计算机网络基础第18册.docx

1、计算机百科知识计算机百科知识 计算机网络基础 (十 八 ) 本书编写组 编 山东科学技术出版社图 书 在 版 编 目 (CIP)数 据 计 算 机 百 科 知 识 /本 书 编 写 组 编 济南 山东科学 技术出版社 2003ISBN 7-5331-1651-8计 本 计算机网络 基本知识 汇编 TP39中国版本图书馆 CIP 数据核字(2003)第 004271 号山东科学技术出版社出版发行 (济 南 市 玉 函 路 16 号 250001)全国各地新华书店经销 莒县新华印刷厂印刷开本 787 1092 1/32 印张 240 字数 4 000 千字2003 年 7 月第 1 版 2003

2、年 7 月第 1 次印刷印数 1 1 000 册书号 ISBN 7-5331-1651-8/ D 112定价 698.00 元I目 录 采用安全 端到端互联的时机 .网络防火墙技术 入侵检测之日志检测 .入侵检测系统 FAQ SNORT 策略配置分析 .如何建立好的 SNORT 规 则 3COM 确保企业网成功的另一招防火墙+高速缓存+ 负载均衡. 防火墙介绍 1 防火墙介绍 2 透 过 不 同 结 构 的 防 火 墙 放 置 后 门 在 WINDOWS98 下通过天网防火墙实现 SYNFLOOD 的设想及具体实现 . 用 户 选 购 防 火 墙 的 十 项 注 意 CHECKPOINT 防火

3、墙简介 .FIREWALL-1 的功能特点 .网络安全的新模式 STATEFULINSPECTION 技 术 FIREWALL-1 的 远 程 网 络 访 问 的 安 全 保 障 . SECUREMOTE 远 程 加 密 功 能 解读防火墙记录 端口 .TROJANHORSE 探测 .II基于 WINDOWS 平 台 的 防 火 墙 实 现 CHECKPOINT 公司 FIREWALL-1 FIREWALL-1 产 品 模 块 功 能 介 绍 . 企 业 通 信 带 宽 管 理 第 四 代 防 火 墙 1 第 四 代 防 火 墙 2 状 态 检 测 工 作 机 制 防火墙技术 第 四 代 防

4、火 墙 的 主 要 技 术 与 功 能 . INTERNET 网 关 技 术 计算机网络基础 采用安全 端到端互联的时机随 着 黑 客 入 侵 与 病 毒 发 作 事 件 在 全 球 范 围 内 的 不断增加 不难理解为什么许多企业将网络的安全性 看作确保企业盈利能力的一项重要因素 Microsoft eBay Yahoo 和 A 等一些巨型公司便是因网 络入侵事件而导致企业正常运转中断的典型例子 类 似于 CodeRed SIRcam 和 NImda 等电子邮件病毒已经 越来越成为现在主流商务新闻了 由于黑客和病毒作者变得越来越狡猾 网络安全 产品必须保持技术上的优势 嵌入式防火墙为智能安

5、全性解决方案加入了一层防范入侵的分布式保护层 防火墙硬件能够被轻松集成进笔记本计算机 桌面系 统和各类服务器中 为企业构建安全的系统 具备安 全意识的企业用户应该向他们的 PC 设备制造商询问 他们是否能够提供支持嵌入式防火墙系统 一套嵌入式防火墙解决方案3Com 公 司 为 用 户 提 供 业 界 一 流 的 基 于 硬 件 的 分 布 式 网 络 安 全 产 品 3Com 公 司 已 经 与 著 名 的SideWindeR 防火墙产品制造商 在安全技术领域拥有 超过 20 年经验的 Secure Computing 公司结成了合作 伙 伴 共 同 生 产 3Com 嵌 入 式 防 火 墙

6、解 决 方 案 3ComEmbeddedFirewallsolution 作为一款集支计算机网络基础 持 防 火 墙 技 术 网 卡 硬 件 与 安 全 管 理 软 件 产 品 于 一 身 的 产 品 3Com 嵌 入 式 防 火 墙 解 决 方 案 可 以 采 用 3Com10/100 安全服务器网卡 3Com10/100Secureservernic 3Com10/100 安全网卡 3Com10/100SecuReNIC 以及 3Com 公司嵌 入式防火墙策略服务器 3ComEmbeddedFIRewallPoLIcyServer 进行实施 3Com 公司认为 3Com 嵌入式防火墙解决方

