专家心得:从系统进程看企业网络安全

    二、 LSASS进程异常

    LSASS进程也是微软操作系统的系统进程，其主要用来管理IP安全策略以及启动ISAKMP/IKE和IP安全驱动程序。这个进程会产生会话秘钥以及授予用户交互式客户/服务器验证的服务凭据。

    一般情况下，若系统进程中出现了一个LSASS进程，并且其是以SYSTEM的用户运行且运行目录是在System32下面，那不用担心，是正常的。但是，有时候这个进程也会作怪，有些木马或者病毒也会假冒这个进程来欺骗用户。

    当发生以下异常情况时，那我们需要注意了，可能我们的操作系统以及网络已经受到病毒或者木马的威胁。

    1、在系统中出现了多个LSASS进程。一般以大写命名的LSASS进程是正常的，是系统进程；但是，若同时还存在一个小写命名的lsass进程的话，那就说明你的系统可能已经出问题了，被病毒或者木马看中了。

    2、若中了ISASS病毒的话，不仅会在系统进程中产生两个LSASS进程，而且，还会产生一个EXERT进程。这两个进程分工合作，共同来管理LSASS病毒。一般来说，LSASS进程控制LSASS病毒的执行，而EXERT病毒控制LSASS病毒的退出。所以，若这两个进程成对出现的话，那你的系统百分之百的已经中了LSASS病毒。

    LSASS病毒也是一个盗号木马，其主要运行在微软的操作系统上。以前的版本危害比较小，主要用来盗取游戏密码。但是，改良后的LSASS病毒，不仅会盗取游戏密码，而且，还会盗取邮箱、QQ密码等等，对于企业网络的安全影响比较大。不法之徒可以利用这个工具，获取企业邮箱等密码，窃取企业的机密，如客户发给企业的定单等等。LSASS病毒会记录键盘信息，最后把用户名与密码信息记录下来并发送到指定的邮箱，从而窃取用户的帐号与密码等等。所以，危害级别比较大。

上一页  [1] [2] [3] [4] 下一页

【责编:Zenghui】