“聯(lián)動(dòng)網(wǎng)絡(luò)+安全”預(yù)防校園變“礦場(chǎng)”

國(guó)同光

校園網(wǎng)用戶(hù)數(shù)量大、接入端口多，具有一定的隱藏便利性，極易成為挖礦木馬攻擊的對(duì)象，許多高校深受其害。與此同時(shí)，網(wǎng)信辦等多部門(mén)在2021年9月聯(lián)合發(fā)布《關(guān)于整治虛擬貨幣“挖礦”的通知》，對(duì)虛擬貨幣“挖礦”活動(dòng)監(jiān)管升級(jí)。如何不讓校園變“礦場(chǎng)”，保護(hù)校園網(wǎng)絡(luò)的安全，銳捷給出了“網(wǎng)絡(luò)+安全”的解決方案。

挖礦木馬會(huì)給校園帶來(lái)什么危害

通過(guò)大量計(jì)算機(jī)的運(yùn)算獲取虛擬貨幣被稱(chēng)為“挖礦”，而在受害者不知情的情況下，在其電腦中非法植入的挖礦程序稱(chēng)為挖礦木馬。挖礦木馬會(huì)嚴(yán)重占據(jù)主機(jī)算力資源，干擾正常業(yè)務(wù)運(yùn)行。同時(shí)消耗大量電力，與當(dāng)前的能源戰(zhàn)略、碳中和戰(zhàn)略背道而馳。甚至有高校招生網(wǎng)站被挖礦木馬入侵，嚴(yán)重影響正常工作，已經(jīng)有多家高校因?qū)π@挖礦監(jiān)管不到位而被通報(bào)批評(píng)。

其實(shí)在挖礦木馬爆發(fā)趨勢(shì)顯現(xiàn)之初，許多高校就開(kāi)始了對(duì)其防范的探索，但當(dāng)下仍然遇到了一些難題。

第一，已經(jīng)建有防火墻卻形同虛設(shè)。一方面，一些防火墻開(kāi)啟防病毒后性能大幅下降，無(wú)法滿(mǎn)足防護(hù)要求；另一方面，一些防火墻防護(hù)手段不完善，依然踩了通報(bào)“高壓線(xiàn)”。

第二，IP告警溯源困難。校園網(wǎng)多為DHCP環(huán)境，目前防火墻多基于IP告警，需要運(yùn)維老師查詢(xún)多個(gè)日志才能進(jìn)行溯源。高校學(xué)生數(shù)量眾多，運(yùn)維老師往往只有幾人，面對(duì)大量告警的實(shí)時(shí)處理難免力有不逮。

第三，無(wú)法抑制病毒橫向擴(kuò)散。挖礦木馬的防治和疫情的防控是相似的：除了避免外來(lái)的傳染源，內(nèi)部有了傳播苗頭也要及時(shí)切斷，才能將危害降到最低。只通過(guò)出口攔截的方式無(wú)法徹底治理病毒。

那么，高校如何全面排查整治虛擬貨幣“挖礦”活動(dòng)，營(yíng)造安全有序的校園網(wǎng)絡(luò)環(huán)境？銳捷結(jié)合高教場(chǎng)景特點(diǎn)，給出了自己的解法：發(fā)掘網(wǎng)絡(luò)設(shè)備安全能力，聯(lián)動(dòng)安全設(shè)備從整體架構(gòu)解決挖礦難題。

無(wú)憂(yōu)防通報(bào)，不踩“高壓線(xiàn)”

銳捷防挖礦木馬方案部署銳捷防火墻，同時(shí)核心交換機(jī)旁?huà)炝髁刻结?，?lián)動(dòng)騰訊云安全平臺(tái)，采用流量檢測(cè)技術(shù)精準(zhǔn)識(shí)別挖礦木馬。

挖礦木馬入侵的常規(guī)步驟是先發(fā)起挖礦相關(guān)的DNS域名申請(qǐng)，然后根據(jù)DNS返回的IP，發(fā)起到礦池的登錄和交互。傳統(tǒng)的方案需要首先檢測(cè)域名，然后針對(duì)后續(xù)的IP通信進(jìn)行阻斷。雖然也起到阻隔挖礦的效果，但是由于放行DNS解析過(guò)程，容易被監(jiān)管部門(mén)監(jiān)測(cè)系統(tǒng)識(shí)別、通報(bào)。

