單元8.3 信息安全應用

模塊八信息安全技術——單元8.3信息安全應用01導入案例02技術分析03知識與技能04案例實現(xiàn)目錄ONTENTS05拓展閱讀06練習與提高導入案例：警惕成為別人的礦機

2020年，新冠肺炎相關話題成為廣為關注的熱點，國內外不少黑客、APT組織利用新冠肺炎疫情等相關題材作為誘餌文檔對一些政府、教育、衛(wèi)生等機構發(fā)動魚叉式網(wǎng)絡釣魚攻擊。DTLMiner病毒作者就利用新冠病毒疫情相關熱點作為誘餌，發(fā)送釣魚郵件傳播挖礦木馬病毒，一旦有受害者打開該釣魚郵件并點擊附件，就有可能中毒，從而導致個人計算機淪為黑客獲利的“礦機”。導入案例：警惕成為別人的礦機李曉偉大學畢業(yè)后在某汽車零部件公司做過程質量檢驗員，李曉偉對信息技術有著濃厚的興趣。因工作需要，李曉偉經(jīng)常在互聯(lián)網(wǎng)上搜索技術資料，每次打開網(wǎng)頁，都有很多廣告。李曉偉用的是谷歌瀏覽器，他決定下載并安裝網(wǎng)頁廣告攔截插件“SafeBrowse”。安裝此插件后，大多數(shù)廣告都被攔截了，同時計算機運行也慢了許多。李曉偉憑借大學期間所學信息安全方面知識，懷疑計算機已中了病毒。盡管李曉偉掌握了一定的信息安全方面知識，真正進入實戰(zhàn)階段，卻不知如何下手。李曉偉因下載并安裝網(wǎng)頁廣告攔截插件“SafeBrowse”后突然變慢，說明CPU或內存占用較大，如果當前計算機沒有運行游戲或工程類軟件，基本可以判定為病毒所致。根據(jù)相關資料顯示，“SafeBrowse”是一款支持Chrome瀏覽器的網(wǎng)頁廣告攔截插件，其實該插件內置了挖礦病毒，黑客利用被感染計算機“挖礦”，這就是李曉偉安裝“SafeBrowse”插件后變慢可能的原因。技術分析一、系統(tǒng)急救：360急救箱二、病毒和威脅防護三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻四、安全防護：火絨安全知識與技能通常情況下，當計算機中毒后，反病毒軟件已被病毒或木馬劫持，此時反病毒軟件有可能無法加載或殺毒引擎失效。此時要清除計算機中的病毒，必須在干凈系統(tǒng)下用反病毒軟件查殺并清除磁盤中的病毒。計算機一旦中毒，可以用360急救箱查殺并清除計算機中的病毒。一、系統(tǒng)急救：360急救箱一、系統(tǒng)急救：360急救箱進入360官網(wǎng)下載360急救盤。01插入一張空白U盤。雙擊運行下載的360急救盤。出現(xiàn)“360急救盤”頁面后，選擇目標U盤，然后按照提示，即可將U盤制作成360急救盤。02制作360急救盤一、系統(tǒng)急救：360急救箱用360急救盤啟動計算機。03用360急救箱清掃木馬病毒后，應重啟計算機到正常系統(tǒng)，再用計算機上的反病毒軟件再次進行全盤掃描。05登錄系統(tǒng)后，打開“360系統(tǒng)急救箱”，鉤選“強力模式”和“全盤掃描”，單擊“開始急救”按鈕掃描并清除整臺計算機的木馬病毒。04

