1、计算机百科知识计算机百科知识 计算机网络病毒 (十 四 ) 本书编写组 编 山东科学技术出版社图 书 在 版 编 目 (CIP)数 据 计 算 机 百 科 知 识 /本 书 编 写 组 编 济南 山东科学 技术出版社 2003ISBN 7-5331-1651-8计 本 计算机网络 基本知识 汇编 TP39中国版本图书馆 CIP 数据核字(2003)第 004271 号山东科学技术出版社出版发行 (济 南 市 玉 函 路 16 号 250001)全国各地新华书店经销 莒县新华印刷厂印刷开本 787 1092 1/32 印张 240 字数 4 000 千字2003 年 7 月第 1 版 2003
2、年 7 月第 1 次印刷印数 1 1 000 册书号 ISBN 7-5331-1651-8/ D 112定价 698.00 元I目 录 解析 IDS 的误报 误警与安全管理 VPN 技 术 比 较 . DOS(拒绝服务)攻防简明问答 与黑客过招如何给自己的网络设防 解除 NET BIOS 与 TCP/IP 协议的绑定 设置 IP 拒 绝 访 问 列 表 INC 文 件 泄 露 问 题 .IT 摘要 . LINUX 新 型 速 度 测 评 工 具 问 世 .电脑病毒疫情综述蠕虫病毒闹翻天 . 网络警察保驾互联网 成为未来最走俏职业 . 波兰黑客组织公布利用 SENDMAIL 缺 陷 的 方 法
3、网络安全有五大破绽 浏览器隐私最没保障 . 黑客盗窃了美国德克萨斯大学 5 万 多 个 个 人 数 据 赛 门 铁 克 全 球 首 创 网 络 安 全 早 期 预 警 服 务 .2003 中国城市电子政务高层论坛 .网络安全越来越重要 2003 年会是网络安全年 .电子邮件地址竟被窃售网上又有新不法活动 . TECHUPDATE.COM LINUX 的安全性仍是最好的 全球黑客活动日益猖獗 黑客保险 方兴未艾. .微软将定时发送邮件提醒用户注意网络安全 .IIGOOGLE 威胁美国人隐私 搜索能力太强遭恨 病毒 月生七百种 媒 体 呼 吁 关 注 网 络 安 全 蠕虫 卷走 12 亿 美 元
4、.构筑中国数字 长城 .布什公布网络安全计划的最终版本 .病 毒 肆 虐 下 的 净 土 蠕虫风暴再启示 .黑客成功侵袭美国 220 万个 VISA 和万事达卡帐户 .今年病毒造成经济损失将超过 280 亿美元 .信 息 社 会 世 峰 会 二 次 筹 备 会 在 日 内 瓦 举 行 .万事达卡遭黑客攻击 对中国客户影响不大 . NTT 发布最新网络安全系统 以防止网络 .当心 赤裸 上网 无线网络安全问题让人忧虑 微软 WINDOWS SERVER2003 在华提前热身 NTT 开发成功新型 DDOS 攻 击 防 御 系 统 的 试 制 品 总结 2002 展望 2003 年 国 内 网 络
5、 安 全 市 场 2002 年 市 场 增 长 不 理 想 STATA 实验室将推出反垃圾邮件软件 挑 战 微 软 .杀毒软件 NORTON ANTIVIRUS 被 发 现 短信 摧残 手机烧坏芯片当心手机病毒 .反病毒 以毒攻毒 攻 击 是 最 好 的 防 守 .计算机网络病毒 解析 IDS 的误报 误警与安全管理目前 人们对 IDS 最大的批评很可能就是误报 从技术层面上讲 误报就是指检测算法将正常的网络 数据当成了攻击 但实际上用户所认为的误报却是误 警 IDS 误报的典型情况 典型的情况 用户第一次使用 IDS 时 打 开 起 用 了所有可能的算法和配置 就 等 于 说 告 诉 我 网
