蠕蟲爆發常導致網路效能驟降甚至癱瘓。管理員無須逐台更新病毒碼，可部署 Iris 於閘道/代理主機，即時擷取封包分析，快速鎖定感染源。

Sasser.B 特徵

• 利用 MS04-011 (LSASS 緩衝區溢出) 傳播
• 感染主機開啟 TCP 5554 建立 FTP 服務，掃描隨機 IP 的 445 連接埠
• 症狀：倒數計時對話框、頻繁重開機、系統變慢、上網短暫後無法瀏覽
• netstat -an 可見大量 SYN_SENT 狀態的 445 連線，目的地為隨機不可達 IP

Iris 偵測步驟

1. 於代理/NAT 閘道主機安裝 Iris
2. 設定 Filter：Edit Filter → Ports → 445
3. 啟動捕獲，觀察短時間內單一來源 IP (如 10.44.5.73) 透過 445 向大量隨機 IP 發送封包
4. 確認感染主機後立即隔離清除

Iris 另具統計、日誌等功能，輔助蠕蟲監測。結合提升管理水位與用戶安全意識，可將損失降至最低。