IP網(wǎng)絡(luò)攻擊手段與安全策略

本文的主要內(nèi)容是描述常見網(wǎng)絡(luò)攻擊手段以及針對(duì)這些攻擊手段應(yīng)該如何設(shè)置網(wǎng)絡(luò)安全防護(hù)策略。

    一·引言

    隨著計(jì)算機(jī)網(wǎng)絡(luò)的發(fā)展， 信息網(wǎng)絡(luò)逐漸發(fā)達(dá)起來， 帶給企業(yè)和人民生活巨大的好處， 我國也是把信息產(chǎn)業(yè)放在發(fā)展的首位。 高信息技術(shù)象一把雙仞劍， 帶給我們無限的益處， 同時(shí)也帶給信息網(wǎng)絡(luò)更大的風(fēng)險(xiǎn)。 因?yàn)橛?jì)算機(jī)安全方面比傳統(tǒng)的計(jì)算機(jī)安全的范圍要廣和復(fù)雜的多。 一旦出現(xiàn)問題的話， 造成的危害會(huì)更加巨大和可怕。 比如， 原來我們的講到的計(jì)算機(jī)安全多是講物理安全或病毒造成的數(shù)據(jù)危害等， 病毒要傳播需要遵循一定的傳播途徑， 傳播載體再經(jīng)過一定的時(shí)間過程， 才可能發(fā)作。 不管物理安全還是計(jì)算機(jī)病毒多數(shù)都是可以通過有效手段進(jìn)行防范和消滅的。 但現(xiàn)在已完全不同了， 計(jì)算機(jī)網(wǎng)絡(luò)的發(fā)展， 特別是近年來的INTERNET已將世界上無數(shù)的計(jì)算機(jī)網(wǎng)絡(luò)聯(lián)系在了一起， 這么說， 即使你已將大樓的門完全鎖好了， 但攻擊者還是通過計(jì)算機(jī)網(wǎng)絡(luò)在世界的另一頭侵入你的網(wǎng)絡(luò)， 翻閱機(jī)密資料甚至作出破壞性的動(dòng)作。 所以我們信息管理人員應(yīng)該

    對(duì)攻擊手段有一個(gè)全面深刻的認(rèn)識(shí)， 需要制訂適合本系統(tǒng)的完善安全防護(hù)策略。

    二·清楚需要保護(hù)的

    為了制訂安全防護(hù)策略， 首先需要弄清楚什么是需要保護(hù)的。 其次了解一般的攻擊類型和攻擊手段。

    當(dāng)我們的機(jī)器聯(lián)上了INTERNET， 我們同時(shí)也給自己帶來了三

    種風(fēng)險(xiǎn)。

    l 數(shù)據(jù)：存儲(chǔ)在電腦中的數(shù)據(jù)信息

    l 資源：機(jī)器設(shè)備

    l 榮譽(yù)：

    數(shù)據(jù)

    對(duì)個(gè)人或企業(yè)來說， 數(shù)據(jù)的三個(gè)特性是需要保護(hù)的。

    l 秘密性（Secrecy）：不想給其他人知道的。

    l 完整性（Integerity）：不想給其他人更改的。

    l 有效性（Availability）：需要確認(rèn)的可以使用的。

    資源

    雖然機(jī)器上沒有什么重要的數(shù)據(jù)， 但是侵入者可以隨意的使用你的機(jī)器和其資源， 如：儲(chǔ)存一些資料， 進(jìn)行運(yùn)算， 甚至將其做為一個(gè)可以攻擊其它網(wǎng)絡(luò)或機(jī)器的跳板， 網(wǎng)關(guān)（gateway）。 需要注意的是：這是黑客(Hacker)常用手段， 狡猾的Hacker有不止一個(gè)攻擊網(wǎng)關(guān)， 且分布不一， 有很大程度的欺騙性和隱蔽性。

    榮譽(yù)

    如果一個(gè)侵入者以你個(gè)人或一個(gè)企業(yè)的身份出現(xiàn)在INTERNET上， 他做的什么事情看上去都向來自你或你的企業(yè)， 那會(huì)帶來什么影響或危害呢？