銳捷與騰訊云安全聯(lián)動(dòng)，將挖礦DNS域名一網(wǎng)打盡，主機(jī)一旦發(fā)起對(duì)挖礦域名的申請(qǐng)，態(tài)勢(shì)感知與防火墻立刻就能將其隔斷，直接阻止其解析過(guò)程，避免被通告。同時(shí)流量探針對(duì)流量進(jìn)行深度識(shí)別，哪怕挖礦木馬更隱蔽，直接在主機(jī)中寫(xiě)IP也不用擔(dān)心，流量探針的識(shí)別庫(kù)可根據(jù)錢(qián)包字段、秘鑰交互等挖礦的特征行為將其精準(zhǔn)識(shí)別，全面封堵挖礦病毒。

精準(zhǔn)定位學(xué)號(hào)，解放運(yùn)維老師

在將挖礦木馬的DNS攔截后，需要對(duì)其進(jìn)行治理，被通報(bào)的則要舉證完整的證據(jù)鏈。銳捷采用防火墻與態(tài)勢(shì)感知（BDS）和身份認(rèn)證（SAM）聯(lián)動(dòng)的架構(gòu)，將SAM中學(xué)生/老師的賬號(hào)、IP、時(shí)間信息與防火墻等安全設(shè)備中的告警、IP、時(shí)間信息在BDS中進(jìn)行匹配，可以輕松得出包括學(xué)號(hào)、時(shí)間和具體告警信息的完整溯源。

這樣可以統(tǒng)一時(shí)間集中溯源和處理挖礦主機(jī)，顯著提升了運(yùn)維效率。解決方案定位的不是IP地址而是學(xué)號(hào)，運(yùn)維老師可以直接通過(guò)學(xué)號(hào)聯(lián)系到需要進(jìn)行殺毒操作的老師和同學(xué)，規(guī)避了DHCP環(huán)境下無(wú)法精準(zhǔn)定位人員的問(wèn)題。

阻斷橫向擴(kuò)散，遏制內(nèi)部傳播

對(duì)于挖礦木馬的整治，防通報(bào)只是一方面，形成有效的治理體系才是關(guān)鍵。目前業(yè)界大部分方案都是在網(wǎng)絡(luò)邊界部署安全設(shè)備，這樣無(wú)法阻止病毒在內(nèi)部傳播。部分挖礦木馬還具備蠕蟲(chóng)化的特點(diǎn)，可以滲透內(nèi)網(wǎng)，嚴(yán)重威脅服務(wù)器安全。

銳捷態(tài)勢(shì)感知實(shí)現(xiàn)與交換機(jī)聯(lián)動(dòng)，通過(guò)收集交換機(jī)Sflow采樣，實(shí)現(xiàn)全校東西向挖礦流量的識(shí)別阻斷。在態(tài)勢(shì)感知平臺(tái)識(shí)別感染主機(jī)后，同時(shí)下發(fā)策略給交換機(jī)，在端口將中毒主機(jī)下線(xiàn)，阻斷挖礦木馬內(nèi)部的橫向病毒復(fù)制，挖礦整治更加徹底。

銳捷深耕教育行業(yè)，深入洞察校園網(wǎng)絡(luò)應(yīng)用與監(jiān)管場(chǎng)景。針對(duì)高校的防挖礦場(chǎng)景，以校園網(wǎng)整體架構(gòu)出發(fā)，充分發(fā)掘現(xiàn)有網(wǎng)絡(luò)設(shè)備安全能力，通過(guò)出口封堵、實(shí)名溯源、內(nèi)部阻斷等三重手段，實(shí)現(xiàn)挖礦病毒的快速發(fā)現(xiàn)和阻斷、準(zhǔn)確定位、避免傳播，為清朗安全的校園網(wǎng)絡(luò)環(huán)境保駕護(hù)航。