计算机网络安全第12册.docx

1、计算机百科知识计算机百科知识 计算机网络安全 (十 二 ) 本书编写组 编 山东科学技术出版社图 书 在 版 编 目 (CIP)数 据 计 算 机 百 科 知 识 /本 书 编 写 组 编 济南 山东科学 技术出版社 2003ISBN 7-5331-1651-8计 本 计算机网络 基本知识 汇编 TP39中国版本图书馆 CIP 数据核字(2003)第 004271 号山东科学技术出版社出版发行 (济 南 市 玉 函 路 16 号 250001)全国各地新华书店经销 莒县新华印刷厂印刷开本 787 1092 1/32 印张 240 字数 4 000 千字2003 年 7 月第 1 版 2003

2、年 7 月第 1 次印刷印数 1 1 000 册书号 ISBN 7-5331-1651-8/ D 112定价 698.00 元I目 录 虚拟专网的加密算法说明 数据库服务器的安全 1 数据库服务器的安全 2 你 认 为 你 能 避 开 监 视 吗 LINUX 环 境 下 黑 客 常 用 嗅 探 器 分 析 . 7 种 DOS 攻击方法简述 . 如何用 IIS 建立高安全性 WEB 服 务 器 VPN 技 术 发 展 趋 势 移动数据须要安全保证移动数据安全五步骤 TCP/IP 的 安 全 性 .垃圾邮件大阻击 反垃圾邮件技术要点 .过滤技术面临的挑战 .防垃圾邮件产品一览 .网络防御新理论 如

3、何使用 FREEBSD 防 火 墙 保 护 企 业 网 络 .计算机安全 局域网安全的解决办法 .局域网安全 .上网注意安全防范个人防火墙尽显独特魅力 WINDOWSXP 到 底 有 多 安 全 使用 SNORT 探测轻型侵入 II用 LIDS 增强系统安全 .FTP 的安全问题 WINDOWS 日志的保护与伪造 保证网络安全的认证技术 .网络安全与信息保密 攻击入侵检测 NIDS 分析 加密三剑客 SSL SET 和 PGP PAM 的应用 .十个常见的网管错误 实例讲解一次性口令鉴别技术 一次性口令技术 .WEB 服务中的安全规范 计算机网络安全 虚拟专网的加密算法说明一 IPSEC 认证

4、 IPSEC 认证包头 AH 是一个用于提供 IP 数据报 完整性和认证的机制 其完整性是保证数据报不被无 意 的 或 恶 意 的 方 式 改 变 而 认 证 则 验 证 数 据 的 来 源 识别主机 用户 网络等 AH 本身其实并不支持 任何形式的加密它不能保证通过 Internet 发送的 数据的可信程度 AH 只是在加密的出口 进口或使用 受到当地政府限制的情况下可以提高全球 IntenRet 安全性 当 全 部 功 能 实 现 后 它将通过认证 IP 包并且减少基于 IP 欺骗的攻击机率来提供更好的安 全服务 AH 使用的包头放在标准的 IPv4 和 IPv6 包头和 下 一 个 高

5、层 协 议 帧 如 TCP UDP ICMP 等 之间 AH 协议通过在整个 IP 数据报中实施一个消息文摘计算来提供完整性和认证服务 一个消息文摘就是 一个特定的单向数据函数 它能够创建数据报的唯一 的数字指纹 消息文摘算法的输出结果放到 AH 包头 的认证数据 AuthentIcatIon_Data 区 消息文摘 5 算 法 MD5 是 一 个 单 向 数 学 函 数 当 应 用 到 分 组 数 据中时 它将整个数据分割成若干个 128 比特的信息 分组 每个 128 比特为一组的信息是大分组数据的压 计算机网络安全 缩或摘要的表示 计算机网络安全 当以这种方式使用时 MD5 只提供数字的

6、完整性 服务 一个消息文摘在被发送之前和数据被接收到以 后都可以根据一组数据计算出来 如果两次计算出来 的文摘值是一样的 那么分组数据在传输过程中就没 有被改变 这样就防止了无意或恶意的窜改 在使用 HMAC MD5 认证过的数据交换中 发 送 者 使 用 以 前 交 换 过 的 密 钥 来 首 次 计 算 数 据 报的 64 比特分组的 MD5 文摘 从一系列的 16 比特中 计算出来的文摘值被累加成一个值 然后放到 AH 包 头的认证数据区 随后数据报被发送给接收者 接收 者也必须知道密钥值 以便计算出正确的消息文摘并 且将其与接收到的认证消息文摘进行适配 如果计算 出的和接收到的文摘值相