6、 络 上 所 发 生 的 一 切 他 们 对 所 有 的 活 动 都 感 到 惊 喜 也许他们的确抓住了个把坏蛋 可是一两个星期 之后 他 们 会 说 唉 我 被 这 些 信 息 淹 没 了 我无 法对它们进行响应 于是就产生了 误报 的说法 事实上 在很多情况下 它们仅仅是误警 用户往往 会对 IDS 报有错误的期望 他们指望 IDS 会自动提供 他们希望看到的东西 我们距离这一目标还有很长的 路要走 在这方面 误报是一个关键问题 很显然 如果 IDS 产品将正常的网络数据当成攻击 客户就不会再 安装 IDS 产品 以免影响其正常业务 IDS 厂商应当 投入大量资源和时间使 IDS 的算法运
7、作良好 这样一 来 当客户使用我们的产品时不会有很多误报 而且问题并不总是出在工具上面 也取决于如何计算机网络病毒 配置工具 任何产品都是如此 如果配置得当 你会 发现设备反映灵敏 如果你打开所有的 监控 功能 则会造成数据泛滥 难以正常监控 但实际情况比这更加复杂 两个不同的机构由于 站点配置不同 对同一产品的误报的评价也不同 当 你在一个没有人使用 IE 的网络中发现了 IE 流量 就 说明误报的存在 你同时对一个开放研究网和一个校 园网中进行观察 得出的结论是完全不同的 造 成 误 报 与 误 警 的 认 识 误 区 的 一 个 重 要 原 因 是 IDS 所能报告的不只是攻击 而是报告
8、网络的一切情 况 例如 IDS 能够报告 TCP 连接的建立 HTTP 请求的 URL 而这些都不一定是攻击 IDS 为什么要报告这些 可 能 不 存 在 攻 击 的 事 件 呢 因 为 通 过 对 这 些 事 件 的 统计和分析 有时是能够在这些网络事件发现攻击迹 象的 这也多少反映 IDS 的局限性 即它不可能百分 之百精确地报告攻击 电脑 有 时 还 需 要 人 脑 的 经 验 解决误报和误警问题的对策解决误报和误警的对策有很多 但离目标还有很 长的路要走 主要方法如下 1 将 基 于 异 常 的 技 术 和 传 统 的 基 于 特 征 的 技 术 相结合 计算机网络病毒 异 常 检 测
9、 的 一 个 问 题 在 于 当 今 最 好 的 研 究 工 具 也只有大约 75%的成功率 因此 几乎没有客户能清 楚地了解其网络运作情况 如果你给他们的产品总是 提供不可靠的数据 他们将完全放弃该产品 2 将 协 议 分 析 技 术 与 和 传 统 的 基 于 特 征 的 技 术 相结合 在检测攻击的大量模式和方法的基础上 我们将 协议分析技术 模式匹配和其他一些技术相结合 通 过 异 常 检 测 和 一 些 统 计 门 限 等 指 标 来 确 定 攻 击 的 发 生 面对不同的情况 供应商应当从客户那里了解哪 种模式对哪种攻击最有效 并进行试验 然后确定采 用的模式 3 强化 IDS 的
10、安全管理功能 前两种改进方法的目标是提高 IDS 检测的精度和速度 检测系统 诊断 的速度和精确性不断提高 渐渐具备了防御功能 进而又演进为一种集中式的决 策支持系统 今后 IDS 将淡化防御职能 强化管理职 能 淡化入侵防御 强化入侵管理 我们需要建立一 个不断掌握企业总体安全漏洞状况的决策支持系统 首先 为了强化 IDS 的安全管理功能 需要对各 种报警信息进行集成 这在技术上是完全可行的 我们看到入侵检测传计算机网络病毒 感器技术在后台收集数据方面的改进 数据收集功能 将和一个机构的入侵检测基础架构更紧密地集成 而我们目前的情况则正相反 由于手头只有大量零散的数据 我们得花力气去理解数据
11、的含义 如果 能够来自不同类型传感器平台的数据收集起来 并通 过智能化的手段集成这些数据 我们就可以将多个小 型 事 件 综 报 警 信 息 的 集 成 对 最 终 用 户 有 何 重 要 意 义 呢 VPN 技术比较VPN 技术非常复杂 它涉及到通信技术 密码技 术 和 现 代 认 证 技 术 是 一 项 交 叉 科 学 目 前 CPE-BASED VPN 主要包含两种技术 隧道技术与安全技术 一 隧道技术 隧 道 技 术 的 基 本 过 程 是 在 源 局 域 网 与 公 网 的 接口处将数据(可以是 ISO 七层模型中的数据链路层或 网 络 层 数 据 )作 为 负 载 封 装 在 一