    三·攻擊行為類型

    大部分攻擊行為類型都全部分為三類， 是一、闖入（Intrusion）

    二、Denial of service 三、信息竊取。

    闖入

    最常見的攻擊就是叫闖入， 他們闖進(jìn)計(jì)算機(jī)里， 就向普通合法用戶一樣使用你的電腦。 闖入的手段是比較多的， 常見的類型是， 利用社會(huì)工程學(xué)攻擊（如：你打個(gè)電話給ISP， 說你是某個(gè)用戶， 為了做某些工作， 要求立即改變密碼）。 一種是， 猜測(cè)用戶名的密碼， 在有些情況下這是比較容易的， 有許多一般用戶并不太重視自己的密碼， 或嫌麻煩怕忘記密碼而將密碼取的很容易猜測(cè)到， 根據(jù)自己的親身經(jīng)驗(yàn)， 一個(gè)服務(wù)器里有至少有百分之五的人的密碼是非常簡(jiǎn)單和易猜的， 甚至很多人的密碼與用戶名居然是一樣的。 另一種， 是搜索整個(gè)系統(tǒng)， 發(fā)現(xiàn)軟件， 硬件的漏洞（BUG）或配置錯(cuò)誤， 以獲得系統(tǒng)的進(jìn)入權(quán)。 關(guān)于第三種闖入類型的詳細(xì)內(nèi)容可以參考攻擊手段。

    Denial of services

    這是一種將對(duì)方機(jī)器的功能或服務(wù)給以遠(yuǎn)程摧毀或中斷的攻擊方式， Denial of services攻擊的手段也是多種多樣的， 最早出現(xiàn)的大概是叫“郵包炸彈”， 它是這樣的， 攻擊者用一個(gè)程序不斷的向被攻擊者的郵箱發(fā)出大量郵件同時(shí)還匿藏自己的地址信息， 以至于郵件使用者幾乎無法處理。 甚至導(dǎo)致郵件服務(wù)系統(tǒng)因?yàn)榇罅康姆��?wù)進(jìn)程而崩潰。 而被襲擊者也無法確認(rèn)誰是攻擊者。 另一些攻擊手段是利用軟件本身的設(shè)計(jì)漏洞進(jìn)行遠(yuǎn)程攻擊,其中比較著名的是微軟的OOB(Out Of Bond)漏洞,只要對(duì)著運(yùn)行95或NT的139口發(fā)出一個(gè)不合法的包， 就會(huì)導(dǎo)致操作系統(tǒng)輕則斷掉網(wǎng)絡(luò)連接， 重則徹底死機(jī)或重起。

    信息竊取

    有一些攻擊手段允許攻擊者即使不操作被攻擊的電腦系統(tǒng)也能得到想要的數(shù)據(jù)。 比較典型的是用網(wǎng)絡(luò)嗅查器(Sniffer)監(jiān)聽網(wǎng)絡(luò)中的包信息， 從中發(fā)現(xiàn)有用的信息， 如：用戶名， 密碼， 甚至付款信息等。 Sniffer的工作有點(diǎn)象現(xiàn)實(shí)社會(huì)里裝電話竊聽裝置一樣。 在共享式網(wǎng)絡(luò)環(huán)境里， Sniffer是很可怕的， 它可以監(jiān)聽大量的網(wǎng)絡(luò)信息。

    四·攻擊手段和反攻擊

    在談攻擊手段前， 可以先研究攻擊行為的特性來幫助全面了解攻擊和反攻擊。

    攻擊一臺(tái)主機(jī)， 對(duì)黑客來說指導(dǎo)思想應(yīng)該是廣泛尋找整個(gè)網(wǎng)絡(luò)系統(tǒng)漏洞薄弱的地方或配置錯(cuò)誤是最優(yōu)先要做的， 其次再是尋找一個(gè)新的攻擊點(diǎn)。 假設(shè)：我要攻擊一個(gè)系統(tǒng)， 需要進(jìn)入某臺(tái)主機(jī)。 我最先要做的可能是先在它附近機(jī)器上尋找漏洞或稱為可攻擊點(diǎn)， 而不是先把大量的心思放在要攻擊的主機(jī)上， 這樣有什么好處呢？一是隱蔽自己的真實(shí)攻擊目標(biāo)， 做為一個(gè)攻擊跳板。 二是利用附近機(jī)器與目標(biāo)機(jī)可能具有的“信任”關(guān)系， 輕易的侵入目標(biāo)機(jī)。 三就是整個(gè)系統(tǒng)比較大的時(shí)候， 攻擊點(diǎn)就可能比較容易發(fā)現(xiàn)， 可以在侵入一臺(tái)機(jī)器后， 利用Sniffer來監(jiān)聽發(fā)往目標(biāo)機(jī)器的網(wǎng)絡(luò)信息， 或其它方法或得來目標(biāo)機(jī)器的進(jìn)入權(quán)。