7、等 那么数据报在发送过程 中就没有被改变 而且可以相信是由只知道秘密密钥 的另一方发送的 二 IPSEC 加密 封包安全协议 ESP 包头提供 IP 数据报的完整性和可信性服务 ESP 协议是设计以两种模式工作的 隧道 TunneLing 模式和传输 Transport 模式 两者的区别在于 IP 数据报的 ESP 负载部分的内容不 同 在隧道模式中 整个 IP 数据报都在 ESP 负载中 进行封装和加密 当这完成以后 真正的 IP 源地址计算机网络安全 准量和目的地址都可以被隐藏为 Internet 发送的普通数 据 这种模式的一种典型用法就是在防火墙 防火墙 之 间 通 过 虚 拟 专 用

8、 网 的 连 接 时 进 行 的 主 机 或 拓 扑 隐 藏 在传输模式中 只有更高层协议帧 TCP UDP ICMP 等 被放到加密后的 IP 数据报的 ESP 负载部分 在这种模式中 源和目的 IP 地址以及所有的 IP 包头 域都是不加密发送的 IPSEC 要求在所有的 ESP 实现中使用一个通用的 缺省算法即 DES CBC 算法 美国数据加密标 DES 是一个现在使用得非常普遍的加密算法 它最早是在由美国政府公布的 最初是用于商业 应用 到现在所有 DES 专利的保护期都已经到期了 因此全球都有它的免费实现 IPSECESP 标准 要求所有的 ESP 实现支持密码分组链方式 CBC

9、的 DES 作为缺省的算法 DES CBC 通过对组成一个完整的 IP 数据包 隧 道模式 或下一个更高的层协议帧 传输模式 的 8 比特数据分组中加入一个数据函数来工作 DES CBC 用 8 比特一组的加密数据 密文 来代 替 8 比 特 一 组 的 未 加 密 数 据 明 文 一 个 随 机 的 8 比特的初始化向 IV 被用来加密第一个明文分组 以 保 证 即 使 在 明 文 信 息 开 头 相 同 时 也 能 保 证 加 密 信计算机网络安全 息的随机性 DES CBC 主 要 是 使 用 一 个 由 通 信 各 方 共 享 的 相 同的密钥 正因为如此 它被认为是一个对称的密码 算

10、法 接收方只有使用由发送者用来加密数据的密钥 才能对加密数据进行解密 因此 DES CBC 算法的有 效 性 依 赖 于 秘 密 密 钥 的 安 全 ESP 使 用 的 DES CBC 的密钥长度是 56 比特 数据库服务器的安全 1数据库服务器实际上是每一个电子交易 金融和 企 业 资 源 规 划 ERP 系 统 的 基 础 它 还 经 常 包 括 来 自商业伙伴和客户的敏感信息 尽管这些系统的数据 完整性和安全性是相当重要的 但对数据库采取的安 全 检 查 措 施 的 级 别 还 比 不 上 操 作 系 统 和 网 络 的 安 全 检查措施的级别 许多因素都可能破坏数据的完整性 并导致非法

11、访问 这些因素包括复杂程度 密码安全 性较差 误配置 未被察觉的系统后门以及自适应数 据库安全方法的强制性常规使用等 数据库安全问题为什么非常重要 保护系统敏感信息和数字资产不受非法访问 任 何 公 司 的 主 要 电 子 数 字 资 产 都 存 贮 在 现 代 的关系数据产品中 商业机构和政府组织都是利用这些 数据库服务器得到人事信息 如员工的工资表 医疗计算机网络安全 记录等 因此他们有责任保护别人的隐私 并为他们 保密 数据库服务器还存有以前的和将来的敏感的金 融数据 包括贸易记录 商业合同及帐务数据等 象 技术的所有权 工程数据 甚至市场企划等决策性的 机密信息 必须对竟争者保密 并阻

12、止非法访问 数 据库服务器还包括详细的顾客信息 如财务帐目 信 用卡号及商业伙伴的信用信息等 数据库是个极为复杂的系统 因此很难进行正确 的配置和安全维护 数据库服务器的应用相当复杂 掌握起来非常困 难 当然竟争者使用的操作系统也是一样的复杂 诸 如 Oracle sybase MicrosoftSQL 服务器都具有以 下特征 用户帐号及密码 校验系统 优先级模型和 控制数据库目标的特别许可 内置式命 令 存储的步 骤或包 唯一的脚本和编程语言 通常为 SQL 的特 殊衍生语 mIddLeware 网络协议 补丁和服务包 强有力的数据库管理实用程序和开发工具 许多 DBA 都忙于管理复杂系统

