导航------------------------
网络安全的概念
网络安全的重要性
网络安全的实质
历史原因
Know-How
系统缺陷
计算技术发展
网络安全面对的两个方面
系统安全
信息安全
网络的入侵者
攻击与攻击信号
攻击的主要手段
入侵层次分析
关于口令的安全性
网络安全管理员的素质要求
综述
======================================================================
网络安全概念
网络安全的问题随着Internet的发展，也越来越受到人们的关注。这主要原因是由于Internet和Unix 是一个开放的系统，所有的使用者都能对系统进行研究并提出问题，这样就针对安全性提出了很多问题。在Internet 上也发生过相当多的安全问题，使得安全问题进一步为大家所关注。如果基于此就对Internet缺乏信心，也是不必要的，Internet虽然不是一个安全性很高的网络系统，然而也不是象想象的那样不可信赖的，主要是因为Internet 的开放性，使得很多安装问题比较公开。而只要正确使用它，同样也能保证安全性。
对待安全问题有两种不同的态度，一种为封闭的态度，认为将问题隐藏起来是最好的解决安全问题的办法。隐藏起来不被发现当然就避免了安全问题，然而人们也没有办法去证明不会有人发现这个问题，或者说保证掌握安全漏洞的人不会出于各种考虑而利用这个安全问题。很多商业软件都采用这种态度，事实上很多软件本身安全性很低，到了安全专家和攻击者那里，其漏洞就很容易被发现。另一种更为积极的态度，认为安全问题不应该隐藏起来，只有通过从不了解到了解并解决安全问题的不断的、动态过程，才能真正保证系统的安全性。由于这种态度，一方面系统的使用者至少可以了解哪些是安全的，哪些存在问题，从而避开问题而不必担心被欺骗，同样采用这种方法开发的软件，其安全漏洞能被很快发行并被纠正，如果一个软件经过了众多Internet使用者的考验，其中不乏专家，使用者就不必担心其中还有十分严重的安全漏洞了。
Unix用户大部分都是持后一种态度的Internet使用者，不断学习是网络安全的一个独立的、而又非常重要的方面。尽管网络上的攻击者能够从Internet上获得关于网络安全漏洞的技术方法，同样管理员也能获得这些技术，并能及时弥补漏洞。事实上很多导致系统漏洞的问题其实是Internet上早以解决的问题，通过参加相关的安全组织或通过网络定期查阅其报告，就能不受这些系统安全漏洞的影响。
Internet上最著名的一个安全组织是CERT，它提供安全方面的建议，并通过Internet发布报告，这些报告内容包括各种操作系统的问题和漏洞，以及相应的解决办法。其主页为http://www.cert.org ，建议所有关心网络安全的使用者都经常查阅他们提供的资源，从中选择与自己使用的系统相关的内容。
很多网络安全问题发生的原因不在于入侵者攻击手段的高明，而是由于系统管理员的不称职造成的，而合格的系统管理员能跟踪自己操作系统暴露出来的问题，并根据Internet上的建议堵上这些漏洞，国外的很多公司还聘用专业的网络安全顾问，这些顾问的任务之一就是及时发现系统问题，提示管理员进行系统修正。
网络安全的重要性
随着计算机网络的广泛使用和网络之间信息传输量的急剧增长，一些机构和部门在得益于网络加快业务运作的同时，其上网的数据也遭到了不同程度的破坏,或被删除或被复制，数据的安全性和自身的利益受到了严重的威胁。
根据美国FBI的调查，美国每年因为网络安全造成的经济损失超过1,70亿美元。75%的公司报告财政损失是由于计算机系统的安全问题造成的。超过50%的安全威胁来自内部；只有17%的公司愿意报告黑客入侵，其他的由于担心负面影响而未声张。59%的损失可以定量估算。平均每个组织损失USD$402,000。