    通常， 攻擊行為的四個(gè)階段：

    1·得到進(jìn)入系統(tǒng)的權(quán)力

    2·得到超級(jí)用戶的權(quán)限

    3·再攻擊其它附近的機(jī)器

    4·離開前， 留下后門（backdoor）

    階段一：得到進(jìn)入帳號(hào)

    攻擊者攻擊UNIX系統(tǒng)的時(shí)候， 最先要做的就是得到用戶名和密碼， 他要做就是得到/etc/shadow文件或NIS map.當(dāng)?shù)玫搅藄hadow文件后， 就可以用Crack程序嘗試將其解密， Crack程序通常是用字典攻擊的方法來嘗試密碼的， 因?yàn)閟hadow文件都是用DES不可逆算法加了密， 所以只有用一個(gè)字典文件（一個(gè)含有許許多多單詞的文件）對(duì)照shadow文件來反復(fù)猜測(cè)用戶的密碼。 字典文件里的單詞就是用來試密碼的字符串。 如果一個(gè)系統(tǒng)的用戶比較多， 字典文件設(shè)計(jì)的好， 破解率是很高的， 根據(jù)我的經(jīng)驗(yàn)最高竟達(dá)30%。 據(jù)說搞的好曾

    經(jīng)有人試過50%。 Crack程序原來并不是一開始就為了破密而設(shè)計(jì)的， 本來是用于測(cè)試自己系統(tǒng)用戶的密碼是否簡(jiǎn)單做內(nèi)部檢查用的， 但是一旦shadow文件外泄。 就很難控制住了。 這就要求用戶取密碼時(shí)要盡量復(fù)雜一些， 絕對(duì)不要是一個(gè)單詞， 最好含有數(shù)字和特殊符號(hào)， 另外要定期更換密碼。

    那么怎么得到目標(biāo)機(jī)器的進(jìn)入權(quán)呢？首先是收集信息， 包括一些系統(tǒng)最新的安全漏洞和攻擊漏洞的方法。 二是收集關(guān)于目標(biāo)機(jī)器的信息， 以利于登入系統(tǒng)。 如：收集這臺(tái)機(jī)器的用戶名， 管理員的工作規(guī)律等。

    階段二：得到超級(jí)用戶的權(quán)限

    當(dāng)?shù)玫较到y(tǒng)的進(jìn)入權(quán)后， 下面就是要得到超級(jí)用戶的權(quán)限， 主要途徑就是尋找本身系統(tǒng)的漏洞。 比較典型的方法有， 尋找set-uid的程序， 有可能以超級(jí)用戶的身份存取文件。 尋找不帶驗(yàn)證的NFS以讀取文件。 利用操作系統(tǒng)， 軟件的設(shè)計(jì)漏洞來獲得超級(jí)用戶權(quán)利。 通常最新發(fā)現(xiàn)安全漏洞和攻擊方法都會(huì)給予公布， 攻擊者很容易在網(wǎng)上收集這些信息。 因?yàn)槊糠N系統(tǒng)的漏洞都非常多， 而且經(jīng)常會(huì)發(fā)現(xiàn)一些新的漏洞， 所以一旦攻擊者侵入了系統(tǒng)要獲得超級(jí)用戶權(quán)限的機(jī)會(huì)也是比較高的。 所以管理員更應(yīng)該跟蹤新的安全信息， 有些國外的專業(yè)機(jī)構(gòu)會(huì)定期公布最新漏洞、攻擊方法和解決方案。 CIAC和CERT都是這方面的權(quán)威機(jī)構(gòu)。 另外有一些工具可以起到一些自我檢查的作用， 免費(fèi)的工具有SATAN,COPS， 可以在一定程度上起到一些作用。 另外很重要的就是要經(jīng)常給自己的操作系統(tǒng)裝補(bǔ)�。≒ATCH）和升級(jí)一些老的程序。

