计算机安全实用技术及研究(六)

本论文在其他论文栏目，由论文格式网整理,转载请注明来源www.lwgsw.com,更多论文,请点论文格式范文查看
制定完整的系统备份计划，并严格实施。
制定详尽的入侵应急措施以及汇报制度。发现入侵迹象，立即打开进程记录功能（process accounting），同时保存内存中的进程列表（psaef）以及网络连接状态（netstatn），保护当前的utmp、 wtmp、lastlog、 sulog等重要日志文件，有条件的话，立即打开网段上另外一台主机监听网络流量，尽力定位入侵者的位置。如有必要，断开网络连接。在服务主机不能继续服务的情况下，应该有能力从备份磁带中恢复服务到备份主机上。
3.2 Windows 下的安全策略
3.2.1 Windows 98的安全
说实话，98的安全性是差到无法让人想象的地步。举例来说，一个初级黑客随便用一个IP炸弹或是端口攻击工具就可以在短短几分钟让你死机几十次。建议直接格式化你的硬盘，装个2000吧。
3.2.2 Windows NT/2000的安全策略
作为一种针对网络应用的操作系统，安全性通过其本身的内部机制得到了一定的基本的保证，比如：用户帐号、用户密码；共享资源权限；用户管理器等等。在实践中的应用也证明NT的安全性的可靠程度还能支持应用。但是，随着网络的不断扩大，以及通过Internet互联，资源的共享和系统的安全、用户的隐私（privacy）、运行的效率这些矛盾日益的突出。在用户获得较大的自由度和灵活性而与世界各地的人和计算机通讯(who you want to communication)的同时，在另一方面增加了系统的冒险性——有人也可以自由通过网络访问你的机器或资源，甚至于你的隐私，给你的系统增加负担，降低运行效率。本人认为，为了更好发挥服务器的作用同时减轻其在安全性上的冒险性，有必要在NT安全模型的基础上结合IIS(Internet Information Server)的安全机制，这样在客观上讲，可以较好的解决上面所说的矛盾。
在网络中，有三种方式可以访问NT服务器：
（1）通过用户帐号、密码、用户组方式登录到服务器上，在服务器允许的权限内对资源进行访问、操作。这种方式的可控制性较强，可以针对不同的用户。
（2）在局部范围内通过资源共享的形式，这种方式建立在NETBIOS的基础之上。对共享的访问不能经过路由器，范围被限制在一个子网范围内，在使用的灵活性上受到限制，通过对共享资源的共享权限的控制达到安全保护。但不能针对不同的用户，当一个用户在通过共享对某一个资源进行操作时（这时共享权限有所扩大），其他用户趁虚而入，而造成对资源的破坏。
（3）在网络中通过TCP/IP协议，对服务器进行访问。目前典型应用有FTP、HTTP、WWW等。通过对文件权限的限制和对IP的选择，对登录用户的认证可以在安全性上做到一定的保护。但由于NT是微软的产品，其透明度并不高，安全隐患有可能就隐藏于此。第一，NT本身有可能存在BUG，一但被发现，就有可能造成损失。第二，由于网络的日益庞大，使通过INTERNET访问某个国家的机密成为可能，假如在编写网络操作系统的同时，为以后通过TCP/IP 入侵留下隐藏的人为的漏洞。
以下是针对上面三种情况在安全措施上作一些介绍：
（1）设置用户帐号
Windows NT的用户管理器指定允许那些用户或用户组可以在服务器上操作，可以控制对Web节点的访问。可以通过Web客户请求提供在完成请求之前定制的IIS用户名和密码，这样可以进一步控制在网络中对服务器的访问。通过公共的管理工具中的“策略”设置用户权力，在“用户管理器”中配置在计算机上授权用户所进行的操作。用户Basic身份验证时用户所要求用于Internet服务的权力，若使用Windows NT Challege/Response身份验证，用户使用Internet服务则须要有“从网络访问本机”的权力。
（2）设置必要的ＷＷＷ目录访问权限
在Internet Server manager中创建Web发布目录（文件夹）时，可以为定义的主目录或虚拟目录及其中所有的文件夹设置访问权限，这些权限是NTFS文件系统提供的权限之外的部分，其中的权限是：只读，只执行，这样可以防止用户修改。
（3）通过IP地址控制访问权限
