

事先规划：建立针对特定恶意软件的处理流程与计划。针对某类恶意软件进行训练与演练，来测试你的流程与计划。在实际需要使用时，要确定你的计划能成功执行。

侦测与分析：布署病毒／间谍软件防护程序软件。详读恶意软件的报告与警告信息。在CD或DVD之类的可携储存媒体上，建立工具程序组，含有可以辨认恶意软件，扫描执行中程序与进行其他分析动作的最新版工具软件。

抑制扩散：为了防止恶意软件灾难的影响范围扩大，必须要关闭服务器／工作站或停止一些服务（如电子邮件、上网浏览或网络存取）。因此要决定好谁有这个权限来根据恶意软件的活动情况作出决定。早期的抑制可以让恶意软件的扩散停止，同时防止公司内部与外部网络更严重的系统损害。

彻底移除：矛须事先准备好在系统上移除各种恶意软件需要的各类技术。

回复运作：回复被感染系统上数据的可靠性，整合性与可用性，同时回复被抑制的服务与功能。这步骤可能包括重新将系统连上网络，从备份中重建被毁的系统。回复工作小组应该要评估重建后网络服务的安全风险，同时服务回复工程的进行，必须基于这些风险评估来考虑。

回报：在每次恶意软件灾害发生后要学到教训，防止未来类似问题的发生。调整既有的安全政策、软件设定、以及恶意软件侦测与防范的措施。

结论　在对付恶意软件灾害时，你就算装了市面上所有的防护软件，还是有可能会出事！因此必须要对使用者作好教育，让他们知道如何知道受感染，以及在被感染时要进行哪些处理。
编按：Mike Mullins在美国情报单位与国防信息系统局担任网络助理管理员与网络安全管理员。他目前是Southern Theather网络运作安全中心的负责人。