12、种 可 以 在 公 网 上 传 输 的数据格式中 在目的局域网与公网的接口处将数据 解封装 取出负载 被封装的数据包在互联网上传递 时所经过的逻辑路径被称为 隧道 要使数据顺利地被封装 传送及解封装 通信协 计算机网络病毒 议是保证的核心 目前 VPN 隧道协议有 4 种 点到点计算机网络病毒 隧道协议 PPTP 第二层隧道协议 L2TP 网络层隧道 协议 IPSEC 以及 SOCKSV5 它们在 OS 七层模型中的位 置如表所示 各协议工作在不同层次 无所谓谁更有 优势 但我们应该注意 不同的网络环境 适合不同的协议 在选择 VPN 产品时 应该注意选择 1 点到点隧道协议 PPTP PPT
13、P 协 议 将 控 制 包 与 数 据 包 分 开 控 制 包 采 用 TCP 控制 用于严格的状态查询及信令信息 数据包 部分先封装在 PPP 协议中 然后封装到 GRV2 协议中 目前 PPTP 协议基本已被淘汰 不再使用在 VPN 产品 中 2 第二层隧道协议 L2TP L2TP 是国际标准隧道协议 它结合了 PPTP 协议 以及第二层转发 L 2F 协 议 的 优 点能 以 隧 道 方 式 使 PPP 包通过各种网络协议 包括 ATM SONET 和帧中继 但是 L2TP 没有任何加密措施 更多是和 IPSEC 协议 结合使用 提供隧道验证 3 IPSEC 协议 IPSEC 协议是一个
14、范围广泛 开放的 VPN 安全协 议 工作在 OSI 模型中的第三层网络层 它提供所有 在网络层上的数据保护和透明的安全通信 IPSEC 协 计算机网络病毒 议可以设置成在两种模式下运行 一种是隧道模式计算机网络病毒 一种是传输模式 在隧道模式下 IPSEC 把 IPv4 数据 包封装在安全的 IP 帧中 传输模式是为了保护端到 端的安全性 不会隐藏路由信息 1999 年底 IETF 安全工作组完成了 IPSEC 的扩展 在 IPSEC 协议中加 上了 ISAKMP 协议 其中还包括密钥分配协议 IKE 和 OakLey 一种趋势是将 L2TP 和 IPSEC 结合起来: 用 L2TP 作为隧
15、道协议 用 IPSEC 协议保护数据 目前 市场上大部分 VPN 采用这类技术 优点 它定义了一套用于保护私有性和完整性的 标准协议 可确保运行在 TCP/IP 协议上的 VPN 之间 的互操作性 缺点 除了包过滤外 它没有指定其他访问控制 方法 对于采用 NAT 方式访问公共网络的情况难以处 理 适用场合 最适合可信 LAN 到 LAN 之间的 VPN 4 SOCKSV5 协议 SOCKSV5 工作在 OSI 模型中的第五层会话层 可 作为建立高度安全的 VPN 的基础 SOCKSV5 协议的优 势 在 访 问 控 制 因 此 适 用 于 安 全 性 较 高 的 VPN SOCKSV5 现在
16、被 IETF 建议作为建立 VPN 的标准 优点 非常详细的访问控制 在网络层只能根据计算机网络病毒 源目的的 IP 地址允许或拒绝被通过 在会话层控制 手段更多一些 由于工作在会话层 能同低层协议如 IPV4 IPSEC PPTP L2TP 一起使用 用 SOCKS V5 的 代 理 服 务 器 可 隐 藏 网 络 地 址 结 构 能为认 证 加密和密钥管理提供 插件 模块 让用户自由 地采用所需要的技术 SOCKS V5 可根据规则过滤数据流 包括 JavaAppLet 和 ActIves 控制 缺点 其性能比低层次协议差 必须制定更复杂 的安全管理策略 适用场合 最适合用于客户机到服务器
