网络攻击机制和技术发展综述

为了对付DDoS攻击，市场上出现了商业化的抗DoS产品和解决方案。大体分为两类，一类是基于探头的工具，如Asta Networks出品的Vantage System 和 Arbor Networks'出品的Peakflow, 它们允许管理员将这些探头部署到网络的各个节点上，用基于异常的扫描技术发现不寻常的Flood数据包，发现后将实时地调整路由器和防火墙的设置进行过滤。

另一方面，象Captus Networks出品的CaptIO 和 Top Layer出品的AppSafe则在网络边界处直接发现和封杀DoS数据包。

即使采用这些技术，但面临者成百上千的“蛇神”的时候，就算系统不停止响应，网络带宽也会被很快消耗掉。没有工具能够防止带宽的消耗。因此，如果在线连接和点击量对用户单位的业务非常重要的话，那么用户有必要要求ISP的应急小组充分配合，从上游杜绝Flood数据包。在选择ISP的时候，关于这个问题，要问清楚ISP对DoS攻击是如何进行应急处理的。

扫描器的发展

安全扫描是网络安全防御中的一项重要技术，其原理是采用仿真黑客入侵的手法去测试系统上有没有安全上的漏洞，对目标可能存在的已知安全漏洞进行逐项检查。目标可以是工作站、服务器、交换机、数据库应用等各种对象。然后根据扫描结果向系统管理员提供周密可靠的安全性分析报告。

扫描器基本上包含以下三个类型：

端口扫描工具，如端口扫描器NMAP等，它不仅能检测操作系统类型，也支持隐蔽性扫描。但不能检测系统漏洞。

漏洞扫描工具，如Web脆弱性扫描器Whisker2.0版。该工具检测已知的基于web技术的安全漏洞，如CGI、ASP等。新版本包括内置的SSL支持，易用性增强。

最后一类则是企业级的分布式安全检测评估系统，如CNNS Scanner。它能从浏览器直接提交请求，实现多扫描用户权限管理。最终得出的安全报告能协助系统管理员了解系统上的安全漏洞以及如何去修补这些漏洞，并能提供本地下载的升级程序或补丁。

要避免恶意用户威胁系统，我们必须：

§ 通过关闭所有比必要的服务和安装系统补丁加固系统；

§ 保持对最新补丁和安全公告的追踪，下载补丁后要在实验环境进行测试，测试完以后正式安装在主机上。

§ 用黑客的角度审视系统的安全脆弱性，通过端口扫描器和脆弱性扫描器定期对系统进行检测，至少每月一次。

Sniffer变得主动

在最近两年，网络监听(sniffer)技术出现了新的重要特征。传统的sniffer技术是被动地监听网络通信、用户名和口令。而新的sniffer技术出现了主动地控制通信数据的特点，把sniffer技术扩展到了一个新的领域。Dug Song写的Dsniff的工具是第一批扩展了传统的sniffer概念的监听工具。Dsniff制造数据包注入到网络，并将通信数据重定向到攻击者的机器。在这种方式下，Dsniff允许攻击者在交换环境的网络内窃听数据，甚至在攻击者和攻击目标不在同一个Lan(局域网)的情况下，也能使攻击者收集到他想要的数据。

为在交换环境下实现sniff，Dsniff是通过对ARP缓存进行改写重定向通信数据包，它改写了目标机器上的IP地址->Mac地址的映射，因此数据包将经由交换机发往监听者的机器。此外，攻击者还可以通过DNS欺骗、IP/名字欺骗等方式跨越局域网重定向通信数据包。Dsniff还包含了一个面向SSH和SSL的”中间人”攻击工具包。

很明显，对于象Dsniff这样的主动监听工具，简单地采用交换机来防止监听已经不够了。要防止ARP缓存改写，必须对敏感网络中所有主机的ARP缓存表进行硬编码，这些主机包括在线网站、DNS和Mail服务器、防火墙和DMZ路由器等。另外还应该用Ipsec、VPN和其它的加密技术来保护敏感信息，如果要远程管理系统，建议用SSH-2或者更新的版本(SSH-1存在”中间人攻击”的风险)。

无线Sniffer是威胁无线网络安全性的强有力工具。无线网络常用的WEP(Wired Equivalent Privacy)加密手段，安全性非常脆弱。攻击者只要一个装有类似NetStumbler的膝上型电脑和一根廉价的天线，并使用类似Airsnort或者基于java的Mognet等无线sniffer工具，就可以截获无线网络的通信数据。随后攻击者还可以使用Airsnort对WEP的解密功能对信息进行解密。在监听数百万个无线网络连接的数据包后，Airsnort就能确定用于保护用户数据的密钥。

要想防止对WLAN的监听攻击，可以启用一些安全策略，考虑采用无线VPN产品增强认证和加密功能。

感谢Hurwitz Group的Edward Skoudis提供帮助

CNNS于2002年7月4日

附录：美国国家基础设施保护中心信息安全月报

National Infrastructure Protection Center CyberNotes

目录地址：http://www.cnns.net/ref/nipc

上一页  [1] [2] [3]