13、所以很可能没有检查出严重的 安全隐患和不当的配置 甚至根本没有进行检测 所 以 正是由于传统的安全体系在很大程度上忽略了数 据库安全这一主题 使数据库专业人员也通常没有把 安 全 问 题 当 作 他 们 的 首 要 任 务 自 适 应 网 络 安 全计算机网络安全 的理念 将 安 全 问 题 看 作 持 续 不 断 的 工 作 进 程 而 不 是 一 次 性 的 检 查 并 未 被 大 多 数 数 据 库 管 理 者 所接受 保 障 数 据 库 服 务 器 上 的 网 络 和 操 作 系 统 数 据 安 全是至关重要的 但这些措施对于保护数据库服务器 的安全还很不够 在 许 多 资 深 安 全

14、 专 家 中 普 遍 存 在 着 一 个 错 误 概 念 他们认为 一旦访问并锁定了关键的网络服务和 操作系统的漏洞 服务器上的所有应用程序就得到了 安全保障 现代数据库系统具有多种特征和性能配置 方式 在使用时可能会误用 或危及数据的保密性 有效性和完整性 首先 所有现代关系型数据库系统 都是 可 从 端 口 寻 址 的 这 意 味 着 任 何 人 只 要 有 合 适的查询工具 就都可与数据库直接相连 并能躲开 操作系统的安全机制例如 可以用 TCP/IP 协议从 1521 和 1526 端口访问 Oracle7.3 和 8 数据库 多数 数据库系统还有众所周知的默认帐号和密码 可支持 对数

15、据库资源的各级访问 从这两个简单的数据相结 合 很多重要的数据库系统很可能受到威协 不幸的 是 高水平的入侵者还没有停止对数据库的攻击 拙 劣 的 数 据 库 安 全 保 障 设 施 不 仅 会 危 及 数 据 库 的安全 还会影响到服务器的操作系统和其它信用系计算机网络安全 统 还 有 一 个 不 很 明 显 的 原 因 说 明 了 保 证 数 据 库 安全 的 重 要 性 数 据 库 系 统 自 身 可 能 会 提 供 危 及 整 个 网络体系的机制 例如 某个公司可能会用数据库服 务 器 保 存 所 有 的 技 术 手 册 文 档 和 白 皮 书 的 库 存 清 单 数据库里的这些信息并

16、不是特别重要的 所以它 的安全优先级别不高 即使运行在安全状况良好的操 作系统中 入侵者也可通过 扩展入驻程序 等强有 力的内置数据库特征 利用对数据库的访问 获取对 本地操作系统的访问权限 这些程序可以发出管理员 级的命令 访问基本的操作系统及其全部的资源 如 果这个特定的数据库系统与其它服务器有信用关系 那么入侵者就会危及整个网络域的安全 数据库是新型电子交易 企业资源规划 ERP 和其它重要商业系统的基础 在电子商务 电子贸易的着眼点集中于 WEB 服务 器 Java 和其它新技术的同时 应该记住这些以用户 为导向和企业对企业的系统都是以 Web 服务器后的关 系数据库为基础的 它们的安

17、全直接关系到系统的有 效性 数据和交易的完整性 保密性 系统拖延效率 欠佳 不仅影响商业活动 还会影响公司的信誉 不 可避免地 这些系统受到入侵的可能性更大 但是并计算机网络安全 未 对 商 业 伙 伴 和 客 户 敏 感 信 息 的 保 密 性 加 以 更 有 效 的 防 范 此 外 ERP 和 管 理 系 统 如 ASPR/3 和PeopleSoft 等 都 是 建 立 在 相 同 标 准 的 数 据 库 系 统 中 无人管理的安全漏洞与时间拖延 系统完整性问 题和客户信任等有直接的关系 数据库服务器的安全 2我需要寻找哪此类型的安全漏洞呢 传统的数据库安全系统只侧重于以下几项 用户帐户

18、作用和对特定数据库目标的操作许可 例如 对表单和存储步骤的访问 必须对数据库系统做范围 更广的彻底安全分析 找出所有可能领域内的潜在漏 洞 包括以下提到的各项内容 与销售商提供的软件相关的风险 软件的 BUG 缺少操作系统补丁 脆弱的服务和选择不安全的默认 配置 与 管 理 有 关 的 风 险 可 用 的 但 并 未 正 确 使 用 的 安全选项 危险的默认设置 给用户更多的不适当的 权限 对系统配置的未经授权的改动 与用户活动有关的风险 密码长度不够 对重要 数据的非法访问以及窃取数据库内容等恶意行动 以上各类危险都可能发生在网络设备 操作系统 或 数 据 库 自 身 当 中 对 数 据 库