7、案是 专 为 弥 补 并 改 善 各 类 安 全 能 力 不 足 的 企 业 边 缘 防 火 墙 防病毒程序 基于主机的应用程序 入侵检测告 警程序以及网络代理程序而设计 它确保了企业内部 与外部的网络具有以下功能 不论企业局域网的拓扑结构如何变更 防护措施 都能延伸到网络边缘为网络提供保护 基于硬件 能够防范入侵的安全特性能独立于主 机操作系统与其他安全性程序运行 甚 至 在 安 全 性 较 差 的 宽 带 链 路 上 都 能 实 现 安 全 移动与远程接入 可 管 理 的 执 行 方 式 使 企 业 安 全 性 能 够 被 用 户 策 略而非物理设施来进行定义 计算机网络基础 网络防火墙技

8、术本文分析了网络防火墙技术及其实现方法 介绍 了防火墙的类型 结构 安全策略设计和标准 并提 出了防火墙技术的今后发展方向 从广义上来讲 计算机网络安全主要有两个方面 的问题 1 如 何 保 证 在 网 络 上 传 输 的 信 息 私 有 性 防 止被非法窃取 篡改 伪造 2 如 何 限 制 网 络 上 用 户 或 程 序 的 访 问 权 限 防止非法用户 或程序 的侵入 现在解决第一个问题的技术比较成熟 可以采用 信息加密技术 而解决第二个问题比较困难 但又是 关键 目前普遍采用防火墙技术 2 网络防火墙网 络 防 火 墙 是 一 种 用 来 加 强 网 络 之 间 访 问 控 制 的特殊网

9、络互联设备 如路由器 网关等 它对两个 或 多 个 网 络 之 间 传 输 的 数 据 包 和 链 接 方 式 按 照 一 定 的安全策略进行检查 来决定网络之间的通信是否被 允许 其中被保护的网络称为内部网络 另一方则称 为外部网络或公用网络 它能有效地控制内部网络与 外部网络之间的访问及数据传送 从而达到保护内部 网 络 的 信 息 不 受 外 部 非 授 权 用 户 的 访 问 和 过 滤 不 良计算机网络基础 织 会信息的目的 一个好的防火墙系统应具有 3 方面的特 性 1 所 有 在 内 部 网 络 和 外 部 网 络 之 间 传 输 的 数 据必须通通过防火墙 2 只 有 被 授

10、权 的 合 法 数 据 即 防 火 墙 系 统 中 安 全策略允许的数据可以通过防火墙 3 防火墙本身不受各种攻击的影响 国际标准化组 ISO 的计算机专业委员 ISOIECJTCI SC21 根据网络开放系统互连 7 层模型 OSI RM 制 定 了 一 个 网 络 安 全 体 系 结 构 用来解决网络系统中的信息安全问题 如表 1 所示 防火墙是实现安全访问控制的 因此按照 OSIRM 防火墙可以在 OSI RM7 层中的 5 层设置 如图 1 所示 防火墙从功能上来分 通常由以下几部分组成 如图 2 所示 3 防火墙技术的分类目前 从概念上来讲 防火墙技术主要分为 3 种 1 包 过 滤

11、 PacketfILteR 防 火 墙 又称筛选 路 由 器 ScreenIngRouteR 或 网 络 层 防 火 墙 NetworkLeveLfIRewall 它 是 对 进 出 内 部 网 络 的 所有信息进行分析 并按照一定的安全策略信息过滤计算机网络基础 级规则对进出内部网络的信息进行限制 允许授权信息 通过 拒绝非授权信息通过 信息过滤规则是以其所 收到的数据包头信息为基础 比如 IP 数据包源地址 IP 数据包目的地址 封装协议类 型 TCPUDPICMP 等 TCP IP 源端口号 TCP IP 目的端口号 ICMP 报文类型等 当一个数据包满足过滤规则 则允许此 数据包通过