17、的连接模 式 适用于外部网 VPN 和远程访问 VPN 二 安全技术 VPN 是在不安全的 Internet 中通信 通信的内容可能涉及企业的机密数据 因此其安全性非常重要 VPN 中的安全技术通常由加 密 认证及密钥交换与管理组成 1 认证技术 认证技术防止数据的伪造和被篡改 它采用一种称为 摘要 的技术 摘要 技术主要采用 HASH 函 数将一段长的报文通过函数变换 映射为一段短的报 文即摘要 由于 HASH 计算机网络病毒 函数的特性 两个不同的报文计算机网络病毒 具有相同的摘要几乎不可能 该特性使得摘要技术在 VPN 中有两个用途 验证数据的完整性 用户认证 2 加密技术 IPSEC
18、通过 ISAKMP/IKE/OakLey 协商确定几种可 选的数据加密算法 如 DES 3DES 等 DES 密钥长度 为 56 位 容易被破译 3DES 使用三重加密增加了安 全性 当然国外还有更好的加密算法 但国外禁止出 口高位加密算法 基于同样理由 国内也禁止重要部 门使用国外算法 国内算法不对外公开 被破解的可 能性极小 3 密钥交换和管理 VPN 中密钥的分发与管理非常重要 密钥的分发有两 种方法 一种是通过手工配置的方式 另一种采用密 钥交换协议动态分发 手工配置的方法由于密钥更新 困难 只适合于简单网络的情况 密钥交换协议采用 软件方式动态生成密钥 适合于复杂网络的情况且密 钥可
19、快速更新 可以显著提高 VPN 的安全性 目前主 要的密钥交换与管理标准有 IKE 互联网密钥交换 SKIP 互联网简单密钥管理 和 OakLey VPN 组网方式 VPN 在企业中的组网方式分以下 3 种 在各种组计算机网络病毒 网方式下采用的隧道协议有所不同 要仔细选择 1 AccessVPN 远程访问 VPN 客户端到网关 远程用户拨号接入到本地的 ISP 它适用于流动 人员远程办公可大大降低电话费 SOCKSV5 协议适合这类连接 2 IntRanetVPN 企业内部 VPN 网关到网关 它 适 用 于 公 司 两 个 异 地 机 构 的 局 域 网 互 连 在 Internet 上组
20、建世界范围内的企业网 利用 Internet 的线路保证网络的互联性 而利用隧道 加密等 VPN特性可以保证信息在整个 IntRanetVPN 上安全传输 IPSEC 隧道协议可满足所有网关到网关的 VPN 连接 因此 在这类组网方式中用得最多 3 ExtRanetVPN 扩展的企业内部 VPN 与合作 伙伴企业网构成 ExtRanet 由于不同公司的网络相互 通信 所以要更多考虑设备的互连 地址的协调 安 全策略的协商等问题 它也属于网关到网关的连接 选择 IPSEC 协议是明智之举 DOS(拒绝服务)攻防简明问答什么是 DOS 什么是 DDOS 它们的危害是什么 怎 样 有 效 预 防 它
21、 们 我 想 这 是 每 一 个 网 络 管 理 人 员 计算机网络病毒 都关心的问题 下面 我就以问答的形式 从 DOS 的 概念 行为以及预防手段几个方面详细地论述 DOS 攻计算机网络病毒 防 1 何为拒绝服务攻击 DOS 是 DenIaLofService 的简称 即拒绝服务 造成 DOS 的攻击行为被称为 DOS 攻击 其目的是使计 算机或网络无法提供正常的服务 最常见的 DOS 攻击 有计算机网络带宽攻击和连通性攻击 带宽攻击指以 极大的通信量冲击网络 使得所有可用网络资源都被 消耗殆尽 最后导致合法的用户请求就无法通过 连 通性攻击指用大量的连接请求冲击计算机 使得所有 可用的操