    階段三：攻擊其它機(jī)器

    當(dāng)攻擊者得到了超級(jí)用戶權(quán)限， 那這個(gè)機(jī)器就可以用來攻擊網(wǎng)絡(luò)上的其它機(jī)器。 一般手段有修改login進(jìn)程以竊取密碼， 包嗅查器竊取網(wǎng)絡(luò)數(shù)據(jù)再傳給攻擊者。 在這個(gè)階段， 攻擊者已經(jīng)得到了超級(jí)用戶權(quán)限， 它可以修改系統(tǒng)里的所有文件， 包括記錄文件， 程序文件， 設(shè)備文件， 修改整個(gè)系統(tǒng)的行為等等。 對(duì)管理員來說這個(gè)階段里， 除非攻擊者故意引起管理員注意， 某些程度上是很難察覺的， 管理員完全是被動(dòng)的。 專業(yè)的黑客會(huì)自己編制一套工具程序， 一邊“工作”， 一邊刪除自己的活動(dòng)記錄。 或者將自己的程序覆蓋掉原有的程序， 使得系統(tǒng)管理員一般情況下使用這些程序是正常的但是實(shí)際上卻做了某些手腳， 例如：這些程序在特定的條件下不做系統(tǒng)記錄， 不顯示某些信息， 或者做特定的動(dòng)作等等。 對(duì)于后一種情況， 管理員可以安裝checksum工具來保證程序的完整性。 免費(fèi)的工具有：Tripwire,COP5.

    階段四：離開前， 留下后門

    為了能夠方便攻擊者下次再輕易的返回系統(tǒng)， 專業(yè)黑客在退出系統(tǒng)之前， 肯定要留下一些后門， 再徹底清除他在這段時(shí)間的系統(tǒng)活動(dòng)記錄。 后門的類型五花八門， 具我所知就不下十種， 不能夠一一細(xì)說， 大致有"rhost + +","Checksum and Timestamp","Login后門","telnetd后門","服務(wù)進(jìn)程后門","crontab后門","庫文件后門","內(nèi)核后門"， “文件系統(tǒng)后門”,"啟動(dòng)區(qū)后門"， "隱藏進(jìn)程后門"等等。

    對(duì)管理員來說， 這個(gè)階段和上個(gè)階段一樣， 比較難以察覺， 因?yàn)槿绻麤]有發(fā)現(xiàn)有攻擊者的情況下， 很少管理員會(huì)主動(dòng)去查找是否系統(tǒng)里留有攻擊者的后門。 即使發(fā)現(xiàn)了入侵者， 因?yàn)橄髣偛盘岬降模?后門種類繁多， 有些可以通過一些工具或自檢容易查到或處理掉， 有些就比較麻煩， 可能要花大量的人力和物力去查找是否有問題。 計(jì)算機(jī)系統(tǒng)復(fù)雜， 高級(jí)復(fù)雜的后門如“內(nèi)核后門“是很難發(fā)覺到的， 除非重裝系統(tǒng)否則不能保證沒有后門留在里面。 幸運(yùn)的是這種高級(jí)后門掌握的人相對(duì)比較少， 運(yùn)用起來也比較麻煩。

    分析完以上攻擊行為的階段， 發(fā)現(xiàn)對(duì)系統(tǒng)安全來說， 預(yù)防要以一階段和二階段為主， 一旦被攻擊者成功的完成了第二階段。 以后就很麻煩了， 有可能產(chǎn)生比較嚴(yán)重的后果。

    常見攻擊手段分析

    現(xiàn)在對(duì)攻擊行為已有了比較清晰全面的認(rèn)識(shí)， 接著介紹攻擊行為第一和第二階段的出現(xiàn)的漏洞類型和攻擊手段。 主要是一些典型和比較著名的漏洞。

    Sendmail漏洞

    Sendmail程序?qū)嵲谑翘珡?fù)雜了， 所以它的每個(gè)版本總能出現(xiàn)這樣或那樣的問題， 對(duì)管理員來說也較難配置。 同時(shí)因?yàn)閟endmail有一個(gè)對(duì)外服務(wù)的25口， 所以還使攻擊者有遠(yuǎn)程攻擊的機(jī)會(huì)。

    典型的漏洞有sendmail -d Debug,sendmail Bounce to

    Program,sendmail syslog buffer problem.