WindowsDefender是微軟公司自己推出的病毒和威脅防護軟件，內置于Windows10操作系統(tǒng)中。和其他反病毒軟件相比，WindowsDefender最大的優(yōu)勢就是不存在Windows兼容問題，而且系統(tǒng)資源占用也是比較低的。直接使用WindowsDefender防范來自病毒的威脅也是不錯的選擇。事實上，每當計算機中毒，多數(shù)人誤認為計算機沒有“殺毒軟件”，其實，無論安裝什么樣的防病毒軟件，都需要日常的管理和維護。二、病毒和威脅防護（一）關閉自動播放自動播放是Windows一種工作機制，無論系統(tǒng)處于何種狀態(tài)，只要計算機插入新的媒介，就會自動啟動該機制。例如，即便在鎖屏狀態(tài)，如果插入U盤，系統(tǒng)也會自動掃描U盤。由于自動播放是Windows的內核機制，其優(yōu)先權高于一般的反病毒軟件，如果插入的U盤含有特殊病毒，計算機就可能中毒。二、病毒和威脅防護（一）關閉自動播放1.關閉自動播放服務

二、病毒和威脅防護右擊Windows開始圖標，在右鍵菜單中選擇“運行”。01出現(xiàn)“運行”窗口后，在文本框中輸入“gpedit.msc”，單擊“確定”按鈕，打開組策略管理控制臺。02通過運行窗口打開組策略管理控制臺（一）關閉自動播放1.關閉自動播放服務

二、病毒和威脅防護打開“本地組策略編輯器”窗口后，依次展開左側樹形目錄“計算機配置”→“管理模板”→“Windows組件”→“自動播放策略”，“自動播放策略”中有“關閉自動播放”等4項策略，雙擊“關閉自動播放”策略即可編輯該策略。03本地組策略管理器（一）關閉自動播放1.關閉自動播放服務

二、病毒和威脅防護同樣操作，啟用其他3條策略。05出現(xiàn)“關閉自動播放”策略編輯窗口后，選擇“已啟用”，在“關閉自動播放”下拉列表中選擇“所有驅動器”，這樣就可以關閉Windows的自動播放功能。04關閉自動播放策略（一）關閉自動播放1.關閉自動播放服務

二、病毒和威脅防護除了啟用“計算機配置”中的關閉自動播放策略外，還可以啟用“用戶配置”中的關閉自動播放策略。06關閉用戶配置中的自動播放策略（一）關閉自動播放2.禁用“為自動播放硬件事件提供通知”服務

二、病毒和威脅防護右擊Windows開始菜單，在右鍵菜單中選擇“運行”，然后輸入命令“services.msc”，打開服務管理控制臺。01打開“服務”窗口后，在服務列表中找到“ShellHardwareDetection”服務，雙擊即可調整該服務屬性。02ShellHardwareDetection服務（一）關閉自動播放2.禁用“為自動播放硬件事件提供通知”服務

二、病毒和威脅防護在“ShellHardwareDetection的屬性”對話框中，“啟動類型”下拉菜單中選擇“禁用”，然后單擊“停止”按鈕。03禁用ShellHardwareDetection服務（二）實時監(jiān)控防護計算機時刻都可能受到來自病毒攻擊的威脅，幾乎所有防病毒軟件都提供了實時監(jiān)控防護的功能，目的就是時刻防范這些威脅。如果計算機在使用過程中，總提示有威脅，不少用戶嫌麻煩，關閉了防病毒軟件的實時監(jiān)控功能，殊不知，一旦實時監(jiān)控功能被關閉，就給了病毒可乘之機，系統(tǒng)可能因此中毒，防病毒軟件也可能因此失效。所以，無論出于何種目的，都不能關閉防病毒軟件的實時監(jiān)控功能。不但不能關閉此功能，還應經(jīng)常查看此功能，確保實時監(jiān)控防護功能處于開啟狀態(tài)。二、病毒和威脅防護（二）實時監(jiān)控防護二、病毒和威脅防護右擊Windows開始圖標，出現(xiàn)開始菜單后選擇“Windows安全中心”。01出現(xiàn)“病毒和威脅防護”頁面后，單擊“管理設置”，如圖所示。03打開“Windows安全中心”窗口后，單擊“病毒和威脅防護”圖標。02病毒和威脅防護頁面（二）實時監(jiān)控防護二、病毒和威脅防護進入病毒和威脅防護設置頁面，檢查“實時保護”和“篡改防護”狀態(tài)，確保這兩個開關處于開啟狀態(tài)。04確?！皩崟r保護”與“篡改防護”處于開啟狀態(tài)（三）掃描安全威脅為防范病毒等安全威脅，對所有外來數(shù)據(jù)都要堅持“先掃描后使用”的習慣。外來數(shù)據(jù)的主要來源有：外來存儲介質，如U盤、移動硬盤、光盤、軟盤、外接硬盤、存儲卡等。通過數(shù)據(jù)線連接外部設備：如手機、平板等。通過藍牙連接的外部設備：如手機、平板、其他藍牙設備。通過網(wǎng)絡共享：如共享文件夾、CIFS存儲、NFS存儲等。通過網(wǎng)頁下載的文件。通過應用程序傳輸?shù)奈募喝鏠Q、微信、釘釘、騰訊會議等應用程序。二、病毒和威脅防護（三）掃描安全威脅如果外來數(shù)據(jù)為壓縮包（RAR、ZIP等）或自解壓程序（EXE），則要解壓后掃描。如果外來數(shù)據(jù)是磁盤映像文件（VMDK、GHO等）、光盤映像（ISO等），應加載后再掃描。通常防病毒軟件都會通過右鍵菜單提供快捷掃描功能。