22、作系统资源都被消耗殆尽 最终计算机无法 再处理合法用户的请求 例如 2000 年 2 月 6 日那个 星期对 Yahoo 网站发生的主要是带宽攻击 2 何为分布式拒绝服务攻击 分 布 式 拒 绝 服 务 (DDOS: DistRibuted DeniaL of Service)攻击指借助于客户/服务器技术 将多个计 算机联合起来作为攻击平台 对一个或多个目标发动 DOS 攻击 从而成倍地提高拒绝服务攻击的威力 通 常 攻击者使用一个偷窃帐号将 DDOS 主控程序安装 在一个计算机上 在一个设定的时间主控程序将与大 量 代 理 程 序 通 讯 代 理 程 序 已 经 被 安 装 在 Intern
23、et 上 的 许 多 计 算 机 上 代 理 程 序 收 到 指 令 时 就 发 动 攻 击 利 用 客 户 /服 务 器 技 术 主 控 程 序 能 在 几 秒 钟 内计算机网络病毒 激活成百上千次代理程序的运行 3.DDOS 攻击怎样影响 Web 站点当对一个 Web 站点执行 DDOS 攻击时 这个站点 的一个或多个 Web 服务会接到非常多的请求 最终使 它无法再正常使用 在一个 DDOS 攻击期间 如果有 一个不知情的用户发出了正常的页面请求 这个请求 会完全失败 或者是页面下载速度变得极其缓慢 看 起来就是站点无法使用 典型的 DDOS 攻击利用许多 计算机同时对目标站点发出成千上
24、万个请求 为了避 免被追踪 攻击者会闯进网上的一些无保护的计算机 内 在这些计算机上藏匿 DDOS 程序 将它们作为同 谋和跳板 最后联合起来发动匿名攻击 4.有没有远离 DDOS 攻击危险的快速而简便的方 法 没有 但 是 有 一 个 简 单 的 基 本 原 则 :防 止 计 算 机 被黑客劫持后成为攻击的平台 这样就在攻击发生前 将问题彻底排除了 攻击者很喜欢把非商业计算机作为攻击平台 因 为这些计算机更容易被攻陷 比如 大学系统经常是 攻击者选择的目标 因为它们经常是人手不足 或者 是为了便于学生使用而将安全设置到最低等级 但这 并不是一个国家的问题 世 界 上 任 何 一 个 Inte
25、rnet计算机网络病毒 服务器都可用被用来作为攻击的平台 所以 我们必须 团 结 成 一 个 整 体 通过全球 合作来保护 Internet 最起码要从自己做起 检查自 己的上网计算机 确保它们不会成为 DDOS 的攻击平 台 这不仅仅是为了做一个 Internet 好公民 更是 为在发生了 DDOS 攻击时 有证据能表明:我的计算机 是无罪的 5.政府能对防范 DOS 攻击起很大的作用吗 毫无疑问 政府通过在 Internet 上施加多种限制规定 就能极大地控制 DOS 类型的攻击 至少是那 些来自本国的攻击 例如 可以对上网要求相当于驾 驶执照那样的许可证 对站点要求相当于 工商许可 的许
26、可证 对所有的 ISP 进行严格规范 就象对许多 公共设施(如水 气等)的要求一样 但 是 请 注 意 :限 制 犯 罪 活 动 和 限 制 经 济 增 长 教 育 信息资源以及一般人身自由之间只是一线之隔 政府对此很难掌握 因此许多政府正在寻求一些非干 预性的方法 例如 美国前总统 CLInton 曾提出在大 学毕业生中发展一个信息安全计算机联合会 培养所 谓 计算机警察 以反抗 DDOS 和其它类型的计算机 犯罪 6.如 何 检 测 我 的 服 务 器 是 否 存 在 DDOS 攻 击 程计算机网络病毒 序 要检测 DDOS 攻击程序的存在 可以有 2 种方法: 通常我们可以使用文件系统扫