19、 服 务 器 进 行 安 全 保 护计算机网络安全 时 都应将这些因素考虑在内 数据库安全 漏洞区域及示例 在重要数据库服务器中 还存在着多种数据库服 务器的漏洞和错误配置 下面列出了几个实例 安 全 特 征 不 够 成 熟 绝 大 多 数 常 用 的 关 系 数 据 库 系 统 已 经 存 在 了 十 多 年 之 久 并 且 具 有 强 大 的 特 性 产品非常成熟 但不幸的是 IT 及安全专业人士 认为理所当然应该具有的许多特征 在操作系统和现 在普遍使用的数据库系统中 并没有提供 非内建式数据库标准安全性能 帐户锁定设备 nononoyes 重命名管理帐户 nononono 要求严密的口

20、令 nononoyes 陈旧的帐户 nononono 密码失效 noyesnoyes 登录时间限制 nononono 例如 上表列出了大多数 IT 专业人士期望或要 求操作系统所应具备的特性 但在数据库服务器的标 准安全设施中并未出现 由于这些数据库都可进行端 口寻址的 操作系统的核心安全机制并未应用到与网 络 直 接 联 接 的 数 据 库 中 一 些 产 品 例 如MicrosoftSQLServer, 都 可 利 用 功 能 更 加 强 大 的 计算机网络安全 WindowsNT 安全机制去发现上面提到的安全漏洞 但 是 考 虑 到 兼 容 性 问 题 运 行 环 境 并 不 全 是Wi

21、ndowsNT 所以大多数依然执行 MSSQLServer 的安 全标准 而实施则是另外一回事了 如果公司实用的 是 Oracle8 管理员如何能知道是否真地实施了安全 特性 是否一直在全公司中得到实施 这几项特性相结合 使得与之相关的问题更加严 峻 由于系统管理员的帐号是不能重命名的 SQL 和 Sybase 是 sa 对于 Oracle 是 System 和 sys 如果没有密码封锁可用或已配置完毕 入侵者就可以 对数据库服务器发动强大字典式登录进攻 最终能破 解密码 有什么能够挡住他们对服务器耐心 持久的 高水平攻击呢 数 据 库 密 码 的 管 理 在 多 数 数 据 库 系 统 提

22、供 的 安全标准中 没有任何机制能够保证某个用户正在选 择有力的 或任意的 密码 这一基本的安全问题需 要细心的监督 此外还需要对全部密码列表进行管理 和安全检查 例如 Oracle 数据库系统具有十个以上 地特定地默认用户帐号和密码 此外还有用于管理重 要数据库操作的唯一密码 如对 Oracle 数据库开机 程序的管理 访问网络的听众过程以及远程访问数据 库的权限等 如果安全出现了问题 这些系统的许多计算机网络安全 密码都可让入侵者对数据库进行完全访问 这些密码 甚至还被存储在操作系统的普通文本文件里 下面有 几个示例 OracleinternaL 密码 Oracle 内部密码存放在 文件名

23、为 stRXXX.cmd 的文本文件中 XXX 是 Oracle 系统的 ID 或 SID 默认值为 ORCL 用在 Oracle 数据库的启动过程中 要用到 OracleInternet 密码 具有随意访问数据库资源的权力 这个文件应妥善保 管 以用于基于 WindowsNT 的 ORACLE 程序 Oracle 监 听 程 序 过 程 密 码 用 于 起 动 并 停 止 Oracle 监听程序过程的密码 该过程可将所有的新业 务路由到系统上合适的 Oracle 例子中 需选择一个 保密性强的密码替换系统的默认值 使用许可必须在 Listener.ora 文 件 中 得 到 保 护 该 文

24、件 存 贮 了 Oracle 所有的使用密码 对密码的不当访问可能会使 入侵者对基于 Oracle 的电子交易站点进行拒绝服务攻击 Oracle 内 部 密 码 Orapw 文 件 许 可 控 制 Oracle 内部密码和由 SYSDBA 授权的帐号密码存贮在Orapw 文 本 文 件 中 尽 管 文 件 已 被 加 密 但 在 ORACLE 的 UNIX 和 WindowsNT 的程序中 还是要限制 该文件的使用权限 如果该文件被访问 那么遭解密计算机网络安全 的文件很容易遭到强有力的攻击 这些例子说明了管理员 系统密码和帐号是何等的重要 它们都可能会遭到意想不到的攻击方法的攻 击 注意密码