12、否则拒绝此包通过 相当于此数据包所 要到达的网络物理上被断开 起到了保护内部网络的 作用 采用这种技术的防火墙优点在于速度快 实现 方便 但安全性能差 且由于不同操作系统环境下 TCP 和 UDP 端口号所代表的应用服务协议类型有所不同 故兼容性差 2 应用层网关 AppLIcatIonLeveLgatewav 防火墙 又 称 代 理 PRoxy 它 由 两 部 分 组 成 代理 服务器和筛选路由器 这种防火墙技术是目前最通用 的一种 它是把筛选路由器技术和软件代理技术结合 在一起 由筛选路由器负责网络的互联 进行严格的 数据选择 应用代理则提供应用层服务的控制代理服 务 器 起 到 了 外

13、部 网 络 向 内 部 网 络 申 请 服 务 时 中 间 转 接 作 用 内 部 网 络 只 接 受 代 理 服 务 器 提 出 的 服 务 请 求拒绝外部网络其它节点的直接请求 代理服务器 其实是外部网络和内部网络交互信息的交换点 当外计算机网络基础 机部网络向内部网络的某个节叔申请某种服务时 比如 FTP Telnet WWW Gopher wais 等 先由代理服务 器接受 然后代理服务器根据其服务类型 服务内容 被服务的对象及其它因素 例如服务申请者的域名范 围 时间等 决定是否接受此项服务 如果接受 就 由代理服务器内部网络转发这项请求 并把结果反馈 结申请者 否则就拒绝 根据其处

14、理协议的功能可分 为 FTP 网关型防火墙 Telnet 网关型防火墙 WWW 网 关型防火墙 WAIS 网关型防火墙等 它的优点在于既 能进行安全控制又可以加速访问安全性好 但是寥 实现比较困难 对于每一种服务协议必须为其设计一 个代理软件模块来进行安全控制 3 双 宿 主 机 DuaL-homedhost 技 术 防 火 墙 又称堡垒主 BastIonhost 它的结构如图 4 所示 采用主机取代路由器执行安全控制功能 故类似于包 过滤防火墙 双宿主机即一台配有多个网络接口的主 机 它 可 以 用 来 在 内 部 网 络 和 外 部 网 络 之 间 进 行 寻 径 如果在一台双宿主机中寻径

15、功能被禁止了 则这 个 主 机 可 以 隔 离 与 它 相 连 的 内 部 网 络 与 外 部 网 络 之 间的通信 而与它相连的内部网络和外部网络仍可以 执 行 由 它 所 提 供 的 网 络 应 用 如 果 这 个 应 用 允 许 的 话它们就可以共享数据 这样就保证内部网络和外计算机网络基础 部 网 络 的 某 些 节 点 之 间 可 以 通 过 双 宿 主 机 上 的 共 享 数据传递信息 但内部网络与外部网络之间却不能传 递信息 从而达到保护内部网络的作用 防火墙技术从其功能上来分 又可分为 FTP 防火 墙 TeLnet 防火墙 EMail 防火墙 病毒防火墙等各 种专用防火墙 通

16、常几种防火墙技术被一起使用来弥 补各自的缺陷 增加系统的安全性能 4 防火墙的安全标准防火墙技术发展很快 但是现在标准尚不健全 导 致 各 大 防 火 墙 产 品 供 应 商 生 产 的 防 火 墙 产 品 兼 容 性差 给不同厂商的防火墙产品的互联带来了困难 为了解决这个问题目前已提出了 2 个标准 1 RSA 数据安全公司与一些防火墙的生产厂商 如 SunMicRosystem 公司 CheckPoint 公司 TIS 公司等 以及一些 TCP IP 协议开发商 如 FTP 公司 等 提出了 Secure WAN S WAN 标准 它能使在 IP 层 上 由 支 持 数 据 加 密 技 术

17、 的 不 同 厂 家 生 产 的 防 火 墙和 TCP IP 协议具有互操作性 从而解决了建立虚 拟专用网 VPN 的一个主要障碍 此 标 准 包 含 两 个部分 防火墙中采用的信息加密技术一致 即加密算 计算机网络基础 法 安全协议一致 使得遵循此标准生产的防火墙产计算机网络基础 品能够实现无缝互联 但又不失去加密功能 安 全 控 制 策 略 的 规 范 性 逻 辑 上 的 正 确 合 理性 避免了各大防火墙厂商推出的防火墙产品由于安 全策略上的漏洞而对整个内部保护网络产生危害 2 美 国 国 家 计 算 机 安 全 协 会 NCSA NationalComputerSecurityAsso