1998年，一连串的网络非法入侵改变了中国网络安全犯罪"一片空白"的历史。 据公安部的资料，1998年中国共破获电脑黑客案件近百起，利用计算机网络进行的各类违法行为在中国以每年30 ％的速度递增。黑客的攻击方法已超过计算机病毒的种类，总数达近千种。公安部官员估计，目前已发现的黑客攻击案约占总数的15 ％，多数事件由于没有造成严重危害或商家不愿透露而未被曝光。有媒介报道，中国95 ％的与Internet相连的网络管理中心都遭到过境内外黑客的攻击或侵入，其中银行、金融和证券机构是黑客攻击的重点。在中国，针对银行、证券等金融领域的黑客犯罪案件总涉案金额已高达数亿元，针对其他行业的黑客犯罪案件也时有发生。
无论是有意的攻击，还是无意的误操作，都将会给系统带来不可估量的损失。攻击者可以窃听网络上的信息，窃取用户的口令、数据库的信息；还可以篡改数据库内容，伪造用户身份，否认自己的签名。更有甚者，攻击者可以删除数据库内容，摧毁网络节点，释放计算机病毒等等。
黑客的威胁见诸报道的已经屡见不鲜，象贵州省城热线、成都艺术节主页等都报道有黑客入侵，他们在主页上发布反动口号，或将主页修改成黄色画面。
内部工作人员的不小心甚至充当间谍。内部工作人员能较多地接触内部信息，工作中的任何不小心都可能给信息安全带来危险。这些都使信息安全问题越来越复杂。
竞争对手的非法入侵。现在社会竞争越来越激烈，竞争对手通过网络非法访问对方内部信息的事件屡见不鲜。
综上所述，网络必须有足够强的安全措施。无论是在局域网还是在广域网中，网络的安全措施应是能全方位地针对各种不同的威胁和脆弱性，这样才能确保网络信息的保密性、完整性和可用性。
网络安全的实质
很多人都在讲座网络安全，那么到底网络安全的实质是什么？是什么导致了网络安全总是的出现？下面我们将诗集网络安全的四个方面的产生原因。
历史原因
所谓历史原因，就是由于人们在系统开发的过程中，由于认识所限，而没有考虑到的问题导致了现在的安全问题。最明显的就是Y2K总是问题，由于计算机发展初期昂贵的存储单价和欧美人的日期表示习惯，使当时的系统和应用开发人员没有考虑到会在几十年后导致如此巨大的安全漏洞，使人类在解决这个小小的问题上付出了如此代价，实际上，这给了我们一个启示，就是如果一个特性在可预计的未来是会改变的，那么我们就应该考虑到。
特洛伊木马和病毒是另一个例子，实际上，现在许多的病毒（特洛伊）检测程序都是属于事后诸葛亮的性质，虽然很多病毒（特洛伊）检测程序声称能发现新病毒，但实际情况并不尽如人意。防御特洛伊木马和病毒的最完备的方法应该是系统和软件自含的完整性检查（防篡改），只有这样的系统和软件才能真正防止特洛伊木马和病毒的侵袭，然而，由于已经有大量的系统和应用程序存在，我们不可能很快改变这个现状。
Know-How
所谓Know-How，指的是开发商企图通过系统内部结构的保密来实现系统的安全，而不是领先安全技术。当然，如果一个人完全不知道一个系统应该怎么控制，有什么安全漏洞的后门，自然他无法攻入这个系统，但如果通过某种渠道，他了解了技术内幕，这个系统对他可能就完全敞开了大门。
一个古老的例子Phreaking，当年的对电话网络的入侵者。过去的电话交换机并没有什么安全保障，在任何一个电话终端处发出特殊的控制信号就可以控制电话交换机的操作模式。仅仅在几年前，模拟无线电话被盗号的情况泛滥，就是因为Know-How的原因，盗号者只要使用一台扫描器，就可以从空中取得别人的手机交互信号和认证码，可以很轻易地复制出一部盗号手机。这对我们的教训太深刻了。