    Sendmail -d Debug

    比較新的sendmail有-d這個(gè)命令參數(shù)， 是進(jìn)入調(diào)試模式的意思。 當(dāng)設(shè)置了很多的調(diào)試參數(shù)的時(shí)候， 就可以利用堆棧溢出， 嵌入一個(gè)命令以sendmail的執(zhí)行身份執(zhí)行。 因?yàn)閟endmail是一定要以超級(jí)用戶的身份執(zhí)行的。 這意味著可以嵌入向'cat /etc/shadow'這樣的命令。

    Sendmail Bounce to Program Hole

    這是一個(gè)比較老的sendmail版本問題,向不存在的地址發(fā)一個(gè)象這樣的一個(gè)'/bin/mail user@notexists.com < /etc/shadow'郵件.信會(huì)退回來， 后面那個(gè)文件也會(huì)被以ROOT身份讀回來。

    等等厖

    堆棧溢出

    有許多命令都是set-uid的程序， 這是因?yàn)樗�要為普通用戶服�?wù)但是又要以超級(jí)用戶的身份執(zhí)行命令， 一定要有Set-uid位命令有sendmail,passwd等等。 這樣就如果命令程序的設(shè)計(jì)有問題的話， 就會(huì)給攻擊者以Buffer overflow的方式使程序幫助他執(zhí)行其它命令或以非正常方式退出到root shell.

    比較典型和經(jīng)常出問題的有/etc/passwd， /bin/fdformat， ps命令等等。 所以管理員根據(jù)情況可以考慮去掉suid位， 以防止這些事情發(fā)生。

    程序設(shè)計(jì)問題

    有許多命令或應(yīng)用程序在設(shè)計(jì)階段因?yàn)槿藶榈氖韬龌蝈e(cuò)漏， 使得它出現(xiàn)種種問題， 有些甚至是嚴(yán)重的安全問題。 這點(diǎn)在現(xiàn)實(shí)生活中出現(xiàn)的情況比較多， 我估計(jì)至少有50%的漏洞是與程序本身設(shè)計(jì)有關(guān)。

    如：我發(fā)現(xiàn)最普遍和容易給管理員疏忽的是sun ftpd， 攻擊者利用ftpd程序做一些程序不能預(yù)期的動(dòng)作后， 使其 core dump是有shadow內(nèi)容的文件。 利用另一些程序漏洞， 甚至可以完全以root身份執(zhí)行動(dòng)作。 有些程序員在設(shè)計(jì)CGI程序也容易忽視安全問題， 使得他的程序可以被利用來做為入侵的攻擊點(diǎn)。

配置錯(cuò)誤或人為疏忽

    配置錯(cuò)誤或疏忽也是造成攻擊者有機(jī)可乘的主要原因， 當(dāng)然硬件， 軟件等配置疏忽和錯(cuò)誤是多種多樣的， 舉個(gè)例子。 比較典型的有/tmp目錄權(quán)限的設(shè)置。 這是本身Solaris2.5.1系統(tǒng)安裝后自己的問題， 沒有設(shè)置粘貼位， 使得利用一個(gè)程序就可以得到root shell.另一些是管理員疏忽或配置錯(cuò)誤造成的安全漏洞， 比較典型的有以root身份執(zhí)行httpd,這樣執(zhí)行程序時(shí)就會(huì)以超級(jí)用戶的身份執(zhí)行。 給攻擊者有機(jī)可乘。 另一些是有些管理員忽視安全問題的細(xì)節(jié)， 我親身發(fā)現(xiàn)的有這樣的情況， 管理員將web server和ftp server放在同一臺(tái)機(jī)

    器里， 而他的CGI程序有一個(gè)比較大的漏洞， 使得攻擊者可以遠(yuǎn)程在機(jī)器上執(zhí)行命令， 本來只是以nobody的身份執(zhí)行的， 不會(huì)產(chǎn)生很大的問題， 但是正好ftp server也在同一臺(tái)機(jī)器上。 在搞清楚機(jī)器的其他漏洞后， 將攻擊程序上載到那臺(tái)機(jī)器上， 再從web瀏覽器上遠(yuǎn)程執(zhí)行， 輕易的就得到了超級(jí)用戶的權(quán)利。 還有一些是有些目錄的權(quán)限設(shè)置的不正確。 另一些是路由器或子網(wǎng)設(shè)置不科學(xué)， 使得攻擊者有種種機(jī)會(huì)。

    其它有趣的攻擊方法

    除了以上的那些主要的漏洞種類是黑客的常用的手段， 還有一些技巧是比較有趣又非常犀利的。 如：IP搶劫(IP Hijack)、IP欺騙(IP Spoff)， Sniffer、搶劫TTY(TTY Watcher)、“特洛依“木馬、DNS欺騙、arp欺騙、War dialing等等。