18、ciation 成 立 的 防火墙开发商 FWPD FIRewallPRoductDeveLopeR 联盟制订的防火墙测试标准 5 展望防 火 墙 技 术 作 为 目 前 用 来 实 现 网 络 安 全 的 一 种 手段 主要是用来拒绝未经授权的用户访问 阻止未 经授权的用户存取敏感数据 同时允许合法用户不受 妨碍地访问网络资源 如果使用得当 可以在很大程 度上提高网络安全性能 但是并不能百分之百解决网 络上的信息安全问题 比如防火墙虽然能对外部网络 的功击进行有效的防护 但对来自内部网络的功击却 无能为力 事实上据统计 60 以上的网络安全问题来 自内部网络 而且网络程序和网络管理系统中也可

19、能 存在缺陷因此网络安全单靠防火墙是不够的 还需 要考虑其它技术和非技术的因素 如信息加密技术 制订法规 提高网络管理使用人员的安全意识等 现 在网络防火墙技术在不断地发展 值得研究的课题很计算机网络基础 多 如 如何对一个防火墙产品进行危险评估 如何 对网络中传输的敏感数据进行加密 数据应在网络哪 一层加密 采用传统密码体制还是公钥密码体制 如 何 在 网 络 协 议 中 增 加 鉴 别 机 制 对 通 信 双 方 的 身 份 进 行鉴别 防火墙算法设计 知识工程和专家系统在防 火墙安全策略研究中的应用 如何减少对网络性能的 影响 设计开放的与硬件平台和软件平台无关的防火 墙产品等等 入侵检

20、测之日志检测入 侵 检 测 IntRusIonDetectIon 顾 名 思 义 便是对入侵行为的发觉 它通过对计算机网络或计算 机系统中的若干关键点收集信息并对其进行分析 从 中 发 现 网 络 或 系 统 中 是 否 有 违 反 安 全 策 略 的 行 为 和 被攻击的迹象 进行入侵检测的软件与硬件的组合便 是入侵检测系统 IntRusIonDetectIonSystem 简称 IDS 与其他安全产品不同的是 入侵检测系统需要 更多的智能 它必须可以将得到的数据进行分析 并 得出有用的结果 一个合格的入侵检测系统能大大的 简化管理员的工作 保证网络安全的运行 概述入 侵 检 测 IntRu

21、sIonDetectIon 顾 名 思 义 便是对入侵行为的发觉 它通过对计算机网络或计算计算机网络基础 机系统中的若干关键点收集信息并对其进行分析 从 中 发 现 网 络 或 系 统 中 是 否 有 违 反 安 全 策 略 的 行 为 和 被攻击的迹象 进行入侵检测的软件与硬件的组合便 是入侵检测系统 IntRusIonDetectIonSystem 简称 IDS 与其他安全产品不同的是 入侵检测系统需要 更多的智能 它必须可以将得到的数据进行分析 并 得出有用的结果 一个合格的入侵检测系统能大大的 简化管理员的工作 保证网络安全的运行 日志是使系统顺利运行的重要保障 它会告诉我 们系统发生

22、了什么和什么没有发生 然而 由于日志 记录增加得太快了 铺天盖地的日志使系统管理员茫 然无措 最终使日志成为浪费大量磁盘空间的垃圾 日志具有无可替代的价值 但不幸的是它们经常被忽 略 因为系统管理员在并不充裕的时间里难以查看大 量的信息 标准的日志功能不能自动过滤和检查日志 记录 并提供系统管理员所需要的信息 对于入侵者来说 要做的第一件事就是清除入侵 的痕迹 这需要入侵者获得 Root 权限 而一旦系统 日志被修改 就无法追查到攻击的情况 因此 好的 系统管理员应该建立日志文件检测 有很多工具可以 实现日志检测的功能 其中就有 Logcheck 和 Swatch 本文将对 Logcheck

23、和 Swatch 逐一进行介绍 计算机网络基础 gd日志文件系统审计和日志功能对于系统来说是非常重要的 可 以把感兴趣的操作都记录下来 供分析和检查 UNIX 采用了 sysLog 工具来实现此功能 如果配置正确的 话 所有在主机上发生的事情都会被记录下来 不管 是好的还是坏的 SysLog 已被许多日志系统采纳 它用在许多保护 措施中 任何程序都可以通过 sysLog 记录事件 SysLog 可以记录系统事件 可以写到一个文件或设备 中 或给用户发送一个信息 它能记录本地事件或通 过网络纪录另一个主机上的事件 SysLog 依据两个重要的文件 /sbIn/sysLo 守 护进程 和/etc/