二、病毒和威脅防護（三）掃描安全威脅除此之外，還會提供快速掃描，完全掃描、自定義掃描和深度掃描等不同功能。遇到新裝系統(tǒng)、新裝防病毒軟件、全新升級防病毒軟件、計算機“中招”急救等情況，都應該執(zhí)行一次完全掃描。當惡意軟件特別難以清除（或刪除）時，應執(zhí)行深度掃描，這需要通過系統(tǒng)重啟完成掃描，WindowsDefender這種掃描方式稱為脫機版掃描。二、病毒和威脅防護（三）掃描安全威脅進入“Windows安全中心”的“病毒和威脅防護”頁面后，單擊“掃描選項”。進入“掃描選項”后可以根據(jù)需要運行快速、完全、自定義或脫機掃描。二、病毒和威脅防護WindowsDefender的掃描選項（四）更新防病毒軟件為了對抗反病毒軟件，越來越多的病毒在提升自身的自我保護機制，防病毒“永遠在路上”，必須及時更新防病毒軟件才能防護有效預防病毒和惡意軟件的威脅。防病毒軟件更新包括殺毒引擎和病毒庫（或病毒定義文件）兩部分的更新?，F(xiàn)在的防病毒軟件基本上都提供了自動更新功能。有時會因為更新不及時或遇到大的更新數(shù)據(jù)，自動更新可能受到會話時間限制而不能完成更新，因此需要經(jīng)常手動更新。如果殺毒引擎更新幅度較大，可能會要求重新下載并安裝反病毒軟件。二、病毒和威脅防護（四）更新防病毒軟件進入“Windows安全中心”的“病毒和威脅防護”頁面后，單擊“檢查更新”按鈕，出現(xiàn)“保護更新”頁面后，單擊“檢查更新”按鈕，可手工更新WindowsDefender。二、病毒和威脅防護手工更新WindowsDefender防火墻的作用是降低黑客及惡意軟件帶來的網(wǎng)絡安全威脅。和WindowsDefender防病毒軟件一樣，Windows也自帶WindowsDefender防火墻。WindowsDefender防火墻是有狀態(tài)主機防火墻，也就是根據(jù)用戶設定的規(guī)則來決定允許（或阻止）哪些數(shù)據(jù)可以從遠程主機進入本機，或者允許（或阻止）哪些數(shù)據(jù)可以由本機發(fā)送到網(wǎng)絡。WindowsDefender防火墻還支持IPsec，用戶可以使用IPsec來要求加密某些網(wǎng)絡流量，以防止惡意用戶可能連接到網(wǎng)絡的網(wǎng)絡數(shù)據(jù)包分析器讀取通信?？梢?，防火墻規(guī)則設置是防火墻阻止網(wǎng)絡安全威脅的關鍵，防火墻規(guī)則越嚴，網(wǎng)絡安全威脅就越低。當然，防火墻規(guī)則過嚴，也會影響用戶自己的使用體驗。因此，用戶應當根據(jù)自己實際需要設置防火墻規(guī)則。三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻（一）啟用防火墻1.關閉自動播放服務