    IP搶劫， 是指將某個(gè)連接的進(jìn)程強(qiáng)行強(qiáng)過來。 如某個(gè)用戶正在與某臺(tái)主機(jī)相連， 做某些動(dòng)作。 這個(gè)時(shí)候通過設(shè)計(jì)好的程序?qū)⑵溥B接強(qiáng)過來， 自己與主機(jī)接收和發(fā)送數(shù)據(jù)。 這種技術(shù)是對(duì)付“一次性密碼”的連接的好手段， 即使你每次的密碼不一樣或隨機(jī)， 但還是可以得到想要的信息。 而且可以欺騙主機(jī)， 繞過防火墻。 使之認(rèn)為還是原來被搶的那個(gè)連接。

    IP欺騙， 是指?jìng)窝b自己真實(shí)的IP地址。 攻擊者在攻擊某些目標(biāo)的時(shí)候， 如果風(fēng)險(xiǎn)很大， 是絕對(duì)要繞幾臺(tái)中間機(jī)， 再利用IP欺騙隱藏真實(shí)IP地址， 這樣即使被發(fā)現(xiàn)也是個(gè)假IP。 另外IP欺騙的一個(gè)重要用途是于繞過防火墻。 因?yàn)榉阑饓Φ脑O(shè)置多是基于包過濾的， 它接受來自某些IP的包， 也拒絕某些包。 這樣如果攻擊者將自己的IP偽裝成假IP就可以順利的通過防火墻了。

    嗅查器(Sniffer)， 是指監(jiān)聽網(wǎng)段的通信信息。 因?yàn)橐话銇碇v許多公司企業(yè)都是使用共享式的集線器（HUB）， 所以只要將網(wǎng)卡接口設(shè)置為監(jiān)聽模式， 就可以收到網(wǎng)絡(luò)所有的廣播和傳送信息。 大部分情況下， 這種技術(shù)通常用于偷聽網(wǎng)絡(luò)中傳送的信息， 如密碼， 私人信息等等。 但它的局限在于只能聽到本網(wǎng)段的信息， 如果使用switch hub就聽不到其它機(jī)器傳送的信息。

    搶劫TTY,是指監(jiān)視同個(gè)系統(tǒng)中使用不同TTY設(shè)備的用戶做的動(dòng)作， 或?qū)⑵鋸?qiáng)過來， 以設(shè)備使用者的身份做動(dòng)作。 搶劫TTY可以用于監(jiān)視某些人的動(dòng)作， 或等待其離開的時(shí)候以他的身份執(zhí)行動(dòng)作。

    DNS欺騙， 是指使被攻擊機(jī)器使用的DNS SERVER給出假的域名。 和IP欺騙相似， 主要用于攻擊有輸出NFS目錄,或限制了某些名字機(jī)器進(jìn)入的主機(jī)。 也可以用于繞過防火墻。

    “特洛依“木馬， 指替換某些程序或給出假程序， 以獲得想要的信息。 如為了要得到某個(gè)用戶的確切密碼， 可以這樣， 做一個(gè)“陷阱”， 等用戶踩中它， 再給出一個(gè)很“認(rèn)真， 專業(yè)”的信息， 如：“系統(tǒng)錯(cuò)誤！請(qǐng)重新輸入密碼”。 這樣如果用戶真的輸入了， 程序就將其發(fā)送給攻擊者， 自行銷毀自己或匿藏起來， 等待下次再被激發(fā)。

    War dialing,指攻擊者用一個(gè)程序反復(fù)撥各合法的電話號(hào)碼， 找出有MODEM應(yīng)答的電話， 再嘗試從此攻入。 因?yàn)樵S多公司設(shè)置了電話撥入與方便外出的人員或與其他公司傳送電子信息。 但是多數(shù)都將密碼設(shè)的極為簡(jiǎn)單甚至沒有密碼。 這樣攻擊者從此進(jìn)入也可完全繞過防火墻。 最近SUN公司還宣布， 如果發(fā)現(xiàn)職員私設(shè)MODEM， 有可能會(huì)遭到解雇。 可見這也是一個(gè)主要的安全隱患。

    安全防范技術(shù)

    正因?yàn)榫W(wǎng)絡(luò)安全問題， 復(fù)雜多樣， 所以出現(xiàn)了一些技術(shù)來幫助管理員來加強(qiáng)網(wǎng)絡(luò)安全。 其中主要分為， 加密技術(shù)， 身份認(rèn)證技術(shù)， 數(shù)據(jù)完整性審計(jì)技術(shù)， 防火墻技術(shù)等等。 管理員可以利用這些技術(shù)組合使用來保證網(wǎng)絡(luò)主機(jī)的安全。