24、sysLog.conf 配置文件 习惯上 多 数 sysLog 信息被写到/vaR/adm 或/vaR/Log 目录下的 信息文件中 messages.* 一个典型的 sysLog 纪录 包括生成程序的名字和一个文本信息 它还包括一个 设 备 和 一 个 行 为 级 别 但 不 在 日 志 中 出 现 /etc/sysLog.conf 的一般格式如下 设备.行为级别 设备.行为级别记录行为 设备描述 auth 认证系统 Login su getty 等 即询问 用户名和口令 计算机网络基础 authpRIv 同 LOG_AUTH 但只登录到所选择的单 个用户可读的文件中 croncron 守护

25、进程 daemon 其他系统守护进程 如 Routed keRn 内核产生的消息 LpR 打印机系统 LpR Lpd Mail 电子邮件系统 news 网络新闻系统 sysLog 由 sysLogd 产生的内部消息 useR 随机用户进程产生的消息 uucpUUCP 子系统 LocaL0 LocaL7 为本地使用保留 行为级别描述 debug 包含调试的信息 通常旨在调试一个程序 时使用 Info 情报信息 notIce 不是错误情况 但是可能需要处理 warn(Warning)警告信息 eRR(error)错误信息 cRIt 重要情况 如硬盘错误 aLeRt 应该被立即改正的问题 如系统数据

26、库破计算机网络基础 坏 计算机网络基础 emeRg(panIc)紧急情况 记录行为 举例 描述 /dev/consoLe 发送消息到控制台 /vaR/adm/messages 把 消 息 写 到 文 件/vaR/adm/messages Loghost 把消息发到其它的日志记录服务器 fReduseR1 传送消息给用户 *传送消息给所有的在线用户 有个小命令 LoggeR 为 sysLog 系统日志文件提供 一个 sheLL 命令接口 使用户能创建日志文件中的条 目 用法 LoggeR 例如 LoggeRThisIsatest 它将产生一个如下的 sysLog 纪录 ApR2611 22 34

27、onLy_you ThisIsatest! 更 详 细 的 帮 助 信 息 请 mansysLogd mansys Log.conf Logcheck 介绍Logcheck 是一软件包 用来实现自动检查日志文 件 以 发 现 安 全 入 侵 和 不 正 常 的 活 动 Logcheck 用 LogtaIL 程序来记录读到的日志文件的位置 下一次 运行的时候从记录下的位置开始处理新的信息 所有 的源代码都是公开的 实现方法也非常简单 计算机网络基础 LogcheckSHELL 脚本和 LogtaIL.c 程序用关键字计算机网络基础 查找的方法进行日志检测 在这儿提到的关键字就是 指在日志文件中出

28、现的关键字 会触发向系统管理员 发的报警信息 Logcheck 的配置文件自带了缺省的关 键字 适用于大多数的*Inx 系统 但是最好还是自己 检查一下配置文件 看看自带的关键字是否符合自己 的需要 Logcheck 脚本是简单的 SHELL 程序 LogtaIL.c 程序只调用了标准的 ANSIC 函数 Logcheck 要在 cRon 守护进程中配置 至少要每小时运行一次 脚本用简 单的 gRep 命令来从日志文件检查不正常的活动 如 果发现了就发 MAIL 给管理员 如果没有发现异常活 动 就不会收到 MAIL 程序文件介绍Logcheck.sh 主脚本文件 控制所有的处理过程 用 gR

29、ep 命令检查日志文件 发现问题报告系统管理 员 由 cRon 定时启动 LogtaIL 记 录 日 志 文 件 上 次 处 理 到 的 位 置 被 Logcheck 程序调用 避免重复处理已处理过的日志文 件 所有的日志文件都由此程序处理 在同一目录下 会产生文件#.offset 其 中 #是 检 查 的 日 志文件名 文件中记录了 LogtaIL 开始处理的偏移量如 果 删 除 掉 则 从 文 件 开 始 处 进 行 处 理 Logcheck计算机网络基础 跟踪日志文件的 Inode 号和文件大小 如果 Inode 号 发 生 变 化 或 者 是 文 件 大 小 比 上 次 运 行 时 的

