网络主机恶意代码检测记录表
系统基本信息梳理记录表(每个系统一张表)
（含笔记本）
品牌
联想
方正
长城
HP
DELL
三星
索尼
数量
其他：
1. 品牌，数量
2. 品牌，数量
（如有更多，可另列表）
其他
1. 设备类型：，品牌，数量
2. 设备类型：，品牌，数量
（如有更多，可另列表）
检查项
检查结果
操作系统
品牌
红旗
麒麟
Windows
RedHat
HP-Unix
AIX
Solaris
数量
序号
终端名称/编号
部门
使用人
使用人职级
1
…
2. 感染病毒木马等恶意代码的终端计算机情况
序号
终端名称/编号
病毒木马等恶意代码名称
数量
1
…
3. 存在高风险漏洞的终端计算机情况
序号
终端名称/编号
主要漏洞列举
数量
1
…
4. 非涉密计算机处理涉密信息情况
序号
终端名称/编号
数量
涉密文件名称
1
1.
2.
…
5. 非涉密计算机使用涉密移动存储介质信息情况
其他：
1. 品牌，数量
2. 品牌，数量
（如有更多，可另列表）
数据库
品牌
金仓
达梦
Oracle
DB2
SQLServer
数量
其他：
1. 品牌，数量
2. 品牌，数量
（如有更多，可另列表）
公文处理软件
品牌
数量
其他
1. 设备类型：，品牌，数量
2. 设备类型：，品牌，数量
（如有更多，可另列表）
智慧政务网络恶意代码攻击检测报告
X区智慧政务网络恶意代码攻击检测报告目录1概述 (2)2检测结果汇总 (3)3感染威胁详情 (4)3.1木马感染情况 (4)3.1.1木马主要危害 (4)3.1.2木马感染详情 (4)3.1.3木马描述及解决方案 (6)3.2僵尸网络感染情况 (8)3.2.1僵尸网络主要危害 (8)3.2.2僵尸网络感染详情 (9)3.2.3僵尸程序描述及解决方案 (10)1 概述当前木马和僵尸网络攻击已经成为互联网安全安的主要威胁，由于其涉及很多经济、政治等因素，致使这些恶意威胁发展变化非常迅速，传统的安全防御手段难以及时检测、定位、清除这类恶意威胁。
上海市X区非常重视内部网X全，采用多种安全防范设备或措施提升整体信息安全水平，为检测内部木马等恶意攻击行为威胁，在网络中部署了一套僵尸木马网络攻击行为预警系统。
上海X信息安全技术有限公司是一家专门从事网络恶意攻击行为研究的高新企业，在恶意代码检测领域正在开展专业的探索和研究。
目前在上海市X区智慧政务网络中部署有一台网络恶意代码攻击检测系统，通过旁路镜像的方式接入上海市X区智慧政务网络中，当前系统旁路挂载在机房外网交换机上，流量在300 Mb/s。
当前部署的网络恶意代码攻击检测系统能够7*24监测网络中的流量并记录X区智慧政务网络内的业务服务器所感染的网站后门、木马或僵尸网络等恶意代码的情况。
2 检测结果汇总自2013年7月8日到2013年8月8日，这一段时间内，共检测到僵尸程序攻击9352次，木马攻击3666次，网站后门攻击174次。
目前X 区智慧政务网络威胁以僵尸网络程序攻击、木马攻击为主，并且检测到9352次僵尸网络攻击行为，需要尽快对这些木马、僵尸程序进行处理，以防止机密数据失窃密。
如下为所有内网络内部攻击行为分布图，通过图可以直观看出，僵尸程序、木马攻击行最为严重。
政务网络恶意代码攻击趋势图10002000300040005000600070008000900010000僵尸程序攻击木马攻击网站后门攻击935236661743 感染威胁详情3.1 木马感染情况3.1.1 木马主要危害(1)窃取密码：一切以明文的形式，*形式或缓存在CACHE中的密码都能被木马侦测到，此外还有很多木马还提供有击键记录功能，它将会记录服务端每次敲击键盘的动作，所以一旦有木马入侵，密码将很容易被窃取。