    加密技術(shù)

    加密技術(shù)的發(fā)展已經(jīng)很久了， 主要分為公開算法和私有算法兩種， 私有算法是運(yùn)用起來是比較簡(jiǎn)單和運(yùn)算速度比較快的， 但缺點(diǎn)是一旦被解密者追蹤到算法， 那么算法就徹底廢了。 公用算法是， 算法公開的， 有的是不可逆， 有用公鑰， 私鑰的。 優(yōu)點(diǎn)是非常難破解， 可廣泛用于各種應(yīng)用。 缺點(diǎn)是運(yùn)算速度較慢。 使用有時(shí)很不方便。

    身份認(rèn)證技術(shù)

    這項(xiàng)技術(shù)在電子商務(wù)應(yīng)用中是極為重要的核心安全技術(shù)之一， 主要在數(shù)字簽名是用公鑰私鑰的方式保證文件是由使用者發(fā)出的和保證數(shù)據(jù)的安全。 相關(guān)技術(shù)有， RSA， PGP。 在網(wǎng)絡(luò)應(yīng)用中有第三方認(rèn)證技術(shù)Kerberos,它可以使用戶使用的密碼在網(wǎng)絡(luò)傳送中， 每次均不一樣， 可以有效的保證數(shù)據(jù)安全和方便用戶在網(wǎng)絡(luò)登入其它機(jī)器的過程中不需要重復(fù)輸入密碼。 但它的缺點(diǎn)是配置復(fù)雜， 安裝客戶端使用不是很方便。 ssh是加密連接的意思， 它可以使你和主機(jī)間的連接保持高度加密， 還可和Kerberos結(jié)合使用。 缺點(diǎn)和Kerberos基本相同。

    數(shù)據(jù)完整性技術(shù)

    為了保證機(jī)器中的程序沒有被入侵者做了惡意的更改， 可以使用一些工具軟件幫助檢查， 常用的有， tripwire,COP5等。

    防火墻

    防火墻技術(shù)是比較重要的一個(gè)橋梁， 以用來過濾內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)環(huán)境， 在網(wǎng)絡(luò)安全方面， 它的核心技術(shù)就是包過濾， 高級(jí)防火墻還具有地址轉(zhuǎn)換， 虛擬私網(wǎng)等功能。

    包過濾的優(yōu)點(diǎn)

    1·一個(gè)包過濾路由器就可以保護(hù)整個(gè)網(wǎng)絡(luò)

    2·包過濾不需要一般使用者的配合和知識(shí)

    3· 包過濾是一個(gè)大部分路由器都有的功能

    包過濾的缺點(diǎn)

    1· 因?yàn)橄忍斓娜毕荩?現(xiàn)在的過濾工具還不是很完美

    2· 包過濾對(duì)有時(shí)并不適合某些協(xié)議(Rcp,rlogin.rdist,rsh,NFS,NIS..etc..)

    3· 有些安全政策并不能輕易的轉(zhuǎn)成包過濾規(guī)則

    4· 有些技術(shù)可以繞過防火墻.如：IP欺騙和DNS欺騙。

    系統(tǒng)管理員應(yīng)提高認(rèn)識(shí)， 并分析作出解決辦法和提出具體防范方法。 更應(yīng)該在保證好機(jī)器設(shè)備正常運(yùn)轉(zhuǎn)的同時(shí)， 積極研究各種安全問題。 堵住安全隱患。

    五·制訂安全策略

    制訂安全策略是非常有必要的， 雖然沒有絕對(duì)的把握阻止任何侵入， 但是一個(gè)好的安全策略可以做到是， 最少的機(jī)會(huì)發(fā)生侵入情況， 即使發(fā)生了也可以最快的作出正確反應(yīng)， 最大程度減少經(jīng)濟(jì)損失。

    系統(tǒng)管理員在工作中和制訂安全策略具體工作內(nèi)容中有幾項(xiàng)安全原則要注意。

    1·最小權(quán)限(Least Privilege)

    如果用戶不需要使用到一些功能， 就不要給其權(quán)限。 只要是不必需要的權(quán)限就不需要給。 以免增加發(fā)生意外的機(jī)會(huì)。

    2·多層防御

    不能只依賴一種安全結(jié)構(gòu)， 就象你鎖了桌子， 還要鎖門一樣。

    3·堵塞點(diǎn)(Choke Point)