30、 小 LogtaIL 会重置偏移量 处理整个文件 Logcheck.hackIng 文 件 中 包 含 了 系 统 受 到 攻 击 时的关键字 这个文件的关键字比较稀少 除非能知 道某种特定的攻击方式的特征 缺省的关键字是 ISS InternetSecurityScanneR 攻击产生的 或者是 sendMail 中的地址栏里的非法语法 在日志文件中找到了关键字就会给管理员发信 Logcheck.vIoLatIons 文件中包含了产生否定或拒绝信息的系统事件 如 denIed Refused 等 Logcheck.vIoLatIons.Ignore 文 件 中 包 含 了 要对 Logche

31、ck.vIoLatIons 进行反向查找的关键字 配置为了使 Logcheck 运行正常 先要对 sysLog.conf 进行配置 你应该根据自己的需要进行配置 下面给 出的只是一个例子 入侵检测系统 FAQ介绍 什么是网络侵入检测系统(NIDS)? 入侵是指一些人(称为 黑客 骇客 )试图进 入或者滥用你的系统 词语 滥用 的范围是很广泛计算机网络基础 的 可以包括从严厉的偷窃机密数据到一些次要的事 情 比 如 滥 用 你 的 电 子 邮 件 系 统 发 垃 圾 邮 件 (虽 然 对 我们中许多人呢 这个是主要的) 侵 入 检 测 系 统 (IDS)是 用 来 检 测 这 些 入 侵 的 系

32、 统 根据这个 FAQ 的打算 IDS 可以有如下的分类 网 络 侵 入 检 测 系 统 (NIDS) 监 视 网 线 的 数 据 包 并 试图是否有黑客/骇客试图 进入系统(或者进行拒绝服务攻击 DoS) 一个典 型 的 例 子 是 一 个 系 统 观 察 到 一 个 目 标 主 机 的 很 多 不 同端口的大量 TCP 连接请求 (SYN) 来发现是否有人 正在进行 TCP 的端口扫描 一个 NIDS 可以运行在目 标 主 机 上 观 察 他 自 己 的 流 量 (通 常 集 成 在 协 议 栈 或 服 务本身) 也 可 以 运 行 在 独 立 主 机 上 观 察 整 个 网 络 的 流量

33、( 集线器 路由器 探测器pRobe) 注意一个 网络 IDS 监视很多主机 然而其他的只是监视一个主机(他们所安装的) 系 统 完 整 检 验 (SIV)监 视 系 统 文 件 试 图 发 现 是 否有侵入者更改了文件(可能留个后门) 这样系统最著 名的就是 TRIpwIRe 一个 SIV 也应该能监视其他的组 件 比如 Windows 的注册表和 chRon 的配置 目的是 发现知名的迹象 他 也 应 该 能 检 测 到 一 个 一 般 用 户 偶 然 获 得 计算机网络基础 Root/AdmInIstRator 级别权限 这个领域更多的产品 应 该 被 认 为 是 工 具 而 不 是 一

34、 个 系 统 比如 TRIpwIRe 类似的工具检测临界系统组件的更改 却不能产生实 时的告警 日 志 文 件 监 视 器 (LFM)监 视 网 络 设 备 产 生 的 日 志 文件 同 NIDS 类似 这些系统通过对日志文件的模 式匹配提出是否有入侵者攻击的建议 一个典型的例 子就是分析 HTTP 日志文件来发现入侵者试图一些知 名漏洞(比如 phf 攻击) 实例有 swatch 诱骗系统 (包括 decoys LuRes fLy-tRaps honeypots)还有一些伪服务 目的是模拟一些知名洞 来 诱 陷 黑 客 参 见 掌 统 工 具 包 中 的 例 子 http/ 也可以简单的通过