可以配置IIS以允许或拒绝特定的IP地址访问你的服务器或整个网络。在实际应用中，对于一些未知的用户，若从安全的角度出发，可以通过IP设置排出。假若在日志分析中通过分析可以发现某些用户或用户组有不良倾向或侵犯倾向，那Administrator可以通过IIS设置，不再允许这些用户或组的IP地址访问本机及本网络。
（4）使用SSL（安全套接字层）保护数据在网络中的传输
在网络应用中数据在网络上的传输的安全是关系到整个网络应有安全的重要问题。使用密码技术保护数据从服务器到客户端的双向传输，从某种意义上说也是保护NT资源不受侵犯的有效途径。SSL为TCP/IP连接提供数据加密，服务器身份验证和消息的完整性。它被视为Internet上的Web浏览器和服务器的标准安全措施。SSL加密的传输较之未加密的传输速度要慢，为了避免整个节点的性能受到影响，所以一般考虑对于较敏感的信息数据才采取SSL加密。目前使用较多的是身份验证、信用卡、电子银行等业务。
还有一点应该考虑到：及时地为数据和文件作好备份，以防止最坏情况的发生。备份应注意几点：有效性，及时性，安全性。根据不同的使用情况在以上几点和价格之间作出一定的折衷。
总之，为了确保基于 NT的服务器在网络中的安全，应该注意到在NT本身的安全模型上加以IIS等外挂的保证安全的应用，这样才能针对不同的问题，相互促进，对一些不足之处进行弥补。在尽力发挥NT性能的同时，保证其运行的安全，稳定。
3.2.3 基本安全措施
为了保证NT在网络应用中的安全，避免资源被破坏，我们在配置、使用NT的过程中应该注意养成良好的习惯，并且遵循一定的操作规程。作为基本的安全措施，我们应该注意以下几点：
1．在人员配置上，应该对用户进行分类，划分不同的用户等级。规定不同的用户权限。
2．对资源进行区分，共享和不共享资源应该放置于不同的文件夹或路径下，对共享资源再进行细分，划分不同的共享级别，比如：只读、安全控制，备份、等等。
3．给不同的用户或用户组分配不同的帐号、口令、密码。并且规定口令、密码的有效期，对其进行动态的分配和修改，保证密码的有效性。
4．配合路由器和防火墙的使用，对一些IP地址进行过滤，可以在很大程度上防止其他用户通过TCP/IP访问你的服务器。
5．养成在登录前，先键入ALT+DEL+CTRL的好习惯，防止特洛依木马盗用你的口令和密码。在使用软件时应该先检查是否带有病毒，防止病毒的进入。定期对系统进行病毒检查，清除隐患。
3.3 其他安全注意事项
3.3.1 个人网络安全对策
1.检测并清除特洛伊程序
一旦被人操纵，上网是会出现很多奇怪的现象，比如突然出现蓝屏然后死机；CD-ROM莫名其妙地自己弹出；鼠标左右键功能颠倒或者失灵；文件被删除……这时你最好查一查你的注册表，看看 \HKEY_LO-CAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrenVersion\Run （或RunServices）下面有没有类似netspy.exe、空格.exe或其他可疑的文件名，如果有，需要删除用应的键值，再删除相应的程序（不过，如果遇到最新的BackDoor—G等，你可能根本不能找到它的藏身之处）。也可以使用一些清除软件，比如The Cleaner（www.homestead.com/moostoft）。
2.保护E—mail
可将电子邮件内容加密，用加了密码的zip文件做附件就是一个很好的办法，当然，也可以使用专用加密软件。使用有过滤功能和远程邮箱管理功能的邮件服务软件，比如Fox-Mail 3.0。如果想用软件清除，可以选用Spam Fxterminator（www.anisyn.com）等。
3.安全设置浏览器
设置安全级别，关掉Cookies。Cookie是在浏览过程中被有些网站往硬盘写入的一些数据，它们记录下用户的特定信息，因而当用户回到这个页面上时，这些信息（称作状态信息）就可以被重新利用。但是关注Cookie的原因不是因为可以重新利用这些信息，而是关心这些被重新利用信息的来源：你的硬盘。所以你要格外小心，干脆关掉这个功能！以IE5为例，步骤如下。选择“工具”菜单下的“Internet选项”，选择其中的“安全”标签，就可以为不同区域的Web内容指定安全设置。点击下面的“自定义级别”，可以看到对Cookies和Java等不安全因素的使用限制。
4.隐藏IP地址