计算机网络设备定期检查记录表
计算机网络设备定期检查记录表__医院计算机网络设备定期检查维护记录表维护时间1、计算机硬件及周边设备2、计算机软件第1周 3、进行数据备份 4、局域网网络设备 1、计算机硬件及周边设备 2、计算机软件第2周 3、进行数据备份 4、局域网网络设备 1、计算机硬件及周边设备 2、计算机软件第3周 3、进行数据备份 4、局域网网络设备1、计算机硬件及周边设备 2、计算机软件第4周 3、进行数据备份 4、局域网网络设备 1、计算机硬件及周边设备 2、计算机软件第1周 3、进行数据备份 4、局域网网络设备 1、计算机硬件及周边设备 2、计算机软件第2周 3、进行数据备份 4、局域网网络设备 1、计算机硬件及周边设备 2、计算机软件第3周 3、进行数据备份 4、局域网网络设备 1、计算机硬件及周边设备 2、计算机软件第4周 3、进行数据备份 4、局域网网络设备 1、计算机硬件及周边设备 2、计算机软件第1周 3、进行数据备份 4、局域网网络设备 1、计算机硬件及周边设备 2、计算机软件第2周 3、进行数据备份 4、局域网网络设备 1、计算机硬件及周边设备 2、计算机软件第3周 3、进行数据备份 4、局域网网络设备□计算机硬件及周边设备□计算机软件第4周□进行数据库备份□局域网网络设备检查维护项目5、工作环境整洁情况 6、科室的计算机、打印机维护 7、科室计算机时间、IP地址校对 8、其它__________ 5、工作环境整洁情况 6、科室的计算机、打印机维护 7、科室计算机时间、IP地址校对 8、其它__________ 5、工作环境整洁情况 6、科室的计算机、打印机维护 7、科室计算机时间、IP地址校对 8、其它__________ 5、工作环境整洁情况 6、科室的计算机、打印机维护 7、科室计算机时间、IP地址校对 8、其它__________ 5、工作环境整洁情况 6、科室的计算机、打印机维护 7、科室计算机时间、IP地址校对 8、其它__________ 5、工作环境整洁情况 6、科室的计算机、打印机维护 7、科室计算机时间、IP地址校对 8、其它__________ 5、工作环境整洁情况 6、科室的计算机、打印机维护 7、科室计算机时间、IP地址校对 8、其它__________ 5、工作环境整洁情况 6、科室的计算机、打印机维护 7、科室计算机时间、IP地址校对 8、其它__________ 5、工作环境整洁情况 6、科室的计算机、打印机维护 7、科室计算机时间、IP地址校对 8、其它__________ 5、工作环境整洁情况 6、科室的计算机、打印机维护 7、科室计算机时间、IP地址校对 8、其它__________ 5、工作环境整洁情况 6、科室的计算机、打印机维护 7、科室计算机时间、IP地址校对 8、其它__________ □工作环境整洁情况□科室的计算机、打印机维护□科室计算机时间、IP地址校对□其它___检查维护结果□ 良好□ 其它___维护人备注□ 良好□ 其它___年月□ 良好□ 其它___□ 良好□ 其它___□ 良好□ 其它___□ 良好□ 其它___年月□ 良好□ 其它___□ 良好□ 其它___□ 良好□ 其它___□ 良好□ 其它___年月□ 良好□ 其它___□ 良好□ 其它___备注：□计算机硬件及周边设备维护：计算机及外设(包括:计算机、打印机、复印机、扫描仪、摄像头等)安装、调试、保养、更新、送修、备故障检测及排除等。
恶意代码技术和检测方法
恶意代码及其检测技术1.恶意代码概述1.1定义恶意代码也可以称为Malware，目前已经有许多定义。