25、管理问题决不仅限于 Oracle 数据库 几乎所有主要数据库提供商的产品都有这种问题 操 作 系 统 的 后 门 许 多 数 据 库 系 统 的 特 征 参 数 尽管方便了 DBA 但也为数据库服务器主机操作系统 留下了后门 如上所述 对 Sybase 或 SQL 服务器的 sa 密 码 造 成 危 害 的 入 侵 者 有 可 能 利 用 扩 展 入 驻 程 序 得到基本操作系统的使用权限 以 sa 的身份登录 入 侵 者 使 用 扩 展 入 驻 程 序 xpcmdsheLL 该 程 序 允 许 Sybase 或 SQL 服务器的用户运行系统指令 就象该用 户在服务器控制台上运行指令一样 例如

26、 可实用下 列 SQL 指 令 添 加 一 个 WindowsNT 帐 号 帐 号 名 为hacker1 密码为 nopassoword 并把 hacker1 添加到 Administ Rators 组 现在这个非法入侵者就成了 WindowsNT 的管理员了 我们只能祈祷这个 SQL 服务器不是域控制器 这个简单的攻击之所以成功 是因为命令被提交给实 用 WindowsNT 帐号的操作系统 而 MSSQLServer 的服 务就运行在这个帐号下 在默认情况下 这个帐号就计算机网络安全 是 LocalSystem 帐号-本地 WindowsNT 系统中最 有效力的帐号 另一个途径是黑客可能使用

27、 SQL 服务 器 利用入驻程序 XP-REGREAD 从注册表中读出加密 的 WindowsNTSAM 密码 对操作系统的安全造成威胁 由于有几种免费的 WindowsNT 密码攻击器软件 因此 保管好加密的 WindowsNT 密码的安全变得格外重要 以下例子说明了入侵者是怎样得到信息的 XP-REGREADHKEYLOCALMACHINE,SECURITYSAMDOMAIN saccount,F 注 意 从 注 册 表 中 读 出 加 密 密 码 是 一 件 本 地 WindowsNT 管理员帐号都无法做到的事 SQL 服务器 之所以能够做 是因为默认方式运行的 SQL 服务使用 的恰恰

28、就是 LocalSystem 帐号 Oracle 数据库系统还具有很多有用的特征 可用 于对操作系统自带文件系统的直接访问 例如在合法 访问时 UTL FILE 软件包允许用户向主机操作系统 进行读写文件的操作 UTL FILE DIR 简档变量很容 易配置错误 或被故意设置为允许 Oracle 用户用 UTLFILE 软件包在文件系统的任何地方进行写入操作 这样也对主机操作系统构成了潜在的威胁 校 验 关 系 数 据 库 系 统 的 校 验 系 统 可 以 记 录 下 信息和事件 从基本情况到任一细节 无一遗漏 但计算机网络安全 是校验系统只在合理使用和配置的前提下 才能提供 有用的安全防范

29、和警告信息 当入侵者正在试图侵入 特定的数据库服务器时 这些特征可及早给出警告信 息 为检测和弥补损失提供了宝贵的线索 特 洛 伊 木 马 程 序 尽 管 人 们 知 道 操 作 系 统 中 的 特洛伊木马程序已经有好几年了 但是数据库管理员 还需注意到木马程序带给系统入驻程序的威胁 一个 著名的特洛伊木马程序修改了入驻程序的密码 并且 当更新密码时 入侵者能得到新的密码 例如 某个 个人可以在 sppassword 系统入驻程序中添加几行命 令 就可在表单中增加新的密码 用 e-Mail 传递密 码或将密码写入外部文件以备日后使用 这一办法可 连续获取密码 直到入侵者得到的 sa 密码被更换

30、 使得更深层的入侵未被察觉 一个入侵者或心怀不 满的雇员只需进入系统一次 放置好特洛伊木马后就可得到以后的一系列密码 总结 安全专业人士 校验员 DBA 和电子商务的规划 人员在部署重要商业系统时 都需注意到数据库的安 全问题 要想了解的系统的安全状态和发展方向 您 就 得 部 署 系 统 以 对 数 据 库 服 务 器 做 出 最 彻 底 的 评 估 并进行常规的安全评估 所有系统都应该采用信计算机网络安全 息风险管理原则 以进行监督 检测 对安全漏洞做 出响应 你认为你能避开监视吗你 是 使 用 以 太 网 保 护 开 关 来 保 护 网 卡 通 信 量 被 别 人 偷 窥 吗 很 长 时

31、 间 ,开 关 都 是 对 反 窥 探 的 一 种 策 略 一张由开关控制的网卡分开通信量 以便在一段 上 的 一 个 用 户 使 用 者 不 会 轻 易 的 在 另 外 的 段 上 偷 窥 到信量 在 一 张 交 换 的 网 卡 上 偷 窥 信 量 ,一 个 用 户 使 用 者 必 须 也 把 一 个 监 听 器 放 在 实 际 的 目 标 段 上 或 在 目 标 段上让机器通过你的网卡段或你的系统送通信量 指 示 一 台 远 程 的 的 机 器 提 交 你 的 信 息 包 的 方 法 过 去 常 是困难的 你不得不某种程度改变远程主机的网关 不一项容易的任务,除非你有 Arpredirec