三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻依次單擊Windows開始菜單→“Windows系統(tǒng)”→“控制面板”，打開控制面板。在控制面板中選擇“WindowDefender防火墻”圖標。0102（一）啟用防火墻1.關閉自動播放服務

三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻打開“WindowDefender防火墻”窗口后，單擊窗口左側“啟用或關閉WindowDefender防火墻”菜單項。03啟用或關閉WindowDefender防火墻菜單項（一）啟用防火墻1.關閉自動播放服務

三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻出現(xiàn)“自定義各類網(wǎng)絡的設置”頁面后，可以看見當前WindowDefender防火墻的運行狀態(tài)，默認情況下，專用網(wǎng)絡和公用網(wǎng)絡的防火墻設置都是啟用狀態(tài)，查看并確保防火墻處于開啟狀態(tài)。如果是關閉狀態(tài)，一定要開啟防火墻。04確保防火墻處于開啟狀態(tài)（二）配置入站規(guī)則1.配置案例1：阻止所有遠程主機訪問本機

如果本地計算機對外不提供服務，可以設置防火墻入站規(guī)則，阻止所有遠程主機訪問本機。在Internet上，各主機間是通過TCP/IP協(xié)議來發(fā)送和接收數(shù)據(jù)包，本地操作系統(tǒng)會給那些有需求的進程分配協(xié)議端口。當目的主機接收到數(shù)據(jù)包后，將根據(jù)報文首部的目的端口號，把數(shù)據(jù)發(fā)送到相應端口，而與此端口相對應的那個進程將會接收數(shù)據(jù)并等待下一組數(shù)據(jù)的到來。因此，阻止某端口通信也就阻止了某應用的訪問。如果阻止所有遠程主機訪問本地端口，也就阻止了所有遠程主機訪問本機。

三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻（二）配置入站規(guī)則1.配置案例1：阻止所有遠程主機訪問本機

三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻打開“WindowDefender防火墻”窗口后，單擊窗口左側“高級設置”菜單項。01打開“高級安全WindowDefender防火墻”窗口后，右擊“入站規(guī)則”，在右鍵菜單中選擇“新建規(guī)則”。02新建入站規(guī)則（二）配置入站規(guī)則1.配置案例1：阻止所有遠程主機訪問本機

三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻打開“新建入站規(guī)則向導”窗口，“規(guī)則類型”中選擇“端口”，即表示按端口類型配置規(guī)則。03按端口類型配置規(guī)則（二）配置入站規(guī)則1.配置案例1：阻止所有遠程主機訪問本機

三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻“協(xié)議和端口”中選擇“TCP”類型端口，同時選中本規(guī)則應用于“所有本地端口”，即表示阻止所有本地端口。04阻止所有本地端口（二）配置入站規(guī)則1.配置案例1：阻止所有遠程主機訪問本機

三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻“操作”中，選擇“阻止連接”，即表示阻止所有連接。05阻止所有連接（二）配置入站規(guī)則1.配置案例1：阻止所有遠程主機訪問本機

三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻“配置文件”中，鉤選“域”“專用”“公用”復選框，即表示任何時候都阻止訪問本地端口。06任何時候都阻止訪問本地端口（二）配置入站規(guī)則1.配置案例1：阻止所有遠程主機訪問本機

三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻“名稱”中，給此規(guī)則定義一個名稱，如“阻止所有計算機訪問本地端口”。07定義防火墻規(guī)則名稱（二）配置入站規(guī)則2.配置案例2：允許遠程主機訪問特定端口