有时，我们并不能相信某些商业操作系统和应用，尤其是在网络如此发达的今天，因为我们不知道在它们的背后，到底做了些什么。不仅仅因为可能存在的后门，而且因为可能存在的安全漏洞和缺陷，虽然大部分人并不知道，但是我们不能认为谁都不知道。有些软件的开发者也许知道一些问题，但企图利用人们不知道来掩盖其产品的缺陷，但当这些产品的缺陷被人发现后，就可能是一场灾难。而反之，公开源码的系统是我们可以信任的，因为群众的眼睛是雪亮的，后门不可能存在，漏洞和缺陷可以被很快发现并修补。
系统缺陷
人非圣贤，人创造的系统或多或少会有一些系统缺陷，比如许多操作系统中的诸多系统服务，如Unix中的sendmail，强大，灵活的功能的背后，留下了许多安全漏洞。正常的系统服务如果被错误地使用，同样也是安全漏洞。Unix中还有最广为人知的危险的R系列服务（如rlogin, rsh等），由于使用信任关系，入侵者可以通过欺骗的方式，使欲攻击的主机信任入侵者的主机，从而获得被攻击主机的控制权。
计算技术发展
计算机技术日新月异，计算技术的发展导致了原本难以攻克的系统可能在短时间内被攻克。
美国的军方加密标准DES算法在成为标准的时候，56位DES曾被认为是无法攻破的，然而在今天的技术下，56位DES已经完全不能保证系统的安全。
同样，公开密码技术的破译关键是巨大数的因式分解，随着计算技术的发展，能在可承受时间里分解的数已经越来越大了。
计算技术的发展，使攻击者可以使用强攻击的方式破译密码，以达到入侵系统的目的。
但是，值得安慰的是，计算技术的发展对加密技术的推动比解密技术的推动要大得多。只要信息加密能够跟踪最新、最安全的加密技术，解密技术是无法追上加密技术的发展的。
网络安全面对的两个方面
对于网络安全，我们主要面对的是系统和信息安全两个方面，之所以说“主要面对”，是因为网络安全是一个系统工程，牵涉到许多的方面，包括纪律等人为因素，因此只从技术上讨论这两个方面。
系统安全
系统安全是指如何保证系统正常运行。一个网络是由许多的部件组成的，包括交换机，集线器，路由器，防火墙，主机，调制解调器等等。系统安全要求保证所有部件和网络整体能够正常，正确地运行。
在常见的网络攻击中，例如拒绝服务等攻击是针对系统的正常运行的，这些攻击是网络中的设备死机，或者使服务器提供的某项服务停止，或者用大量数据包充塞服务器或其他网络部件，是系统不能正常运行。系统安全主要依靠网络设备自身的保护机制和网络结构，防火墙等措施予以保证。当然，系统安全还包括电源系统的安全，设备自身的质量，冗余等方面。
信息安全
信息安全主要面对在网络中传输的数据的保密性，完整性和可用性。信息安全主要依靠加密技术来保证，运用加密技术，我们可以保证在网络中传递的数据不被非法获得（指明文），不被篡改，插入，录制重放，还可以保证人与人之间的认证，防止抵赖等。
络的入侵者
攻击与攻击信号
什么叫攻击？攻击的法律定义是指：攻击仅仅发生在入侵行为完全完成且入侵者已在目标网络内。但是更积极的观点是（尤其是对网络安全管理员来说）：可能使一个网络受到破坏的所有行为都应称为攻击。即从一个入侵者开始在目标机上工作的那个时刻起，攻击就开始了。
通常，在正式攻击之前，攻击者先进行试探性攻击，目标是获取系统有用的信息，此时包括ping扫描，端口扫描，帐户扫描，dns转换，以及恶性的ip sniffer（通过技术手段非法获取ip packet，获得系统的重要信息，来实现对系统的攻击，后面还会详细讲到），特洛依木马程序等。这时的被攻击状态中的网络经常会表现出一些信号，特征，例如：
· 日志中有人企图利用老的sendmail就是比较明显的攻击的信息，即有人在端口25上发出了两三个命令，这些命令无疑是企图欺骗服务器将/etc/passwd文件的拷贝以邮件的形式发送给入侵者，另外show mount命令有可能是有人在收集计算机的信息。
· 大量的扫描应立即使root意识到安全攻击的出现。
