教育機構資安通報平台 事件類型:入侵事件警訊 原發布編號 原發布時間 事件類型 殭屍電腦(Bot) 原發現時間 事件主旨 教育部資安事件通告-新北市三重區碧華國民小學[163.20.x.x]主機進行惡意程式連線(MALWARE-OTHER Trackware relevantknowledge runtime detection) 事件描述 入侵偵測防禦系統偵測到來源IP（163.20.x.x)，包含疑似惡意程式連線行為特徵之封包，對目標IP（x.x.x.x）進行連線。此事件來源 PORT （63439），目標 PORT （80）。 手法研判 來源IP主機可能存在未修補之弱點遭駭客攻擊，感染惡意程式或遭植入木馬程式導致觸發此事件，將可能導致主機機敏資料外洩，或成為殭屍網路一員而對外發動攻擊。 建議措施 請檢視來源IP該連線行為是否已得到合法授權。 若來源IP該連線為異常行為，可先利用掃毒軟體進行全系統掃描，並利用ACL暫時阻擋該可疑IP。同時建議管理者進行以下檢查： a.請查看來源IP有無異常動作(如：新增帳號、開啟不明Port、執行不明程式)。 b.確認防毒軟體的病毒碼已更新為最新版本，並進入系統安全模式下行進行全系統掃描作業、系統是否已安裝相關修正檔，或關閉不使用的應用軟體與相關通訊埠。 若來源IP為DNS server、NAT主機或IP分享器等設備IP時， 表示有內部主機透過這些設備向外連線時而觸發偵測規則， 則需先請設備管理者透過事件單所附之資訊(目的地IP、時間、來源port)， 來協助查找內部觸發偵測規則之主機， 再依前述建議處理措施進行作業。 參考資料 NULL 本校處理程序： 先行將其網路線拔除。 查出為本校文書組長行政電腦，電話告知文書組長，儘速將該部電腦送至資訊中心檢查。 經查該電腦作業系統為 Windows 10×64 1803版，該版本已於 2019 年 11 月 12 日終止維護。 請文書組長將電腦硬碟中資料備份至行動碟。 同步登入「教育機構資通安全應變網站」回報處理情形。 待備份完成後，該電腦系統重灌，新系統為 Windows 10×64 1909版。 重裝文書組長行政工作必須的軟體，並做相關的設定。 […]