設置“阻止所有遠程主機訪問本機端口”防火墻規(guī)則后，只要本機內部安全，黑客或遠程惡意軟件很難危及本機安全。同時，這也阻止了通過其他計算機正常訪問本機。如果想要允許遠程主機訪問本地特定應用或服務，需要了解這些應用或服務的通信端口。例如，遠程桌面連接的默認通信端口是TCP3389端口。如果要在其他計算機上通過遠程桌面連接訪問本機，則需要配置防火墻規(guī)則，允許遠程主機訪問本地TCP3389端口。三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻（二）配置入站規(guī)則2.配置案例2：允許遠程主機訪問特定端口鑒于WindowsDefender防火墻規(guī)則除設置“阻止”優(yōu)先外，沒有其他優(yōu)先級設置，因此，需要先修改“阻止所有遠程主機訪問本機”防火墻規(guī)則，然后再創(chuàng)建一條允許遠程桌面連接的入站規(guī)則。三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻（二）配置入站規(guī)則2.配置案例2：允許遠程主機訪問特定端口三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻雙擊前面創(chuàng)建的入站規(guī)則“阻止所有遠程主機訪問本機”，出現(xiàn)“阻止所有遠程主機訪問本機”屬性窗口后，單擊“協(xié)議和端口”選項，在“本地端口”下拉列表中選擇“特定端口”。01將規(guī)則的所有端口更改為特定端口后，可以在端口文本框中輸入阻止端口的范圍，如“1-3388，3390-65535”表示阻止遠程主機訪問本地除3389端口外的所有TCP端口。02單擊“常規(guī)”選項卡，在“描述”文本框中說明開放了哪些端口，以便以后的管理維護。03（二）配置入站規(guī)則2.配置案例2：允許遠程主機訪問特定端口三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻05“操作”中，選擇“允許連接”，表示允許遠程主機可以通過遠程桌面連接（3389端口）訪問本機。接下來可以新建一條允許遠程桌面連接的入站規(guī)則，在“協(xié)議和端口”中，選擇“TCP”和“特定本地端口”，并輸入遠程桌面連接的端口3389。04“名稱”中，為新創(chuàng)建的入站規(guī)則指定名稱，如“允許遠程桌面連接到本機”。06（二）配置入站規(guī)則3.配置案例3：阻止遠程主機掃描本機黑客或遠程惡意軟件在對本機發(fā)起攻擊前，會先掃描網(wǎng)絡上的主機，掃描是會用到ICMP協(xié)議。ICMP是Internet控制報文協(xié)議，用于在IP主機、路由器之間傳遞控制消息?？刂葡⑹侵妇W(wǎng)絡通不通、主機是否可達、路由是否可用等有關網(wǎng)絡狀態(tài)本身的消息。這些控制消息雖然并不傳輸用戶數(shù)據(jù)，但是對于用戶數(shù)據(jù)的傳遞起著重要的作用。設置防火墻規(guī)則，阻止ICMP協(xié)議，也就阻止了遠程主機掃描本機，降低了遠程主機攻擊本機的風險。三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻（二）配置入站規(guī)則3.配置案例3：阻止遠程主機掃描本機三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻新建一條入站規(guī)則，“規(guī)則類型”中，選擇“自定義”。01“程序”中，選擇“所有程序”。02“協(xié)議和端口”中，在“協(xié)議類型”下拉列表中選擇“ICMPv4”。03“作用域”中，分別在“此規(guī)則應用于哪些本地IP地址”“此規(guī)則應用于哪些遠程IP地址”鉤選“任何IP地址”。04（二）配置入站規(guī)則3.配置案例3：阻止遠程主機掃描本機三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻“操作”中，選擇“阻止連接”。05“配置文件”中，鉤選“域”“專用”“公用”，即表示任何時候都阻止使用ICMP連接本機。06“名稱”中，指定新建規(guī)則的名稱，如“阻止傳遞控制消息”。07（三）配置出站規(guī)則出站規(guī)則是指限制本機訪問遠程主機的規(guī)則。對個人而言，自然不希望出站受到限制，因此可以不設置出站規(guī)則。如果是單位網(wǎng)絡管理員或家長，則可以通過出站規(guī)則限制員工或孩子對外網(wǎng)的訪問，如限制游戲、限制QQ聊天等。