27、描工具来确定在服务器文件系统上是否存在已知的 DDOS 攻击程 序 同病毒软件一样 每当有新的 DDOS 发明出来 当前的 DDOS 工具就将过时 或者它对现存的 DDOS 进 行修改而避开检查 所以 要选择最近更新的扫描工 具才能检测到最新的 DDOS 攻击程序 FBI 提供了一个工具叫做 find_dDOS 用于检 测 一 些 已 知 的 拒 绝 服 务 工 具 包 括 TRinoo 进 程 TRinoo 主人 加强的 Tfn 进程 Tfn 客户程序 Tfn2k 客户程序和 Tfn-Rush 客户程序 Find_dDOS 可以从以 下地址下载: http:/www.JintaigR se/
28、n2.htm 请注意 FBI 的这个工具并不能保证捕获所有的 DDOS 工具 如果侵入者安装了一个根文件包 那么 find_dDOS 程序就有可能无法处理它 另外 http:/www.nessus.org 站点也提供一个 免 费 的 扫 描 工 具 当 然 还 有 一 些 商 务 工 具 也 可 以 使 计算机网络病毒 用 计算机网络病毒 还 可 使 用 手 工 方 法 对 起 源 于 本 地 网 络 中 的 DDOS 活动进行双重检查 在 Web 服务器与 Internet 或 者 上 游 ISP 连接之 间的防火墙上建立一个滤波器 以寻找 spoofed(哄骗) 信息包 也就是那些不是从你
29、自己的网络上生成的信 息包 这就是所谓的出口过滤 如果在你的网络上正 在生成 spoofed 信息包 那么这很可能是一个 DDOS 程序生成的 然后跟踪这些 spoofed 信息的源头 将 计算机离线开始清理工作 屏蔽经常受到远程控制而受到威胁的端口 比如 37337 为 了 对 所 有 的 变 化 都 进 行 研 究 并 采 取 相 应 的 措 施 建议使用 nmap 或 saint 这样的工具经常对网络 的开放端口进行扫描 Nmap 即 NetworkMapper 是 Linux 下的网络扫描和嗅探工具包 它不仅可以帮助 网管人员深入探测 UDP 或 TCP 端口 直至主机所使用 的操作系
30、统 还可以将所有探测结果记录到各种格式 的 日 志 中 为 系 统 安 全 服 务 Infoworld 这 样 评 价 Nmap 如果你的目的是在 40000 英尺高度上看看你的 网络 那基于 Windows 的端口扫描工具就足够了 但 是如果你真的关心你的网络安全 并努力想找到那些 可能被侵入者发现的系统漏洞 那你最好花点时间去计算机网络病毒 安装并使用一个 Linux 工具 -Nmap SAINT 是一个基 于 SATAN 的安全评估工具 它能定期认证并扫描所有 远 程 可 探 测 漏 洞包 括 以 下 特 点 防 火 墙 扫 描 从 CERT&CIAC 的公告来更新安全检查 严厉的 4
31、级 红 黄 褐 绿警告和一个有很多 HTML 特点的界面 7.如果在服务器上发现了一个 DDOS 主机程序应 该怎么办 如果在系统上出现了特洛伊木马程序 就表明系 统上有一个弱点被人利用了 在系统上可能已经发生 了一些细微或不那么细微的变化 虽然系统可能还没 有表现出外在的问题 但不能因此而放松警惕 执行你的组织中的应急反应策略 如果现在还没 有这样的策略 那么至少要执行以下这些应急步骤 从有疑点的第一个事件开始 按照危害的严重程 度 把一切都写下来 从技术上和法律上 这都是很 有帮助的 不 要 对 外 散 布 关 于 你 的 组 织 所 受 到 的 威 胁 的 消 息 这不会有任何帮助 而且
32、还会让媒体卷进来 你 只需要通知那些能帮助你解决这些问题的人 以及组 织的管理人员和法律人士 向你的组织中最权威的安全专家求助 如果没有 这样的人 可以向咨询公司寻求帮助 这些公司对你计算机网络病毒 正 在 运 行 的 操 作 系 统 和 系 统 软 件 应 急 处 理 方 面 的 问 题是很有经验的 从网络上把受到威胁的计算机移走 最简单也最 彻底的方法就是拔掉网线 如果这个计算机的作用很 关键 那么就要配置一个热备份机器 如果没有热备 份机器 那么就要停工喽 要对受到威胁的计算机的文件系统进行备份 在 备份之前 要把操作系统管理的所有动态数据表都转 换成标准文件 以便以后进行分析 例如 当