32、t 的拷贝 Arpredirect 是 一 个 地 址 解 析 协 议 (ARP)病 毒 工 具 此工具能指示一个远程的的系统由送主机适当的 ARP 包改变它的网关地址 例 如 ,一 个 入 侵 者 能 使 用 AArpredirect 指 示 一 台 远 程 主 机 把 所 有 的 包 提 交 给 入侵者的 IP 地址 入侵者能分析或储存信息包,然后 不 让 远 程 的 的 用 户 使 用 者 的 知 道 就 把 他 们 提 交 给 他 们的最终的目的 DugSong 在 1999 年 12 月 开 发 了 最 原 始 的 计算机网络安全 Arpredirect 工具 工具是他的 dsnIf

33、f 插件的部分, 它在 DugSong 的网络站点是可用的 直到我最近在一 份 竞 争 的 出 版 物 读 一 篇 由 斯 图 亚 特 麦 克 卢 尔 和 乔 尔 沙姆赖写的文章我才又想到 Arpredirect2 个人 指出我们需要知道 Arpredirect 和整个 dsnIff 包装 因为它如果在坏人的手中的话是危险的 信息包运载 了 一 批 强 大 的 工 具 , 包 括 URLSNARF WEBSPY MailSnarf 其中就有 dsnIff 工具 URLSNARF 抓 住 从 线 中 经 过 的 地 址 并 且 存 储 它 以 备以后的检查 WEBSPY 能抓住 URLs 并且在

34、你的局部的的浏览器 窗口中打开 URL 因此你能对其进行跟踪并且看到远程 的 的 用 户 使 用 者 在 他 的 或 她 的 浏 览 器 上 正 在 看 的 内 容 MailSnarf 就象 WEBSPY 一样可恶 它能探测到 SMTP 进 流 的 顾 客 能 读 的 公 用 的 格 式 的 全 部 邮 件 dsnIff 工具是我看见了的最有力的口令破译器之一 它 能 从 许 多 不 同 的 协 议 离 线 抢 到 口 令 ,包 括 文 件 传 递 协议 远程登录 ,网,POP3,IMAP,LDAP,Citrixica,pc anywhere,SMB,Oracle 结构式查询语言 尽管发现的在

35、 dsnIff 中 插件是为一种多任务 多 用 户 操 作 系 统 平 台 而 编 写 的 ,你 仍 然 需 要 知 道 因 为计算机网络安全 他们能对你的基于 Windows 的网络产生作用 你同样 要对这些工具存在而担忧 Song 的插件有不可思议地力量,不管是与好或坏 的目的使用 工具总的来说指出网络的一个棘手的问 题 :恶 意 的 用 户 轻 易 就 能 从 信 息 包 中 捕 获 完 整 的 正 文 及敏感数据变换 尽管堵住 ARP 新定向并且监视通信量和表格能保 护数据不被象 Arpredirect 一样的工具破译 但情况 不是都是一概而论的 他们帮助阻止包被误导 但是 大 多 数

36、 数 据 变 换 仍 然 在 你 的 网 络 上 以 清 楚 的 文 本 输 送 ,局 部 性 的 入 侵 者 就 能 通 过 监 听 工 具 捕 获 敏 感 的 数 据变换信息 要想提高对你的数据变换的保护 你必须在外部 在线上送它前加密它 并且你必须使用检测嗅探器工 具来防治被窥探 关于采取如何保护的战术取决于你 的 数 据 变 换 和 你 的 组 织 性 质 ,因 此 我 不 能 在 事 上 给 你 更多忠告 要警惕病毒的 ARP 和嗅探数据变换器 那 是你需要对付的实际的问题 Linux 环境下黑客常用嗅探器分析本文对 Linux 环境下黑客常常使用的几种嗅探器进行详细的分析 这些嗅探

37、器往往被入侵者完成入侵 以后种植在受害者服务器当中 这些嗅探器各自有不计算机网络安全 同的特点 有的只是简单的用来捕捉用户名和密码 有的则非常强大可记录所有的网络数据流 本文将对 下面几种嗅探器进行分析 入侵检测技术综述 系统风险与入侵检测 计算机网络的安全是一个国际化的问题 每年全 球 因 计 算 机 网 络 的 安 全 系 统 被 破 坏 而 造 成 的 经 济 损 失 达 数 百 亿 美 元 进 入 新 世 纪 之 后 上 述 损 失 将 达 2000 亿美元以上 政府 银行 大企业等机构都有自己的内网资源 从这些组织的网络办公环境可以看出 行政结构是金 字塔型 但是局域网的网络管理却是

