如何有效地检测和阻止SunBurst恶意软件？

本月初，披露了一种名为SunBurst的新的高度规避的恶意软件攻击者。也立即公开了一些应对措施，特别是公布了一些Snort / Suricata规则。我们对这些规则进行了分析，试图找出ntop工具是否可以检测和阻止Sunburst，而答案是肯定的，可以。让我们来看看一些规则。您可以观察到的第一件事是，这些规则是any/any，这意味着IDS必须调查每个连接，因为大多数IDS都不像ntop工具那样使用DPI，因此它们需要在到处搜索而不是精确定位字段：这意味着整体工具性能会降低，因为即使是不相关的流量也必须进行