背景：蠕蟲爆發對局域網的毀滅性衝擊

Sasser.B 利用 LSASs 緩衝區溢出 (MS04-011) 傳播，感染機開啟 TCP 5554 建 FTP 服務，通過 445 端口掃描隨機 IP 攻擊。狀：倒計時重啟、系統變慢、網絡癱瘓。傳統殺毒依賴特徵庫，對新變種滯後；管理員逐台升級不現實。Iris 網絡分析儀可從流量層面秒級定位感染源。

手工快速判斷：netstat -an

感染機 445 端口狀態為 SYN_SENT（而非 LISTENING/ESTABLISHED），目標 IP 為隨機不可達地址，大量 SYN 包堵塞交換設備導致網絡癱瘓。

Iris 部署與檢測全流程

1. 部署位置：僅安裝在網關/代理/地址轉換主機。Sasser.B 數據包為單播有明確目的 IP，經過網關轉發，不像 ARP 廣播遍佈全網。非網關部署捕獲不到完整流量。
2. 端口過濾設置：Filter → Edit Filter → Ports → 添加 445 端口為過濾對象。
   
3. 啟動捕獲：工具欄「開始」按鈕。
4. 流量特徵分析：短時間內單一源 IP (如 10.44.5.73) 通過 445 端口向大量隨機目標 IP 發送 SYN 包，目的地不可達，包在交換設備堆積 → 確認該源 IP 感染 Sasser.B。

Iris 進階功能輔助研判

• 統計功能：源 IP 會話數、帶寬佔用、封包率排序，快速定位 Top Talkers。
• 日誌功能：長期存儲流量元數據，事後回溯分析傳播鏈。
• 專家協議解碼：解析 SMB/TCP 細節，識別漏洞利用載荷特徵。

從 Sasser.B 到現代蠕蟲防禦體系

時代	檢測手段	核心局限	現代替代
2004	網關流量分析	需專業人員、僅覆蓋經網關流量、無法檢測加密/內網橫向	NDR (Network Detection and Response) + 流量鏡像/探針全覆蓋
2010+	端點 EDR	單機視角、對抗繞過	XDR 融合網絡+端點+雲+身份，關聯分析
現在	零信任微隔離	部署複雜、業務適配難	身份為邊界、最小權限、持續驗證、自動化響應

給網管的行動清單

1. 資產梳理：確認所有對外/核心網段網關部署流量分析探針。
2. 基線建模：學習正常 445/SMB/RPC 流量基線，異常激增即時告警。
3. 補丁管理：MS04-011 類漏洞 72 小時內全網修補完成，不可延遲。
4. 應急預案：蠕蟲爆發 → 隔離感染段 → 批量推送專殺 → 驗證清除 → 解除隔離 → 複盤加固。
5. 紅藍演練：模擬蠕蟲橫向移動，驗證檢測響應時效。

Iris 代表了「流量可視化」時代的偵察能力；今天，我們需要將這種能力內化為自動化、智能化、全覆蓋的網絡威脅狩獵體系。