33、前正在 执行的程序列表 当前登录用户 当前网络连接 为 了更加保险 建议使用两种不同的备份程序做两个系 统备份 关掉受到威胁的计算机物理隔离的三大误区 物 理 隔 离 技 术 作 为 网 络 与 信 息 安 全 技 术 的 重 要实现手段 越来越受到业界的重视 物理隔离的概念 简 单 地 说 就 是 让 存 有 用 户 重 要 数 据 的 内 网 和 外 部 的 互联网不具有物理上的连接 将用户涉密信息与非涉 密的可以公布到互联网上的信息隔离开来 让黑客无 机可乘 现阶段 人们虽然已初步认识到了这项技术 的有效性及先进性 但是 对其整体认识还存在着很 多 的 误 区 这 些 误 区 阻 碍 了
34、 物 理 隔 离 技 术 的 健 康 发 展 对发挥其应有的效力造成了很大的影响 计算机网络病毒 误区 1:认为物理隔离技术是中国特有的 不符合 国际化潮流技术 国外没有该方面的技术 但事实并 非如此 通过调查 发现在美国和以色列等西方国家 中早就有此方面技术的应用以及相应的法规 如美国 早在 1999 年底就强制规定军方涉密网络必须与因特 网断开 此项技术及其应用在国外报道比较少的原因 主要是因为它涉及到国家安全问题 背景材料和媒体 途径都受到了限制 误区 2:认 为 物 理 隔 离 技 术 与 互 联 网 的 信 息 互 联 互通的宗旨相违背 很多人顾名思义 觉得物理隔离 就是将网络完全隔
35、开 让信息不再流转 这实际上是 对物理隔离的一个很大的误解 实施物理隔离的目的 决不是让计算机回到以前那种单机隔离的状态 而是 让使用者在确保安全的前提下 充分享受互联网所带 来的一切优点 在物理隔离系统中会包含对外网内容 进行采集转播的系统 这样可以使安全的信息迅捷地 在 内 外 网 之 间 流 转 完 全 实 现 互 联 网 互 联 互 通 的 宗 旨 误区 3:认 为 物 理 隔 离 技 术 就 是 一 个 简 单 的 软 件 或硬件 而不是一个整体解决方案 这个问题不仅存 在于网络安全领域 它可以说是中国 IT 界一直存在 的一个问题 网络与信息安全与其他系统工程一样计算机网络病毒 包
36、括许多方面的问题 如安全策略 安全制度 安全 管理 安全技术等 一台或几台设备就能够解决安全 问题的想法是不切实际的 现在 在业界比较权威的观点是 :网络与信息是 否安全必须要用 五不 原则来衡量 那就是进不 来:通过物理隔离等手段 阻止非授权用户进入网络 拿 不 走 :使 用 屏 蔽 防 下 载 机 制实 现 对 用 户 的 权 限 控制读 不 懂 :通 过 认 证 和 加 密 技 术 确 信 信 息 不 暴 露给未经授权的人或程序 改 不 了 :使 用 数 据 完 整 性 鉴别机制 保证只有允许的人才能修改数据 走不脱: 使用日志 安全审计 监控技术使得攻击者不能抵赖 自己的行为 从以上原
37、则可以看出 对于网络与信息 安全 除了物理隔离技术外 还要有 CA 认证 加密 技术 权限控制 鉴别 日志 安全审计等多种技术 并且要有一整套完整的管理制度与之相配合 才能达 到真正的安全目标 与黑客过招如何给自己的网络设防黑客如此猖獗 应该采取什么样的有效手段来防 止黑客的入侵呢 俗话说 亡羊补牢 为时未晚 人 类社会总是在邪恶势力的不断斗争中向前发展的 魔 高一尺 道高一丈 总有办法有效地阻止黑客的入侵 保护好自己的计算机系统的 计算机网络病毒 企业要建立自己的计算机安全系统 也应根据自 己单位的实际情况来选择安全级别 选择相应的软硬 件设施和资金投入 对于已经建立了企业内部网络的 用户