38、平面型的 从网 络安全的角度看 当公司的内部系统被入侵 破坏与 泄密是一个严重的问题 以及由此引出的更多有关网 络安全的问题都应该引起我们的重视 据统计 全球 80%以上的入侵来自于内部 此外 不 太 自 律 的 员 工 对 网 络 资 源 无 节 制 的 滥 用 对 企 业 可 能 造 成 巨 大 的 损 失 当商户 银行与其他商业与金融机构在电子商务 热潮中纷纷进入 Internet 以政府上网为标志的数字 政府使国家机关与 Internet 互联 通过 Internet 实 现包括个人 企业与政府的全社会信息共享已逐步成计算机网络安全 为现实 随着网络应用范围的不断扩大 对网络的各 类攻

39、击与破坏也与日俱增 无论政府 商务 还是金 融 媒体的网站都在不同程度上受到入侵与破坏 网 络安全已成为国家与国防安全的重要组成部分 同时 也是国家网络经济发展的关键 据统计 信息窃贼在过去 5 年中以 250%速度增 长 99%的 大 公 司 都 发 生 过 大 的 入 侵 事 件 世界著名 的商业网站 如 Yahoo Buy Ebay Amazon CNN 都 曾被黑客入侵 造成巨大的经济损失 甚至连专门从 事网络安全的 RSA 网站也受到黑客的攻击 对入侵攻击的检测与防范 保障计算机系统 网 络 系 统 及 整 个 信 息 基 础 设 施 的 安 全 已 经 成 为 刻 不 容 缓的重要

40、课题 网络安全是一个系统的概念 有效的安全策略或 方案的制定 是网络信息安全的首要目标 网络安全技术主要有 认证授权 数据加密 访 问控制 安全审计等 本文着重讨论的入侵检测技术 是安全审计中的核心技术之一 是网络安全防护的重 要组成部分 入 侵 检 测 技 术 是 为 保 证 计 算 机 系 统 的 安 全 而 设 计 与 配 置 的 一 种 能 够 及 时 发 现 并 报 告 系 统 中 未 授 权 或异常现象的技术 是一种用于检测计算机网络中违计算机网络安全 反安全策略行为的技术 违反安全策略的行为有 入 侵非法用户的违规行为 滥用用户的违规行为 利用审计记录 入侵检测系统能够识别出任何

41、不 希望有的活动 从而达到限制这些活动 以保护系统 的安全 入侵检测系统的应用 能使在入侵攻击对系 统发生危害前 检测到入侵攻击 并利用报警与防护 系统驱逐入侵攻击 在入侵攻击过程中 能减少入侵 攻击所造成的损失 在被入侵攻击后 收集入侵攻击 的相关信息 作为防范系统的知识 添加入知识库内 以增强系统的防范能力 入侵检测产品分析 1 入侵检测产品 经过几年的发展 入侵检测产品开始步入快速的 成长期 一个入侵检测产品通常由两部分组成 传感 器(Sensor)与控制台(ConsoLe) 传 感 器 负 责 采 集 数 据(网络包 系统日志等) 分析数据并生成安全事件 控制台主要起到中央管理的作用

42、商品化的产品通常 提 供 图 形 界 面 的 控 制 台 这 些 控 制 台 基 本 上 都 支 持 WindowsNT 平台 从技术上看 这些产品基本上分为以下几类 基 于网络的产品和基于主机的产品 混合的入侵检测系 统可以弥补一些基于网络与基于主机的片面性缺陷计算机网络安全 此外 文件的完整性检查工具也可看作是一类入侵检 测产品 2.基于网络的入侵检测 基于网络的入侵检测产品 NIDS 放置在比较重要的网段内 不停地监视网段中的各种数据包 对每 一个数据包或可疑的数据包进行特征分析 如果数据 包与产品内置的某些规则吻合 入侵检测系统就会发 出警报甚至直接切断网络连接 目前 大部分入侵检 测

43、产品是基于网络的 值得一提的是 在网络入侵检 测系统中 有多个久负盛名的开放源码软件 它们是 Snort NFR Shadow 等 其 中 Snort 的 社 区 (http:/www.snort.org)非常活跃 其入侵特征更新 速度与研发的进展已超过了大部分商品化产品 网络入侵检测系统的优点 网 络 入 侵 检 测 系 统 能 够 检 测 那 些 来 自 网 络 的 攻击 它能够检测到超过授权的非法访问 一 个 网 络 入 侵 检 测 系 统 不 需 要 改 变 服 务 器 等 主机的配置 由于它不会在业务系统的主机中安装额外 的软件 从而不会影响这些机器的 CPU I/O 与磁盘 等资源