如果经常使用ICQ，最好在进入“ICQMenu”—>“ Securi-ty&Privacy”，把“IP Publishing”下面的“Do not Publish IP ad-dress”选项上。如果已经遭攻击，用ICQ Bombsquad等软件拆除炸弹。
3.3.2 网络安全的几项关键技术
商用网络在互联网上得以运行, 首先应建立或使原有的网络升级为内部网, 而专用的内部网与公用的互联网的隔离则有赖于防火墙技术。有了防火墙, 商家们便可以比较安全地在互联网上进行相应的商业活动。
1.防火墙技术
“防火墙”是一种形象的说法,其实它是一种由计算机硬件和软件的组合,使互联网与内部网之间建立起一个安全网关( scurity gateway),从而保护内部网免受非法用户的侵入。所谓防火墙就是一个把互联网与内部网隔开的屏障。
防火墙有二类, 标准防火墙和双家网关。标准防火墙系统包括一个UNIX工作站, 该工作站的两端各接一个路由器进行缓冲。其中一个路由器的接口是外部世界, 即公用网;另一个则联接内部网。标准防火墙使用专门的软件,并要求较高的管理水平,而且在信息传输上有一定的延迟。双家网关(dual home gateway) 则是标准防火墙的扩充,又称堡垒主机(bation host) 或应用层网关(applications layer gateway),它是一个单个的系统,但却能同时完成标准防火墙的所有功能。其优点是能运行更复杂的应用,同时防止在互联网和内部系统之间建立的任何直接的边疆,可以确保数据包不能直接从外部网络到达内部网络,反之亦然。
随着防火墙技术的进步,双家网关的基础上又演化出两种防火墙配置,一种是隐蔽主机网关,另一种是隐蔽智能网关(隐蔽子网)。隐蔽主机网关是当前一种常见的防火墙配置。顾名思义,这种配置一方面将路由器进行隐蔽,另一方面在互联网和内部网之间安装堡垒主机。堡垒主机装在内部网上, 通过路由器的配置,使该堡垒主机成为内部网与互联网进行通信的唯一系统。目前技术最为复杂而且安全级别最商的防火墙是隐蔽智能网关,它将网关隐藏在公共系统之后使其免遭直接攻击。隐蔽智能网关提供了对互联网服务进行几乎透明的访问,同时阻止了外部未授权访问者对专用网络的非法访问。一般来说,这种防火墙是最不容易被破坏的。
2.数据加密技术
与防火墙配合使用的安全技术还有数据加密技术是为提高信息系统及数据的安全性和保密性,防止秘密数据被外部破析所采用的主要技术手段之一。随着信息技术的发展, 网络安全与信息保密日益引起人们的关注。目前各国除了从法律上、管理上加强数据的安全保护外, 从技术上分别在软件和硬件两方面采取措施, 推动着数据加密技术和物理防范技术的不断发展。按作用不同, 数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术四种。
(1)数据传输加密技术。
目的是对传输中的数据流加密, 常用的方针有线路加密和端——端加密两种。前者侧重在线路上而不考虑信源与信宿, 是对保密信息通过各线路采用不同的加密密钥提供安全保护。后者则指信息由发送者端自动加密, 并进入TCP/IP数据包回封, 然后作为不可阅读和不可识别的数据穿过互联网,当这些信息一旦到达目的地, 被将自动重组、解密, 成为可读数据。
(2)数据存储加密技术。
目是防止在存储环节上的数据失密, 可分为密文存储和存取控制两种。前者一般是通过加密算法转换、附加密码、加密模块等方法实现; 后者则是对用户资格、格限加以审查和限制, 防止非法用户存取数据或合法用户越权存取数据。
(3)数据完整性鉴别技术。
目的是对介入信息的传送、存取、处理的人的身份和相关数据内容进行验证, 达到保密的要求, 一般包括口令、密钥、身份、数据等项的鉴别, 系统通过对比验证对象输入的特征值是否符合预先设定的参数,实现对数据的安全保护。
(4)密钥管理技术。
为了数据使用的方便,数据加密在许多场合集中表现为密钥的应用, 因此密钥往往是保密与窃密的主要对象。密钥的媒体有:磁卡、磁带、磁盘、半导体存储器等。密钥的管理技术包括密钥的产生、分配保存、更换与销毁等各环节上的保密措施。
3.智能卡技术
与数据加密技术紧密相关的另一项技术则是智能卡技术。所谓智能卡就是密钥的一种媒体,一般就像信用卡一样, 由授权用户所持有并由该用户赋与它一个口令或密码字。该密码与内部网络服务器上注册的密码一致。当口令与身份特征共同使用时, 智能卡的保密性能还是相当有效的。