    盡量強(qiáng)迫攻擊者如果想要攻擊的話， 只能使用一條很"窄"的通道,

    這樣可以方便監(jiān)視和控制。

    4·考慮最薄弱的點(diǎn)(Weakest Link)

    自我尋找最薄弱的地方， 做出相應(yīng)的防范方法。

    5·錯(cuò)誤保護(hù)狀態(tài)(Fail-Safe Stance)

    出現(xiàn)錯(cuò)誤， 或問題時(shí)候應(yīng)自動(dòng)保持最安全的狀態(tài)。 這意思就象一棟大廈發(fā)生火警時(shí)電梯應(yīng)自動(dòng)停止， 而各大門應(yīng)自動(dòng)變成打開狀態(tài)。

    6·團(tuán)隊(duì)合作(Universal Particpation)

    大部分安全系統(tǒng)都需要各個(gè)人員的配合， 如果有一人的疏忽或者不配合， 那么攻擊者就有可能通過他的機(jī)器， 從內(nèi)部來攻擊其它的機(jī)器。

    7·多類型防御體系(Diversity of Defense)

    使用多個(gè)不同廠商的安全系統(tǒng)會(huì)減少僅僅因?yàn)橐粋�(gè)BUG或配置錯(cuò)誤而影響整個(gè)系統(tǒng)的機(jī)會(huì)。 缺點(diǎn)就是， 花費(fèi)的人力和物力都會(huì)相對(duì)比較多。

    8·保持簡(jiǎn)單(Simplicity)

    使事情變的簡(jiǎn)單， 如果你不明白， 那你就不能確定這是否安全， 復(fù)雜的系統(tǒng)容易隱藏一些角落或問題。 復(fù)雜的系統(tǒng)有更多的bugs,有些會(huì)是安全問題。

    制訂安全策略時(shí)應(yīng)考慮的內(nèi)容，

    1·解釋(explanations)

    整個(gè)安全策略應(yīng)該解釋的很清楚， 因?yàn)橛行┤巳绻�他不清楚�?那他也不會(huì)對(duì)此引起重視。

    2·每人的責(zé)任(Everybody's responsibilities)

    一套安全策略應(yīng)包括個(gè)人的責(zé)任與義務(wù)， 包括管理員， 使用者和管理部門等等。 要讓使用者知道和配合站點(diǎn)系統(tǒng)的安全。 要讓使用者知道系統(tǒng)管理員需要做什么工作， 互相得到了解。

    3·通俗的語言(Regular language)

    很多人不是專家， 所以制訂的文件應(yīng)通俗易懂， 過于復(fù)雜只會(huì)起到相反的效果

    4·建立威信(Enforcement authority)

    制訂了策略， 最重要的還是去執(zhí)行， 需要有人去保證這些策略可以得到貫徹和負(fù)責(zé)修訂不正確的內(nèi)容。

    5·準(zhǔn)備以后檢討(Provision for reviews)

    不可能保證一個(gè)安全策略就可以適用很久， 情況總是不斷的變化， 所以需要定期的給于檢討， 找出不合理的地方， 給于修正。

    6·討論安全事項(xiàng)(Discussion of specific security issues)

    有些事情需要安全事項(xiàng)是需要寫入策略里的。

    如：

    l 誰可以在主機(jī)上擁有帳號(hào)？是否需要開放GUEST用戶？

    l 帳號(hào)是否可以允許多人共享？

    l 如果用戶失去了使用權(quán)限， 那管理員要怎么做？

    l 誰可以設(shè)置撥入MODEM？允許其他人使用撥出MODEM

    嗎？

    l 使用者在聯(lián)上網(wǎng)絡(luò)前應(yīng)該做些什么？

    7·怎樣對(duì)安全事件做出反應(yīng)

    應(yīng)該清楚的寫明， 出現(xiàn)安全時(shí)間的時(shí)候應(yīng)遵循怎樣的步驟處理， 或者該具體怎么做。

    總結(jié)

    沒有絕對(duì)安全的網(wǎng)絡(luò)系統(tǒng)， 安全問題是多種多樣， 且隨著時(shí)間技術(shù)的變化而變化， 所以安全防護(hù)也是非常重要的， 保持清醒正確的認(rèn)識(shí)， 同時(shí)掌握最新的安全問題情況， 再加上完善有效的安全策略， 是可以阻止大部分安全事件的發(fā)生， 保持最小程度的經(jīng)濟(jì)損失。