出站規(guī)則的設置方法和入站規(guī)則相似。三、降低網(wǎng)絡安全威脅：WindowsDefender防火墻在互聯(lián)網(wǎng)時代，除了黑客和病毒威脅系統(tǒng)安全外，還存在木馬、間諜軟件等來自惡意軟件的威脅，防病毒軟件可以通過代碼識別病毒或惡意軟件，防火墻可以通過通信數(shù)據(jù)阻止非法訪問，面對其他惡意軟件的攻擊，對強制修改注冊表、系統(tǒng)文件、防火墻規(guī)則、禁用防病毒等惡意行為的惡意軟件，可以使用安全防護軟件來防范。四、安全防護：火絨安全不過，應慎重選擇第三方安全防護產(chǎn)品，多數(shù)安全防護產(chǎn)品會接管WindowsDefender反病毒軟件，如360安全衛(wèi)士、騰訊電腦管家、火絨安全等。部分還會接管WindowsDefender防火墻，如SymantecEndpointProtection。

因此，在選擇安全防護產(chǎn)品時，需要考慮防病毒軟件和防火墻的替代方案，假如選擇了360安全衛(wèi)士做安全防護，還應安裝360殺毒。有自帶防病毒軟件的安全防護產(chǎn)品，如火絨安全。有自帶防病毒和防火墻的安全防護產(chǎn)品，如SymantecEndpointProtection。四、安全防護：火絨安全（一）火絨安全軟件和360安全衛(wèi)士、騰訊電腦管家相比，火絨安全軟件具有資源占用率低、誤報率低、無廣告彈窗等優(yōu)勢?；鸾q安全軟件只接管了WindowsDefender反病毒軟件，未接管WindowsDefender防火墻，因為火絨安全軟件自帶防病毒軟件，所以，安裝火絨安全軟件后，不需要再考慮防病毒軟件和防火墻的備用方案。四、安全防護：火絨安全（一）火絨安全軟件

1.下載火絨安全軟件從火絨官網(wǎng)（網(wǎng)址：/）下載火絨安全軟件。2.安裝火絨安全軟件雙擊下載的火絨安全軟件，根據(jù)安裝向導進行安裝即可。四、安全防護：火絨安全面“火絨安全軟件”圖標，打開火絨安全軟件。單擊火絨安全首頁的圖標，可以升級殺毒引擎和病毒庫。（二）升級火絨安全軟件安裝火絨安全軟件后，火絨安全軟件即刻開始保護計算機。如果要對火絨安全進行管理維護，雙擊桌四、安全防護：火絨安全火絨安全軟件首頁（三）病毒查殺火絨安全軟件提供了“病毒查殺”“防護中心”“訪問控制”“安全工具”四大功能模塊，單擊“病毒查殺”可以根據(jù)需要掃描并清除本機病毒和惡意軟件。四、安全防護：火絨安全（四）安全防護1.病毒防護

單擊“防護中心”，進入防護中心界面。防護中心提供了“病毒防護”“系統(tǒng)防護”“網(wǎng)絡防護”和“高級防護”四四、安全防護：火絨安全個模塊，其中“病毒防護”包括文件實時監(jiān)控、惡意行為監(jiān)控、U盤保護、下載保護、郵件監(jiān)控、Web掃描等功能。病毒防護的功能（四）安全防護2.系統(tǒng)防護“系統(tǒng)防護”包括系統(tǒng)加固、應用加固、軟件安裝攔截、攝像頭保護、瀏覽器保