网络安全和数据保护达些防范措施都有一定的限度, 并不是越安全就越可靠。因而, 在看一个内部网是否安全时不仅要考察其手段, 而更重要的是对该网络所采取的各种措施, 其中不光是物理防范, 还有人员的素质等其他“软”因素, 进行综合评估, 从而得出是否安全的结论。
结束语
通过这次对计算机安全课题的研究，我个人认为网络安全是一门非常值得研究的学科。互联网的高速发展给我们的生活、工作和人与人之间的沟通带来了极大的方便，但互联网极差的安全状况也成了培育黑客的温床。近年来，国际国内黑客事件的不断发生，不仅扰乱了正常的网络秩序，而且还带来了严重的经济损失，这种现象正逐步得到各个国家和政府部门的重视，也使得网络安全越来越受到个人、公司和政府的高度重视。
在我做毕业设计期间，正遇上了中美黑客大战。后面的日子里我仔细分析了一下这场大战。首先要说的就是双方的攻击手法总体上说水平一般，受攻击的大多是Windows NT系统，其次是Linux、BSDI、Solaris等系统。主要是使用一些现有的工具对操作系统的弱口令或安全漏洞加以利用攻击，获得一般用户甚至管理员用户权限，进而达到实施破坏的目的。为了日后的安全防范，我把具体的攻击手法简单介绍一下：
1、弱口令攻击：不少网站的管理员账号密码、ftp账号密码、Sql账号密码等都使用很简单的或是很容易猜测到的字母或数字，利用现有的家用PIII机器配合编写恰当的破解软件足以在短时间内轻松破解，一旦口令被破解，网站就意味着被攻破。
2、Unicode编码漏洞：对于Windows NT4.0和Windows 2000来说都存在有该漏洞，利用该漏洞远程用户可以在服务器上以匿名账号来执行程序或命令，从而轻易就可达到遍历硬盘、删除文件、更换主页和提升权限等目的，由于实施方法简单，仅仅拥有一个浏览器就可实施，所以这次被攻破的网站大多是因为存在此漏洞导致的。
3、ASP源码泄漏和MS SQL Server攻击：通过向web服务器请求精心构造的特殊的url就可以看到不应该看到的asp程序的全部或部分源代码，进而取得诸如MS SQL Server的管理员sa的密码，再利用存储过程xp_cmdshell就可远程以SYSTEM账号在服务器上任意执行程序或命令，事实上，MS SQL Server默认安装的管理员sa的密码为空，并且大多数系统管理员的确没有重新设定为新的复杂密码，这直接就留下了严重的安全隐患。
4、IIS缓冲溢出：对于IIS4.0和IIS5.0来说都存在有严重的缓冲溢出漏洞，利用该漏洞远程用户可以以具有管理员权限的SYSTEM账号在服务器上任意执行程序或命令，极具危险性。但由于操作和实施较为复杂，一般为黑客高手所用。这种攻击主要存在于Windows NT和2000系统中。
5、BIND缓冲溢出：在最新版本的Bind以前的版本中都存在有严重的缓冲溢出漏洞，可以导致远程用户直接以root权限在服务器上执行程序或命令，极具危险性。但由于操作和实施较为复杂，一般也为黑客高手所用。这种攻击主要存在于Linux、BSDI和Solaris等系统中。
6、其他攻击手法：还有利用Sendmail、Local Printer、CGI、Virus、Trojan、DOS、DDOS等漏洞攻击的手段，但在这次大战中表现的不是很明显，这里顺便提及。
上面的6种方法中，我曾用前面的三条做过一些实验性的测试。对弱口令的攻击我采用了国人小榕的流光进行测试，拿它的探测IPC远程登录的功能作个简单介绍。我用它的IPC探测功能在短短的半个小时内对某个C类的网段进行扫描，居然得到了六、七十个用户名和相对的弱口令，其中很多是Administrator用户，也就是说你已经拿到了最高权限。而且很多主机的Admin用户的口令为空如此差的安全状况着实另人吃惊。而且我同时对FTP、SQL的口令进行了探测，发现很多用户将ID和Passwd设为相同，这也是一个极其严重的安全隐患。在对Unicode编码漏洞的利用中发现虽然这个漏洞是很久以前发现并公布的，但是网上的很多网站仍然存在此漏洞，大部分未作任何的补丁，使得你用一个浏览器就可以轻松进入网站的内部。有些网站作了补丁，但是还是有隐患存在，黑客仍旧可以利用此漏洞进入后利用程序提升权限，最后得到Admin权限。在对ASP源码泄漏和MS SQL Server攻击的测试过程中我主要对MS SQL Server默认安装的管理员sa的密码进行了一些简单的探测，由于MS SQL Server默认安装的管理员sa的密码为空，而且有些管理员根本就没有重新更改密码，即使有些修改了密码也非常的容易被探测出。这使得黑客可以不费任何的力气就进入提升权限，从而取得root进行恶意的破坏。
