針對“永恒之藍(lán)”攻擊緊急處置手冊（蠕蟲 WannaCry）

　　3. 確認(rèn)“IP 篩選列表”選項卡下的“端口過濾”被選中。確認(rèn)“篩選器操作”選項卡下的“阻止”被選中。然后點擊“關(guān)閉”。

　　4. 確認(rèn)安全規(guī)則配置正確。點擊確定。

　　5. 在“組策略編輯器”上，右鍵“分配”，將規(guī)則啟用。

　　第2章核心網(wǎng)絡(luò)設(shè)備應(yīng)急處置操作指南

　　大型機(jī)構(gòu)由于設(shè)備眾多，為了避免感染設(shè)備之后的廣泛傳播，建議利用各網(wǎng)絡(luò)設(shè)備的 ACL 策略配置，以實現(xiàn)臨時封堵。

　　該蠕蟲病毒主要利用 TCP 的 445 端口進(jìn)行傳播, 對于各大企事業(yè)單位影響很大。為了阻斷病毒快速傳播, 建議在核心網(wǎng)絡(luò)設(shè)備的三層接口位置, 配置 ACL 規(guī)則從網(wǎng)絡(luò)層面阻斷 TCP 445 端口的通訊。

　　以下內(nèi)容是基于較為流行的網(wǎng)絡(luò)設(shè)備，舉例說明如何配置 ACL 規(guī)則，以禁止TCP 445 網(wǎng)絡(luò)端口傳輸，僅供大家參考。在實際操作中，請協(xié)調(diào)網(wǎng)絡(luò)管理人員或網(wǎng)絡(luò)設(shè)備廠商服務(wù)人員，根據(jù)實際網(wǎng)絡(luò)環(huán)境在核心網(wǎng)絡(luò)設(shè)備上進(jìn)行配置。

　　Juniper 設(shè)備的建議配置(示例):

　　set firewall family inet filter deny-wannacry term deny445 from protocol tcp

　　set firewall family inet filter deny-wannacry term deny445 from destination-port 445 set firewall family inet filter deny-wannacry term deny445 then discard

　　set firewall family inet filter deny-wannacry term default then accept

　　#在全局應(yīng)用規(guī)則

　　set forwarding-options family inet filter output deny-wannacry set forwarding-options family inet filter input deny-wannacry

　　#在三層接口應(yīng)用規(guī)則

　　set interfaces [ 需要掛載的三層端口名稱 ] unit 0 family inet filter output deny-wannacry

　　set interfaces [ 需要掛載的三層端口名稱 ] unit 0 family inet filter input deny-wannacry

　　華三(H3C)設(shè)備的建議配置(示例):

　　新版本: acl number 3050

　　rule deny tcp destination-port 445 rule permit ip

　　interface [需要掛載的三層端口名稱] packet-filter 3050 inbound packet-filter 3050 outbound

　　舊版本: acl number 3050

　　rule permit tcp destination-port 445

　　traffic classifier deny-wannacry if-match acl 3050

　　traffic behavior deny-wannacry filter deny

　　qos policy deny-wannacry

　　classifier deny-wannacry behavior deny-wannacry

　　#在全局應(yīng)用

　　qos apply policy deny-wannacry global inbound qos apply policy deny-wannacry global outbound

　　#在三層接口應(yīng)用規(guī)則

　　interface [需要掛載的三層端口名稱]

　　qos apply policy deny-wannacry inbound

　　qos apply policy deny-wannacry outbound

　　華為設(shè)備的建議配置(示例):

　　acl number 3050

　　rule deny tcp destination-port eq 445 rule permit ip

　　traffic classifier deny-wannacry type and if-match acl 3050

　　traffic behavior deny-wannacry

　　traffic policy deny-wannacry

　　classifier deny-wannacry behavior deny-wannacry precedence 5

　　interface [需要掛載的三層端口名稱] traffic-policy deny-wannacry inbound traffic-policy deny-wannacry outbound

　　Cisco 設(shè)備的建議配置(示例):

　　舊版本:

　　ip access-list extended deny-wannacry

　　deny tcp any any eq 445

　　permit ip any any

　　interface [需要掛載的三層端口名稱] ip access-group deny-wannacry in

　　ip access-group deny-wannacry out

　　新版本:

　　ip access-list deny-wannacry deny tcp any any eq 445 permit ip any any

　　interface [需要掛載的三層端口名稱] ip access-group deny-wannacry in

　　ip access-group deny-wannacry out

　　銳捷設(shè)備的建議配置(示例):

　　ip access-list extended deny-wannacry deny tcp any any eq 445

　　permit ip any any

　　interface [需要掛載的三層端口名稱] ip access-group deny-wannacry in

　　ip access-group deny-wannacry out

　　第3章互聯(lián)網(wǎng)主機(jī)應(yīng)急處置操作指南

　　采用快速處置方式，建議使用 360 安全衛(wèi)士的“NSA 武器庫免疫工具 ”，可一鍵檢測修復(fù)漏洞、關(guān)閉高風(fēng)險服務(wù)，包括精準(zhǔn)檢測出 NSA 武器庫使用的漏洞

　　是否已經(jīng)修復(fù)，并提示用戶安裝相應(yīng)的補(bǔ)丁。針對 XP、2003 等無補(bǔ)丁的系統(tǒng)版本用戶，防御工具能夠幫助用戶關(guān)閉存在高危風(fēng)險的服務(wù)，從而對 NSA 黑客武器攻擊的系統(tǒng)漏洞徹底“免疫”。

　　NSA 武器庫免疫工具下載地址：http://dl.360safe.com/nsa/nsatool.exe