例如Ed Skoudis将Malware定义为运行在计算机上，使系统按照攻击者的意愿执行任务的一组指令。
微软“计算机病毒防护指南”中奖术语“恶意软件”用作一个集合名词，指代故意在计算机系统上执行恶意任务的病毒、蠕虫和特洛伊木马。
随着网络和计算机技术的快速发展，恶意代码的传播速度也已超出人们想象，特别是人们可以直接从网站获得恶意代码源码或通过网络交流代码。
很多编程爱好者把自己编写的恶意代码放在网上公开讨论，发布自己的研究成果，直接推动了恶意代码编写技术发展。
所以目前网络上流行的恶意代码及其变种层出不穷，攻击特点多样化。
1.2类型按照恶意代码的运行特点，可以将其分为两类：需要宿主的程序和独立运行的程序。
前者实际上是程序片段，他们不能脱离某些特定的应用程序或系统环境而独立存在；而独立程序是完整的程序，操作系统能够调度和运行他们；按照恶意代码的传播特点，还可以把恶意程序分成不能自我复制和能够自我复制的两类。
不能自我复制的是程序片段，当调用主程序完成特定功能时，就会激活它们；能够自我复制的可能是程序片段（如病毒），也可能是一个独立的程序（如蠕虫）。
2.分析与检测的方法恶意代码与其检测是一个猫捉老鼠的游戏，单从检测的角度来说。
反恶意代码的脚步总是落后于恶意代码的发展，是被动的.目前基于主机的恶意代码检测方法主要有反恶意代码软件、完整性校验法以及手动检测，基于网络的检测方法主要有基于神经网络”、基于模糊识别“等方法，本文主要讨论基于主机的检测。
2.1 恶意代码分析方法2.1.1 静态分析方法是指在不执行二进制程序的条件下进行分析，如反汇编分析，源代码分析，二进制统计分析，反编译等，属于逆向工程分析方法。
（1）静态反汇编分析，是指分析人员借助调试器来对而已代码样本进行反汇编出来的程序清单上根据汇编指令码和提示信息着手分析。
网络安全检查表
附件1
XXXXXXX 网络安全检查表
九、本年度技术检测及网络安全事件情况
十、信息技术外包服务机构情况（包括参与技术检测的外部专业机构）
1本表所称恶意代码，是指病毒木马等具有避开安全保护措施、窃取他人信息、损害他人计算机及信息系统资源、对他人计算机及信息系统实施远程控制等功能的代码或程序。
2本表所称高风险漏洞，是指计算机硬件、软件或信息系统中存在的严重安全缺陷，利用这些缺陷可完全控制或部分
控制计算机及信息系统，对计算机及信息系统实施攻击、破坏、信息窃取等行为。
网络安全检查表
7运维方式：□自行运维 □委托第三方运维
8域名解析系统情况：□自行建设 □委托第三方：
电子邮件
安全防护
1建设方式：□自行建设
□使用第三方服务 邮件服务提供商
2账户数量：个
3注册管理：□须经审批 □任意注册
4口令管理：□使用技术措施控制口令强度
□没有采取技术措施控制口令强度
5安全防护：（可多选）
服务内容
□系统集成 □系统运维 □风险评估
□安全检测 □安全加固 □应急支持
□数据存储 □灾难备份
□其他：
网络安全保密协议
□已签订 □未签订
信息安全管理体系认证情况
□已通过认证
认证机构：
□未通过认证
（如有2个以上外包机构，每个机构均应填写，可另附页）
□无控制措施
3接入办公系统安全控制措施：
□有控制措施（如实名接入、绑定计算机IP和MAC地址等）
□无控制措施
移动存储介质
安全防护
1管理方式：
□集中管理，统一登记、配发、收回、维修、报废、销毁
□未采取集中管理方式
2信息销毁：
□已配备信息消除和销毁设备 □未配备信息消除和销毁设备
重要漏洞
修复情况
重大漏洞处置率：处置平均时长：
五、网络安全应急工作情况
应急预案
□已制定 本年度修订情况：□修订 □未修订
□未制定
应急演练