· 某主机的一个服务端口上出现拥塞现象，此时应该检查绑定在该端口上的服务类型。淹没式和denial of service 式的攻击通常是欺骗攻击的先兆（或是一部分）。
· 等等。
良好周密的日志记录以及细致的分析经常是预测攻击，定位攻击，以及遭受攻击后追查攻击者的有力武器。察觉到网络处于被攻击状态后，网络安全管理员应该立刻按照操作规程进行记录，向主管领导汇报，相应的安全措施等处理。
攻击的主要手段
对计算机网络进行攻击的手段可以分为几个主要种类，它们的危害程度和检测防御办法也各不相同：
1 收集信息攻击：
经常使用的工具包括：NSS, Strobe，Netscan， SATAN（Security Aadministrator's Tool for Auditing Network),Jakal, IdentTCPscan, FTPScan等以及各种sniffer.广义上说，特洛依木马程序也是收集信息攻击的重要手段。收集信息攻击有时是其它攻击手段的前奏。对于简单的端口扫描，敏锐的安全管理员往往可以从异常的日志记录中发现攻击者的企图。但是对于隐秘的sniffer和trojan程序来说，检测就是件更高级和困难的任务了。
1.1 sniffer
它们可以截获口令等非常秘密的或专用的信息，甚至还可以用来攻击相邻的网络，因此，网络中sniffer的存在，会带来很大的威胁。这里不包括安全管理员安装用来监视入侵者的sniffer，它们本来是设计用来诊断网络的连接情况的.它可以是带有很强debug功能的普通的网络分析器，也可以是软件和硬件的联合形式。现在已有工作于各种平台上的sniffer，例如:
· Gobbler(MS-DOS)
· ETHLOAD(MS-DOS)
· Netman(Unix)
· Esniff.c(SunOS)
· Sunsniff(SunOS)
· Linux-sniffer.c(Linux)
· NitWit.c(SunOS)
· etc.
检测sniffer的存在是个非常困难的任务，因为sniffer本身完全只是被动地接收数据，而不发送什么。并且上面所列的sniffer程序都可以在internet上下载到，其中有一些是以源码形式发布的(带有.c扩展名的)。
一般来讲，真正需要保密的只是一些关键数据，例如用户名和口令等。使用ip包一级的加密技术，可以使sniffer即使得到数据包，也很难得到真正的数据本身。这样的工具包括 secure shell（ssh），以及F-SSH， 尤其是后者针对一般利用tcp/ip进行通信的公共传输提供了非常强有力的，多级别的加密算法。ssh有免费版本和商业版本，可以工作在unix上，也可以工作在windows 3.1, windows 95, 和windows nt.
另外,采用网络分段技术,减少信任关系等手段可以将sniffer的危害控制在较小范围以内,也为发现sniffer的主人提供了方便.
1.2 Trojan
这是一种技术性攻击方式. RFC1244中给出了trojan程序的经典定义：特洛依木马程序是这样一种程序，它提供了一些有用的，或仅仅是有意思的功能。但是通常要做一些用户不希望的事，诸如在你不了解的情况下拷贝文件或窃取你的密码, 或直接将重要资料转送出去，或破坏系统等等. 特洛依程序带来一种很高级别的危险，因为它们很难被发现，在许多情况下，特洛依程序是在二进制代码中发现的，它们大多数无法直接阅读，并且特洛依程序可以作用在许许多多系统上,它的散播和病毒的散播非常相似。从internet上下载的软件,尤其是免费软件和共享软件,从匿名服务器或者usernet新闻组中获得的程序等等都是十分可疑的. 所以作为关键网络中的用户有义务明白自己的责任,自觉作到不轻易安装使用来路不清楚的软件.