38、根据其在 Internet 上开展业务量的多少 分 三种情况详细说明 一 未连接 Internet 这 类 单 位 只 需 要 建 立 初 级 的 计 算 机 网 络 安 全 系统 主要包括以下几点 1 选 好 系 统 管 理 员 这 是 最 后 的 防 线 如果系 统管理员也成了黑客 那损失就不可避免了 2 对 系 统 管 理 员 应 有 制 度 上 的 制 约 以消除安 全隐患 比如限制管理员的操作权限 对管理员的行 动进行监控等 3 对 计 算 机 操 作 人 员 必 须 明 确 具 体 的 权 限 每 个人的密码应进行定期或不定期的修改 口令最好由 数字和字母混合组成 并尽量用足规定的
39、字符长度 4 防止病毒入侵系统 严 格 限 制 外 来 盘 片 的 使 用 应该备有经国家计算机安全产品检测中心检测合 格的杀病毒软件 发现可疑情况及时查杀病毒 5 加 强 机 房 管 理 严 格 限 制 外 来 人 员 进 入 机 房 使用计算机 二 偶尔使用 Internet 计算机网络病毒 这类单位的特点是 每天需要查阅几个固定站点 的信息 如报刊杂志 股票行情以及本行业的相关站 点 这些单位除了应该做到上述五点要求以外 还应 采取下列措施 1 建 立 代 理 服 务 器 每 天 由 专 人 负 责 定 时 接 收 这些固定站点的信息 接收完毕就立即与国际互联网 断开 进行接收时 代理服
40、务器最好脱离开企业内部 网 2 在 企 业 内 部 网 中 尤 其 是 服 务 器 上 应尽量 使 用 高 版 本 的 操 作 系 统 软 件 如 UNIX Open Server5 0 4 WindowsNT 4 0 等 对操作系统的 安全级别应使用系统软件所能提供的最高级 三 大量使用 Internet 这类企业的特点是 要在国际互联网上实时地处 理业务 所以会遇到各种复杂情况 这类企业除了练 好上述两类企业的基本功以外 还应该做到以下几点 说明 以下的条目中 有些漏洞在高版本的操作系统中已经消除 1 必须认真设置操作系统 值 得 注 意 的 是 操 作 系 统 的 许 多 缺 省 值 都
41、 已 被 黑 客 利 用 来 作 为 入 侵 系 统的突破口 所以 尽量不要使用系统缺省值 具体 地说 主要注意以下几点 计算机网络病毒 1 改变 Administrator 账户的名字 为系统 管理员和备份操作员创建特殊账户 使黑客猜不到系 统 管 理 员 和 备 份 操 作 员 的 账 户 名 禁 止 所 有 具 有 Administrator 和备份特权的账户浏览 Web 以防黑 客网上即时侦听 不要设置缺省的 Guest 账户 2 确保 system Reparirsam 在每次 ERD 更新后 对所有人不可读 因为WindowsNT 把用户 信息和加密口令保存于 NTRegistry
42、 中的 SAM 文件中 即安全账户管理 SecurityAccountsManagement数 据库 3 限制远程管理员访问 NT 平台 因为任何一 个用户都可以在命令行下 键入IPaddressC 或 者IPaddressD IPaddressWINNT 试图连 接任意一个 NT 平台上管理系统的共享资源 4 在域控制器上 修改 Registry 中 WinLogon 的设置为 OFF 以免 WindowsNT 在注册对话框中显 示最近一次注册的用户名 给潜在的黑客提供信息 5 严格限制 NT 域中 WindowsNT 工作站上的管 理员特权 决不用缺省值 因为任何人可能通过访问 内 存 来 获 取 加 密 的 口 令 以 获 得 缺 省 管 理 员 的 访 问