35、重新命名 NT 的系统管理员帐号 然后建立一个无权限的虚帐号进 行广泛的审计 在此文档后面有关于诱骗系统的更多 描述 谁 在 滥 用 (mIsusing)系 统 ?有两个词来描述攻击者 黑客和骇客 黑客是一 个一般术语 喜欢进入东西的人 良性的黑客是那些 喜欢进入他/她自己的计算机发现如何工作的人 恶意的黑客是那些喜欢进入其他人系统的人 良计算机网络基础 性黑客希望媒体能停止对所有黑客的苛刻批评 使用 骇客来做替代 很不幸 这个想法没有被接受无论如 何 在这个 FAQ 使用的词语是 入侵者 来一般表 示那些想要进入其他人系统的人 侵入者可以被分为两类外部的 你网络外面的侵入者 或者可能攻击你

36、的外部存在(乱改的 web 服务器 通过 e-Mail 服务器 转来的垃圾邮件) 外部的侵入者可能来自 Internet 拨号线 物理介入 或者从同你网络连接的伙伴网络 (卖主 客户 中间商等) 内部的 合法使用你的互连网络的侵入者 包括 滥 用 权 力 的 人 (比 如 社 会 安 全 雇 员 因 为 不 喜 欢 某 人 就 将 其 标 志 为 死 亡 )和 模 仿 更 改 权 力 的 人 (比 如 使 用 别 人的终端) 一个常被引用的统计就是 80%的安全问题 同内部人有关 有几种类型的侵入者 快乐骑士 (JoyRIdeRs) 因能而黑 文化破坏者 (VandaLs)意于毁坏或更改 We

37、b 页面 奸商 (PRofIteeRs)意于利益 如控制系统 勒索或者窃取数据得利 入侵者如何进入系统?入侵者进入系统的主要途径 物理侵入 如果一个侵入者对主机有物理进入权计算机网络基础 限 (比如他们能使用键盘或者参与系统) 应该可以 进入 方法包括控制台特权一直到物理参与系统并且 移走磁盘(在另外的机器读/写) 甚至 BIOS 保护也很 容易穿过的 事实上所有的 BIOS 都有后门口令 系统侵入 这类侵入表现为侵入者已经拥有在系 统 用 户 的 较 低 权 限 如 果 系 统 没 有 打 最 新 的 漏 洞 补 丁 就会给侵入者提供一个利用知名漏洞获得系统 管理员权限的机会 远程侵入 这类

38、入侵指入侵者通过网络远程进入 系统 侵入者从无特权开始这种侵入方式包括多种形 式 比 如 如 果 在 他 /她 和 受 害 主 机 之 间 有 防 火 墙 存 在 侵入者就复杂得多 应该注意网络侵入检测系统主要关心远程侵入 1.4 入侵者为什么能侵入系统? 软件总是存在 bug 系统管理员和开发人员永远 无法发现和解决所有的可能漏洞 侵入者只要发现一 个漏洞就可以入侵系统 软件 bug软件 bug 存在于服务器后台程序(Daemons) 客 户程序 操作系统 网络协议栈 软件 bug 可以分为 如下几种 缓冲区溢出 我们读来的几乎所有的安全漏洞归计算机网络基础 于这一类 一个典型的例子是一个开

39、发人员设定了一 个 256 字符长的缓冲区来存储用户名 开发人员想当然的认为没有人的名字比这个长 但是黑客想 如果我输入一个错误的很长的用户名会 发 生 什 么 呢 ?附 加 的 字 符 会 去 哪 里 ?如 果 黑 客 恰 巧 做 对了 他们发送 300 个字符 包括了被服务器执行的 代码 并且 他们进入了系统 黑客们通过几个方法 发现这些 bug 首先 很多服务的源代码在网络上是 公开的 黑客们经常读这些代码寻找有缓冲区溢出问 题的程序 第二 黑客们可以读程序本身来看是否有 问题存在 虽然读汇编代码输出真的很难 第三 黑 客 们 会 检 查 程 序 所 有 的 输 入 并 且 试 图 利

40、用 随 机 数 据 来溢出 如果程序崩溃了 就会存在让黑客认真构造 输 入 并 且 允 许 进 入 的 机 会 应 该 注 意 这 个 问 题 在 C/C+编写的程序中普遍存在 却很少出现在 Java 的 程序当中 意外结合 程序通常被组合成很多层代码 包括 了潜在的作为最下面的操作系统层 侵入者常可以发 送一些对于一层无意义的输入 却对其他层有意义 Web 上最常见的控制用户输入的语言就是 PeRL PeRL 写 的 程 序 往 往 发 送 这 些 输 入 到 其 他 的 程 序 来 进 一 步 的 处 理 一 个 常 见 的 黑 客 技 术 就 是 输 入 字 符 串 计算机网络基础 |M