检测一个特洛依程序，需要一些比较深入的有关操作系统的知识。可以通过检查文件的更改时间，文件长度，校验和等来检查文件是否进行过非预期的操作。另外，文件加密也是有效的检查特洛依程序的方法。可以使用的工具包括:
· trip wire 是一个广泛应用的系统完整性工具.系统通过读取配置文件得到环境变量.在这个文件中包含着所有的文件标志(filemarks),使用者可以详尽地规定应该对哪些文件作出哪些改变作出报告等.它们的数字签名保存在数据库中.数字签名可以使用的hash函数包括: MD5, MD4, CRC32, MD2, Snc frn, SHA等.
· TAMU程序包可以检查许多项目,包括由CERT通知中定义的项目,以及最近的入侵事件中发现的项目,所有被改动的系统二进制流,以及要求保密的那些关键路径.
· Hobgoblin
· ATP(The Anti-Tampering Program)
后面两种工具的使用没有前面两种那么普遍,但是它们都各有特点.
2 denial of service：
这是一类个人或多个人利用internet协议组的某些方面妨碍甚至关闭其它用户对系统和信息的合法访问的攻击. 其特点是以潮水般的连接申请使系统在应接不暇的状态中崩溃。对于大型网络而言,此类攻击只是有限的影响, 但是却可能导致较小网络退出服务, 遭到重创.
这是最不容易捕获的一种攻击，因为不留任何痕迹，安全管理人员不易确定攻击来源。由于这种攻击可以使整个系统瘫痪，并且容易实施，所以非常危险。但是从防守的角度来讲，这种攻击的防守也比较容易. 攻击者通过此类攻击不会破坏系统数据或获得未授权的权限, 只是捣乱和令人心烦而已. 例如使网络中某个用户的邮箱超出容限而不能正常使用等.
典型的攻击包括如E-mail炸弹, 邮件列表连接,
2.1 Email炸弹
它是一种简单有效的侵扰工具. 它反复传给目标接收者相同的信息, 用这些垃圾拥塞目标的个人邮箱. 可以使用的工具非常多, 例如bomb02.zip(mail bomber), 运行在windows平台上,使用非常简单. unix平台上发起email bomb攻击更为简单, 只需简单几行shell程序即可让目标邮箱内充满垃圾.
它的防御也比较简单. 一般邮件收发程序都提供过滤功能, 发现此类攻击后, 将源目标地址放入拒绝接收列表中即可.
2.2 邮件列表连接
它产生的效果同邮件炸弹基本相同. 将目标地址同时注册到几十个(甚至成百上千)个邮件列表中, 由于一般每个邮件列表每天会产生许多邮件, 可以想象总体效果是什么样子. 可以手工完成攻击, 也可以通过建立邮件列表数据库而自动生成. 对于邮件列表连接,尚没有快速的解决办法. 受害者需要把包含注销"unsubscribe"信息的邮件发往每个列表.
许多程序能够同时完成两种攻击, 包括Up yours(Windows), KaBoom(Windows), Avalanche(Windows), Unabomber(Windows), eXtreme Mail(Windows), Homicide(Windows), Bombtrack(Macintosh), FlameThrower(Macintosh), etc.
2.3 其它
还有一些针对其它服务的攻击, 例如Syn-Flooder, Ping of Death(发送异常的很大的进行ping操作的packet来攻击windows nt), DNSkiller(运行在linux平台上, 攻击windows nt平台上的dns服务器)等。
在路由的层次上,对数据流进行过滤, 通过合适的配置会减少遭受此类攻击的可能性.Cisco Systems就提供了路由级的解决方案.
