关于控制冲击波病毒的处理
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
关于控制“冲击波”病毒的处理
一、情况简述
近日因“冲击波”病毒和“冲击波杀手”病毒的影响，在发现网络上出现大量访问目的端口135、445等TCP包和巨量的ICMP包，短时甚至影响到交换机的CPU利用率。
4506（S3引擎）短时CPU利用率达到90%。
二、采取措施方法
1、4506上的处理
针对上述情况，首先在4506上进行了如下访问控制：
vlan access-map drop_udp_1434 10
action drop
match ip address udp_1434
vlan access-map drop_udp_1434 15
action drop
match ip address cjb
vlan access-map drop_udp_1434 20
action forward
match ip address ip_match
vlan filter drop_udp_1434 vlan-list 1-4094
!
……
ip access-list extended cjb
permit tcp any any eq 4444
permit tcp any eq 135 any
permit tcp any eq 137 any
ip access-list extended ip_match
permit ip any any
不到半小时即拦截了几十万个源端口为135的TCP包。
然后在该设备上增加了“冲击波”病毒的所有特征包：
permit tcp any any eq 135
permit tcp any any eq 139
permit tcp any any eq 445
permit tcp any any eq 593
permit udp any any eq tftp
permit udp any any eq 135
permit udp any any eq netbios-ns
permit udp any any eq netbios-dgm
permit udp any any eq netbios-ss
permit tcp any eq 139 any
permit tcp any eq 4444 any
permit tcp any eq 445 any
permit tcp any eq 593 any
permit udp any eq tftp any
permit udp any eq 135 any
permit udp any eq netbios-ns any
permit udp any eq netbios-dgm any
permit udp any eq netbios-ss any
加上后，效果更为显著，拦截情况如下：
4506#sh ip acce
Standard IP access list 98
permit 61.174.90.0, wildcard bits 0.0.1.255 (6 matches) check=2537
permit 10.10.8.0, wildcard bits 0.0.0.63 (1502 matches) check=2537
permit 10.11.44.224, wildcard bits 0.0.0.31 (1127 matches) check=2535 deny any log (130326 matches)
Standard IP access list 99
permit 210.5.19.221 log (4 matches)
permit 61.174.90.0, wildcard bits 0.0.1.255 log (14 matches) check=8 permit 10.10.8.0, wildcard bits 0.0.0.31 log (8 matches)
Extended IP access list cjb
permit tcp any any eq 4444 (348 matches)
permit tcp any eq 135 any (164 matches)
permit tcp any eq 137 any
permit tcp any any eq 135 (19920115 matches)
permit tcp any any eq 139 (2936995 matches)
permit tcp any any eq 445 (5761882 matches)
permit tcp any any eq 593
permit udp any any eq tftp (28 matches)
permit udp any any eq 135 (32629 matches)
permit udp any any eq netbios-ns (1073867 matches)
permit udp any any eq netbios-dgm (279542 matches)
permit udp any any eq netbios-ss
permit tcp any eq 139 any (3517 matches)
permit tcp any eq 4444 any (2485 matches)
permit tcp any eq 445 any (42 matches)
permit tcp any eq 593 any
permit udp any eq tftp any (12 matches)
permit udp any eq 135 any (6 matches)
permit udp any eq netbios-ns any (9912 matches)
permit udp any eq netbios-dgm any (20 matches)
permit udp any eq netbios-ss any (6 matches)
Extended IP access list ip_match
permit ip any any (2042995121 matches)
Extended IP access list udp_1434
permit udp any any eq 1434 (19230 matches)
4506#