41、ail/etc/passwd 这个命令得以执行是因为操 作系统为这个输入启动一个附加的程序 然而操作系 统解释管道符 | 并且按语义启动 Mail 程序 结果是将 password 文件寄给侵入者 未处理的输入 很多程序写成处理有效的输入 很 多 程 序 员 不 知 道 当 一 些 人 的 输 入 不 符 合 规 格 的 后 果 竞争(Race)条件 现 在 的 许 多 系 统 是 多 任 务 /多 线程的 这就意味着他们可以同时运行多个程序 如 果两个程序同时访问同一个数据就会发生危险 想象 A 和 B 的两个程序 需要修改同一个文件 为了修改 每个程序将文件读入内存 在内存中改变内容 然后

42、 将内存复制到文件 当程序 A 将文件读入内存并且进行修改的时候 产生了一个竞争条件 在 A 写文件前 程序 B 执行并 且获得读写权限 现在程序 A 将内存复制到文件中 因为程序 A 在 B 修改前开始 所有 B 的修改丢失了 因为你必须获得正确的执行顺序 所以竞争条件是非 常稀有的 侵入者通常不得不试上千次 然后获得权 限 进入系统 系统配置系统配置 bug 可以分为如下类别 计算机网络基础 缺省配置 许多系统交付给客户的时候采用的缺 省的易用的配置 不幸的是 易用 就 意 味 着 易 侵入 几乎所有的交付给你的 UnIx 和 WinNT 系统可 以很容易的被攻击 懒惰的系统管理员 惊人的

43、数字的主机被配置成 没有系统管理员口令 这 个 是 因 为 系 统 管 理 员 太 懒 惰 了 以 至 于 懒 得 马 上配置一个 他们只是希望系统最好能少麻烦的尽快 启动运行 不幸 他们再也不回来设置一个 让侵入 者轻易的进来 侵入者最容易的事情就是先扫描所有 的机器找没有口令的主机 生成的漏洞 事实上所有的程序可能被配置成一 个非安全的模式 有的时候系统管理员将不注意的在 主机上打开一个漏洞 许多系统管理员手册都建议系 统 管 理 员 关 掉 所 有 不 是 绝 对 必 要 的 程 序 和 服 务 来 避 免意外漏洞 应该注意安全审计包通常可以发现这些 漏 洞 并 且 提 醒 系 统 管

44、理 员 信 任 的 关 系 侵 入 者 常 用 岛跳 的方法利用信任关系攻击网络 一个互相信任主机的网络和他们最脆弱的连结一样安全 口令解密这个是一个特殊的部分 真正脆弱的口令 很多人使用他们自己的名字计算机网络基础 孩子的名字 配偶的名字 宠物的名字 或者小车的 型号做口令 也有的用户使用 password 或者简单 到什么也没有 这给出了侵入者可以自己键入的不多 与 30 个可能性的列表 字典攻击 上述攻击失败后 侵入者开始试图 字 典 攻 击 这 种 方 法 侵 入 者 利 用 程 序 尝 试 字 典 中 的 单词的每种可能 字典攻击可以利用重复的登陆或者 收 集 加 密 的 口 令 并

45、 且 试 图 同 加 密 后 的 字 典 中 单 词 匹 配 侵 入 者 通 常 利 用 一 个 英 语 字 典 或 其 他 语 言 的 字 典 他们也使用附加的类字典数据库 比如名字和常 用的口令 强力攻击(Brute force attacks) 同 字 典 攻 击 类似 侵入者可能尝试所有的字符组合方式 一个 4 个 由 小 写 字 母 组 成 的 口 令 可 以 在 几 分 钟 内 被 破 解 (大约的共有 50 万个可能的组合)一个较长的由大小 写字母组成的口令 包括数字和标点(10 万亿种可能 的组合)可以在一个月内破解 如果你可以每秒试 100 万种组合 (实际上 一个单机每秒可以算上几千次 ) 监听不安全的通信共享媒体 传统的以太网中 你只要在线上启动 SnIffeR 就可以看到在一个网段的所有通信 现在这 个方法由于更多公司采用交换以太网而困难