第14周、黑客的防范及漏洞扫描.pptVIP

黑客的防范和漏洞扫描 黄润贵 本章目标 理解漏洞的概念和危害性 理解漏洞扫描的意义和方法 掌握典型漏洞扫描工具的用法 了解常见漏洞及其危害 掌握漏洞修复的必要性和基本措施 本章内容 2.1　漏洞扫描概述 漏洞（Vulnerability） 漏洞扫描 漏洞扫描软件 2.1.1　漏洞（Vulnerability） 漏洞——任何可能会给系统和网络安全带来隐患的因素 任何系统和网络都有漏洞 漏洞分类 系统或应用本身存在的漏洞 配置不当所造成的漏洞 2.1.2　漏洞扫描 漏洞扫描是一种基于网络远程检测目标网络或本地主机安全性脆弱点的技术 可以被用来进行模拟攻击实验和安全审计 漏洞扫描就是一种主动的防范措 施，可以有效避免黑客攻击行为 * 黑客的防范 黑客攻击与防范现状 1999年10月，国家有关部门通过模拟攻击对650个政府上网单位的信息安全工作进行调查，发现其中80％的网站基本没有安全措施。 主要问题： 认为不需要防范 认为无法防范 防范是专业人员的事情 * 防范措施：1.使用高安全级别的操作系统 在建设网络选择网络操作系统时，要注意其提供的安全等级，应尽量选用安全等级高的操作系统。 网络操作系统的安全等级是网络安全的根基，如根基不好则网络安全先天不良，在此之上的很多努力将无从谈起。 网络系统安全起码要求C2级。 各网络管理部门应按系统的安全等级，选用符合安全等级保护要求的操作系统，及时更新操作系统版本。 * 防范措施：2.限制系统功能 可通过采取一些措施来限制系统可提供的服务功能和用户对系统的操作权限，以减少黑客利用这些服务功能和权限攻击系统的可能性。 例如，通过增加软硬件，或者对系统进行配 置如增强日志、记账等审计功能来保护系统酌安全；限制用户对一些资源的访问权限，同时也要限制控制台的登录，可以通过使用网络安全检测仪发现那些隐藏着安全漏洞的网络服务。 * 防范措施：3.发现并及时堵住系统漏洞 为了提高网络安全检测手段的自动化程度，生产了网络安全检测工具，如著名的ISS公司。 ISS公司是美国著名的网络安全评估工具和技术提供商，它是由一名昔日的黑客创立的，该公司的特点是以攻击方式而不是绝对防卫的方式对网络进行测试性侵入，找出企业现行网络中的弱点，提醒该企业如何堵住这些漏洞。 该公司于1998年6月推介其网络安全监控工具SAFEsuite系列产品(简称ISS)，它目前己被作为一种标准的测试工具。 * Internet Scanner ISS公司的SAFEsuite套件系列，包括网络扫描仪 (Internet Scanner)，系统扫描仪 (System Scanner),　数据库扫描仪 (Database Scanner)，实时入侵监控 (RealSecure) 和SAFEsuite套件安全决策软件 (SAFEsuite Decisions) 是业界安全风险管理最先进和完善的方案。 ISS的可适应性网络安全软件制定了一套安全控制系统，使用户企业可以得到相关部门对它们网络安全状况的重要反馈。SAFEsuite套件通过对Web站点，防火墙，路由器，外部网络，操作系统，主机和工作站的安全风险监测和响应，对整个企业的信息进行保护。它同时可以检测出各种系统漏洞，操作系统与数据库系统配置和常见的和用户有关的安全弱点。 * 防范措施：4.身份认证 身份认证是网络安全系统中的第一道关卡，是网络安全技术的一个重要方面。身份认证机制限制非法用户访问网络资源，是其他安全机制的基础。是最基本的安全服务，其他的安全服务都要依赖于它。一旦身份认证系统被攻破，那么系统的所有安全措旌将形同虚设。 黑客攻击的目标往往就是身份认证系统。 身份认证一般可分为用户与主机间的认证和主机与主机之间的认证，其中用户与主机间的身份认证可以分为以下几种方式。 * 基于回调调制解调器的认证方式 回调调制解调器是一种维护系统有效用户表及其相应电话号码的设备。 当用户拨号调用系统时，回调调制解调器获得用户的登录户头，挂起，再回头调用用户终端。 这种方法的优点是，限制只有电话号码存于调制解调器中的人才是系统的用户，从而使非法侵入者不能从其他位置调用系统并登录。 这一方法的缺点是限制了用户的灵活性，并且仍需要口令。因为调制解调器不能仅从用户发出调用的地方惟一地标识用户。 * 基于口令的认证方式 基于口令的认证方式是最常用的一种技术。 但它存在严重的安全问题。口令是一种单因素的认证，安全性仅依赖于口令，口令一旦泄露，用户即可被冒充。 口令一般是经过加密后存放在口令文件中，如果口令文件被窃取，那么就可以进行离线的字典式攻击。这也是黑客虽常用的手段之一。 目前，人们在使用邮箱或留言扳时所采用的密码是十分容易被破译的，在一些个人的小网站上的留言板上发言时，发言密码不要使用和自己邮箱一样的密码。因