□本年度已开展，演练时间：□本年度未开展
灾难备份
1数据备份
□采取备份措施，备份周期：□实时，□日，□周，□月，□不定期
□未采取备份措施
2系统备份
采取实时备份措施的系统数量：
未采取实时备份措施的系统数量：
9恶意代码检测与防范
15
恶意代码防治
恶意代码防范，是指通过建立合理的病毒防范体系和 制度，及时发现计算机病毒侵入，并采取有效的手 段阻止计算机病毒的传播和破坏，从计算机中清除 病毒代码，恢复受影响的计算机系统和数据。
可分为引导型、文件型、混合型病毒 如CIH病毒，宏病毒等
6
计算机病毒传染传播
病毒的两种存在状态
静态：仅存在于文件中 激活：驻留内存，可以感染其他文件或磁盘
仅感染本机的文件 随感染文件的传播而传播 传播方式
– 软盘、移动硬盘、U盘、光盘等，特别是盗版光 盘
– 文件共享、电子邮件、网页浏览、文件下载
9
木马
木马是一种程序，它能提供一些有用的或者令人 感兴趣的功能，但是还具有用户不知道的其它功 能。 木马不具有传染性，不能自我复制，通常不被当 成病毒 典型木马如冰河、灰鸽子、Bo2K等
10
特洛伊木马的分类
–远程访问型 –密码发送型 –键盘记录型 –破坏型 –FTP型 –DoS攻击型 –代理型
木马
防范体系 – 管理体系 – 技术体系
防治策略 – 主动预防为主、被动处理为辅 – 预防、检测、清除相结合
16
一般预防措施
• 及时备份重要数据和系统数据 • 关注漏洞公告，及时更新系统或安装补丁程序 • 新购置的机器、磁盘、软件使用前进行病毒检测 • 不要下载或使用来历不明的软件 • 外用的磁盘尽量要写保护，外来的磁盘要检毒 • 安装具有实时防病毒功能的防病毒软件，并及时
网络安全检查表格
网络安全检查表格(总24页)--本页仅作为文档封面，使用时请直接删除即可----内页可以根据需求调整合适字体及大小--附件1网络安全检查表1本表所称恶意代码，是指病毒木马等具有避开安全保护措施、窃取他人信息、损害他人计算机及信息系统资源、对他人计算机及信息系统实施远程控制等功能的代码或程序。
2本表所称高风险漏洞，是指计算机硬件、软件或信息系统中存在的严重安全缺陷，利用这些缺陷可完全控制或部分控制计算机及信息系统，对计算机及信息系统实施攻击、破坏、信息窃取等行为。
附件2网络安全管理工作自评估表9101112131415附件3重点行业网络安全检查结果统计表3网络安全事件分级标准参见《国家网络与信息安全事件应急预案》（国办函〔2008〕168号）附件4重点网络与信息系统商用密码检查情况汇总表统计密码设备时，国内指取得国家密码管理局型号的产品，国外指未取得国家密码管理局型号的产品（包括国外的产品）。
附件5重点网络与信息系统商用密码检查情况表备注：1. 表中的“密码机类”主要包括以下产品：IPSec/SSL VPN密码机、网络密码机、链路密码机、密码认证网关、存储加密机、磁带库/磁盘阵列存储加密机、密钥管理密码机、终端密钥分发器、量子密码机、服务器密码机、终端密码机、金融数据密码机、签名验证服务器、税控密码机、支付服务密码机、传真密码机、电话密码机等。
2. 表中的“密码系统”主要包括以下系统：动态令牌认证系统、数字证书认证系统、证书认证密钥管理系统、IC卡密钥管理系统、身份认证系统、数据加密传输系统、密码综合服务系统、密码设备管理系统等。
3. 表中的“网络通信”主要包括以下产品：无线接入点、无线上网卡、加密电话机、加密传真机、加密VOIP终端等。
4. 表中“密码设备使用情况”的“产品型号”栏，应填写国家密码行政主管部门审批的商用密码产品型号，若产品无商用密码产品型号，可填写产品相关资质证书上标注的型号或生产厂家自定义的型号。