僵尸網絡：網絡程序殺手

第1章 僵尸網絡：呼吁行動
前言
網絡程序殺手
問題有多大？
僵尸網絡的概念史
僵尸病毒的新聞案例
業(yè)界反響
小結
快速回顧
常見問題
第2章 僵尸網絡概述
什么是僵尸網絡？
僵尸網絡的生命周期
漏洞利用
召集和保護僵尸網絡客戶端
等候命令并接受payload
僵尸網絡究竟做什么？
吸收新成員
DDoS
廣告軟件（Adware）和Clicks4Hire的安裝
僵尸網絡垃圾郵件和網絡釣魚連接
存儲和分配偷竊或非法（侵犯）知識產權的信息資料
勒索軟件（Ransomware）
數據挖掘
匯報結果
銷毀證據，放棄（僵尸）客戶端
僵尸網絡經濟
垃圾郵件和網絡釣魚攻擊
惡意廣告插件和Clicks4Hire陰謀
Ransomware勒索軟件
小結
快速回顧
常見問題
第3章 僵尸網絡C＆C的替換技術
簡介：為什么會有C8LC的替換技術？
追溯C&C的發(fā)展歷史
DNS和C&C技術
域名技術
多宿（Multihoming）
可替換控制信道
基于Web的C＆C服務器
基于回聲的僵尸網絡
P2P僵尸網絡
即時消息（IM）C&C
遠程管理工具
降落區(qū)（drop zone）和基于FTP的C&C
基于DNS的高級僵尸網絡
小結
快速回顧
常見問題
第4章 僵尸網絡
簡介
SDBot
別名
感染途徑
被感染的標志
注冊表項
新生成的文件
病毒傳播
RBot
別名
感染途徑
被感染的標志
Agobot
別名
感染途徑
被感染的標志
傳播
Spybot
別名
感染途徑
被感染的標志
注冊表項
不正常的流量
傳播
Mytob
別名
感染途徑
被感染的標志
系統(tǒng)文件夾
不正常的流量
傳播
小結
快速回顧
常見問題
第5章 僵尸網絡檢測：工具和技術
簡介
濫用
垃圾郵件和濫用
網絡設施：工具和技術
SNMP和網絡流：網絡監(jiān)控工具
防火墻和日志
第二層的交換機和隔離技術
入侵檢測
主機的病毒檢測
作為IDS例子的Snort
Tripwire
暗網、蜜罐和其他陷阱
僵尸網絡檢測中的取證技術和工具
過程
事件日志
防火墻日志
反病毒軟件日志
小結
快蘧回顧
常見問題
第6章 Ourmon：概述和安裝
簡介
案例分析：在黑暗中跌撞前行的事情
案例1：DDoS（分布式拒絕服務）
案例2外部并行掃描
案例3僵尸客戶端
案例4僵尸服務器
Ourmon如何工作
Ourmon的安裝
Ourmon安裝提示和竅門
小結
快速回顧
常見問題
第7章 Ourmon：異常檢測工具
簡介
Ourmon網頁接口
原理簡介
TCP異常檢測
TCP端口報告：30秒視圖
TcP蠕蟲圖表
TCP每小時摘要
UDP異常檢測
E_mail異常檢測
小結
快速回顧
常見問題
第8章 IRC和僵尸網絡
簡介
IRC協(xié)議
Ourmon的RRDT00L統(tǒng)計與IRC報告
IRC報告的格式
檢測IRC僵尸網絡客戶端
檢測IRC僵尸網絡服務器
小結
快速回顧
常見問題
第9章 ourmon高級技術
簡介
自動包捕獲
異常檢測觸發(fā)器
觸發(fā)器應用實例
Ourmon事件日志
搜索Ourmon日志的技巧
嗅探IRC消息
優(yōu)化系統(tǒng)
買一個雙核（Dual—Core）CPU
使用不同的電腦，分開前端與后端
買一個雙核，雙CPU的主板
擴大內核的環(huán)緩存
減少中斷
小結
快速回顧
常見問題
第10章 使用沙盒工具應對僵尸網絡
簡介
CWSandbox介紹
組件介紹
檢查分析報告的樣本
部分
分析82f78a89bde09a71ef99b3ced b991bcc．exe
分析Arman．exe
解釋分析報告
僵尸病毒是如何安裝的?
病毒如何感染新主機
僵尸病毒如何保護本地主機和自己?
聯系哪個C&C服務器以及如何聯系
僵尸病毒如何更新?
進行了什么樣的惡意操作?
在線沙盒對僵尸病毒的監(jiān)測結果
小結
快速回顧
常見問題
第11章 情報資源
簡介
辨別企業(yè)／大學應該盡力收集的信息
反匯編
可找到公用信息的地方／組織
反病毒、反間諜軟件、反惡意軟件的網頁
專家和志愿者組織
郵件列表和討論團體
會員組織以及如何獲得資格
審查成員
保密協(xié)議
什么可以共享
什么不能共享
違背協(xié)議的潛在影響
利益沖突
獲取信息時如何處理
情報收集在法律相關的執(zhí)行方面扮演的角色
小結
快速回顧
常見問題
第12章 應對僵尸網絡
簡介
放棄不是一個選項
為什么會有這個問題?
刺激需求：金錢，垃圾郵件，以及網絡釣魚
法律實施問題
軟件工程的棘手問題
缺乏有效的安全策略或者過程
執(zhí)行過程中的挑戰(zhàn)
我們應該做什么?
有效的方法
如何應對僵尸網絡?
報告僵尸網絡
絕地反擊
法律的實施
暗網、蜜罐和僵尸網絡顛覆
戰(zhàn)斗的號角
小結
快速回顧
常見問題