除上述的攻击手法外，我还对国内的一些网站、服务器进行了简单的测试。运用的方法是Win2000中文版的输入法漏洞。由于此方法成功率极高，而且主要是针对国内网站，所以方法我就不详细叙述。我只是用扫描工具大概扫了几个网段，很多都有此漏洞。同时我对其可用性进行了测试，在几分钟内就进入了网站内部，并且得到Admin级的权限。
前面的章节陆续给出了一些安全防范措施，这里就不再阐述。最后再针对国内的网络现状给出一些大的安全建议：
1、成立网络安全领导小组
要从上到下把网络安全重视起来，由行政领导牵头，技术部门负责，系统和管理员参与，成立安全管理领导监督小组。加强网络安全项目的建设和管理，负责贯彻国家有关网络安全的法律、法规，落实各项网络安全措施；督促有关部门对网络用户的安全教育，监督、检查、指导网络安全工作；监督网络安全管理制度的执行和贯彻，查处违反网络安全管理的违纪、违规行为；协助、配合公安机关查处网络犯罪行为。
2、制订一套完整的安全方案
一套完整的安全方案是整个系统安全的有力保障，要结合自己实际的网络状况，从人力、物力、财力做好部署与配置，由于安全方案涉及到了安全理论、安全产品、网络技术、系统技术实现等多方面专业技能，并且要求要有较高的认知能力，大多数企业、公司、政府等可能不具备此能力，此时可以聘请专业安全顾问公司来完成，大多安全顾问公司在做安全方案方面有着丰富的经验，能够制订出符合需要的合理的安全方案来。
3、用安全产品和技术处理加固系统
要达到网络系统是安全的目的，就必须对系统进行一系列的处理，比如：安装防火墙和入侵检测系统等安全产品、为系统打补丁堵塞安全漏洞、用户和文件目录权限管理、设置安全策略等系统安全处理，以求消除隐患，加固系统。由于这种系统加固服务需要非常专业的安全技能，一般的企业和公司要想做好是不现实的，而大多安全咨询顾问公司都提供有这种服务。主要加固项目如下：
网络拓扑路由分析
火墙内外部隔离
入侵检测系统跟踪
网站恢复系统监控
系统安全加固处理
应用系统安全检测
整体网络安全评估
4、制定并贯彻安全管理制度
在对系统安全方案和系统安全处理的同时，还必须制定出一套完整的安全管理制度，如：外来人员网络访问制度，服务器机房出入管理制度，管理员网络维护管理制度等等。约束普通用户等网络访问者，督促管理员很好地完成自身的工作，增强大家的网络安全意识，防止因粗心大意或不贯彻制度而导致安全事故。尤其要注意制度的监督贯彻执行，否则就形同虚设。
5、建立完善的安全保障体系
建立完善的安全保障体系是系统安全所必需的，如管理人员安全培训、可靠的数据备份、紧急事件响应措施、定期系统安全评估及更新升级系统，如此这些都为系统的安全提供了有力的保障，确保系统能一直处于最佳的安全状态，即便系统受到攻击，也能最大程度地挽回损失。
6、选择一个好的安全顾问公司
可以说，在两年前国内还没有一家具有真正意义上的网络安全顾问公司，但由于目前形势的需要，国内的安全顾问公司可以说是蓬勃发展，百花齐放，但不外主要是从以下几种转型而来的：
（1）网络安全产品公司兼做网络安全顾问服务
（2）传统系统集成公司设立网络安全顾问部门
（3）自由黑客组织转型为专业网络安全顾问公司
（4）国家科研教育机构成立的网络安全顾问公司
选择安全顾问公司是要必须非常谨慎的，要从安全公司的背景、理念、实力、管理等多方面进行考查，不仅要看一个安全公司的技术和资金实力，而且还要看公司人员的组成，因为一旦你的系统交给了安全公司，其实你的系统就等于对其百分之百的开放，但大多网络安全公司人员层次不齐，即便技术和资金很强，但若管理不善，人员流失较大，就会使得其客户的系统资料就处于不可控状态，从而带来极大的安全隐患，所以一旦选择失误，不仅不能带来安全保障，而且可能会带来严重的负面影响。最谨慎、最安全的人会将他们的信息放在屋子里锁好，妥善地保护起来。这样做当然极为安全。不过一般来说，保护有价值的紧要数据时，还是尽量听从安全专家的意见为好。除了那些复杂的技术安全措施以外，还要注意企业中的管理漏洞，因为设备管理中总会有一些未知的因素。

首页上一页 3 4 5 6 下一页尾页 6/6/6