3 spoofing attack(电子欺骗)：
针对http，ftp，dns等协议的攻击，可以窃取普通用户甚至超级用户的权限，任意修改信息内容，造成巨大危害。所谓ip欺骗，就是伪造他人的源ip地址。其实质上就是让一台机器来扮演另一台机器，借以达到蒙混过关的目的。下面一些服务相对来说容易招致此类攻击：
· 任何使用sunrpc调用的配置；rpc指sun公司的远程过程调用标准，是一组工作于网络之上的处理系统调用的方法。
· 任何利用ip地址认证的网络服务
· mit的xwindow系统
· 各种r服务: 在unix环境中，r服务包括rlogin和rsh，其中r表示远程。人们设计这两个应用程序的初衷是向用户提供远程访问internet网络上主机的服务。r服务极易受到ip欺骗的攻击。
几乎所有的电子欺骗都倚赖于目标网络的信任关系（计算机之间的互相信任，在unix系统中，可以通过设置rhosts和host.equiv 来设置）。入侵者可以使用扫描程序来判断远程机器之间的信任关系。这种技术欺骗成功的案例较少，要求入侵者具备特殊的工具和技术（，并且现在看来对非unix系统不起作用）。另外spoofing的形式还有dns spoofing等。
解决的途径是慎重设置处理网络中的主机信任关系，尤其是不同网络之间主机的信任关系。如只存在局域网内的信任关系，可以设置路由器使之过滤掉外部网络中自称源地址为内部网络地址的ip包，来抵御ip欺骗。下面一些公司的产品提供了这种功能
· Cisco System
· iss.net公司的安全软件包可以测试网络在ip欺骗上的漏洞。
· etc.
国际黑客已经进入有组织有计划地进行网络攻击阶段，美国政府有意容忍黑客组织的活动，目的是使黑客的攻击置于一定的控制之下，并且通过这一渠道获得防范攻击的实战经验。国际黑客组织已经发展出不少逃避检测的技巧. 使得攻击与安全检测防御的任务更加艰巨.
入侵层次分析
1 敏感层的划分
使用敏感层的概念来划分标志攻击技术所引起的危险程度.
1 邮件炸弹攻击（emailbomb）（layer1）
2 简单服务拒绝攻击（denial of service）（layer1+）
3 本地用户获得非授权读访问（layer2）
4 本地用户获得他们非授权的文件写权限（layer3）
5 远程用户获得非授权的帐号（layer3+）
6 远程用户获得了特权文件的读权限（layer4）
7 远程用户获得了特权文件的写权限（layer5）
8 远程用户拥有了根（root）权限（黑客已攻克系统）（layer6）
以上层次划分在所有的网络中几乎都一样，基本上可以作为网络安全工作的考核指标。
"本地用户"（local user）是一种相对概念。它是指任何能自由登录到网络上的任何一台主机上，并且在网络上的某台主机上拥有一个帐户，在硬盘上拥有一个目录的任何一个用户。在一定意义上，对内部人员的防范技术难度更大。据统计，对信息系统的攻击主要来自内部，占85％。因为他们对网络有更清楚的了解，有更多的时间和机会来测试网络安全漏洞，并且容易逃避系统日志的监视。
2 不同的对策
根据遭受的攻击的不同层次，应采取不同的对策.
第一层：
处于第一层的攻击基本上应互不相干,第一层的攻击包括服务拒绝攻击和邮件炸弹攻击.邮件炸弹的攻击还包括登记列表攻击（同时将被攻击目标登录到数千或更多的邮件列表中，这样，目标有可能被巨大数量的邮件列表寄出的邮件淹没）。对付此类攻击的最好的方法是对源地址进行分析，把攻击者使用的主机(网络)信息加入inetd.sec的拒绝列表(denylistings)中.除了使攻击者网络中所有的主机都不能对自己的网络进行访问外,没有其它有效的方法可以防止这种攻击的出现.
此类型的攻击只会带来相对小的危害。使人头疼的是虽然这类攻击的危害性不大，但是发生的频率却可能很此新闻共有2页 上一页 1 2 下一页 | |
中搜索【网络安全基础课程】更多的结果
中搜索【网络安全基础课程】更多的结果
中搜索【网络安全基础课程】更多的结果
部分文章收集于网上，如果侵犯了你的权益请