44、的使用 不会影响业务系统的性能 由于网络入侵检测系统不像路由器 防火墙等关 计算机网络安全 键设备方式工作 它不会成为系统中的关键路径 网计算机网络安全 络入侵检测系统发生故障不会影响正常业务的运行 布 署 一 个 网 络 入 侵 检 测 系 统 的 风 险 比 主 机 入 侵 检 测 系统的风险少得多 网 络 入 侵 检 测 系 统 近 年 内 有 向 专 门 的 设 备 发 展 的 趋 势 安 装 这 样 的 一 个 网 络 入 侵 检 测 系 统 非 常 方 便 只需将定制的设备接上电源 做很少一些配置 将其连到网络上即可 网络入侵检测系统的弱点 网 络 入 侵 检 测 系 统 只 检

45、查 它 直 接 连 接 网 段 的 通信 不能检测在不同网段的网络包 在使用交换以太 网的环境中就会出现监测范围的局限 而安装多台网 络 入 侵 检 测 系 统 的 传 感 器 会 使 布 署 整 个 系 统 的 成 本 大大增加 网 络 入 侵 检 测 系 统 为 了 性 能 目 标 通 常 采 用 特 征 检测的方法 它可以检测出普通的一些攻击 而很难 实 现 一 些 复 杂 的 需 要 大 量 计 算 与 分 析 时 间 的 攻 击 检 测 网 络 入 侵 检 测 系 统 可 能 会 将 大 量 的 数 据 传 回 分 析系统中 在一些系统中监听特定的数据包会产生大 量的分析数据流量 一

46、些系统在实现时采用一定方法 来减少回传的数据量 对入侵判断的决策由传感器实 现 而中央控制台成为状态显示与通信中心 不再作计算机网络安全 为入侵行为分析器 这样的系统中的传感器协同工作 能力较弱 网络入侵检测系统处理加密的会话过程较困难 目前通过加密通道的攻击尚不多 但随着 IPv6 的普 及 这个问题会越来越突出 3 基于主机的入侵检测 基于主机的入侵检测产品HIDS 通常是安装在被重点检测的主机之上 主要是对该主机的网络实时 连接以及系统审计日志进行智能分析和判断 如果其 中主体活动十分可疑(特征或违反统计规律) 入侵检 测系统就会采取相应措施 主机入侵检测系统的优点 主机入侵检测系统对分

47、析 可能的攻击行为 非常有用 举例来说 有时候它除了指出入侵者试图执 行一些 危险的命令 之外 还能分辨出入侵者干了 什么事 他们运行了什么程序 打开了哪些文件 执 行了哪些系统调用 主机入侵检测系统与网络入侵检 测系统相比通常能够提供更详尽的相关信息 主 机 入 侵 检 测 系 统 通 常 情 况 下 比 网 络 入 侵 检 测 系统误报率要低 因为检测在主机上运行的命令序列 比检测网络流更简单 系统的复杂性也少得多 主 机 入 侵 检 测 系 统 可 布 署 在 那 些 不 需 要 广 泛 的计算机网络安全 入侵检测 传感器与控制台之间的通信带宽不足的情 况下 主机入侵检测系统在不使用诸如

48、 停止服务注销用户 等响应方法时风险较少 主机入侵检测系统的弱点 主 机 入 侵 检 测 系 统 安 装 在 我 们 需 要 保 护 的 设 备上 举例来说 当一个数据库服务器要保护时 就要 在服务器本身上安装入侵检测系统 这会降低应用系 统的效率 此外 它也会带来一些额外的安全问题 安装了主机入侵检测系统后 将本不允许安全管理员 有权力访问的服务器变成他可以访问的了 主 机 入 侵 检 测 系 统 的 另 一 个 问 题 是 它 依 赖 于 服 务器固有的日志与监视能力 如果服务器没有配置日 志功能 则必需重新配置 这将会给运行中的业务系 统带来不可预见的性能影响 全面布署主机入侵检测系统代价较大 企业中很 难将所有主机用主机入侵检测系统保护 只能选择部 分主机保护 那些未安装主机入侵检测系统的机器将 成为保护的盲点 入侵者可利用这些机器达到攻击目 标 主机入侵检测系统除了监测自身的主机以外 根 本不监测网络上的情况 对入侵行为的分析的工作量 将随着主机数目增加而增加