了解XX实施网络安全预防措施电脑资料

了解XX实施网络平安预防措施电脑资料目前造成网络不平安的主要因素是系统、协议及数据库等的设计上存在缺陷，网络互连一般采用TCP/IP协议，它是一个工业标准的协议簇，但该协议簇在制订之初，对平安问题考虑不多，协议中有很多的平安漏洞同样，数据库管理系统DBMS也存在数据的平安性、权限管理及远程访问等方面问题，在DBMS或应用程序中可以预先安置从事情报收集、受控激发、定时发作等破坏程序由此可见，针对系统、网络协议及数据库等，无论是其自身的设计缺陷，还是由于人为的因素产生的各种平安漏洞，都可能被一些另有图谋的所利用并发起攻击因此假设要保证网络平安、可靠，那么必须熟知网络攻击的一般过程只有这样方可在攻击前做好必要的防范，从而确保网络运行的平安和可靠

一、攻击网络的一般过程

1、信息的收集1TraceRoute程序能够用该程序获得到达目标主机所要经过的网络数和路由器数2SNMP协议用来查阅网络系统路由器的路由表，从而了解目标主机所在网络的拓扑结构及其内部细节3DNS效劳器该效劳器提供了系统中可以访问的主机IP地址表和它们所对应的主机名4Whois协议该协议的效劳信息能提供所有有关的DNS域和相关的管理参数5Ping实用程序可以用来确定一个指定的主机的位置或网线是否连通

2、系统平安弱点的探测在收集到一些准备要攻击目标的信息后，们会探测目标网络上的每台主机，来寻求系统内部的平安漏洞，主要探测的方式如下1自编程序对某些系统，互联网上已发布了其平安漏洞所在，但用户由于不懂或一时疏忽未打上网上发布的该系统的补丁程序，那么客就可以自己编写一段程序进入到该系统进行破坏2慢速扫描由于一般扫描侦测器的实现是通过监视某个时间段里一台特定主机发起的连接的数目来决定是否在被扫描，这样可以通过使用扫描速度慢一些的扫描软件进行扫描4利用公开的工具软件像审计网络用的平安分析工具SATAN、Inter的电子平安扫描程序IIS等一些工具对整个网络或子网进行扫描，寻找平安方面的漏洞

3、建立模拟环境，进行模拟攻击根据前面两小点所得的信息，建立一个类似攻击对象的模拟环境，然后对此模拟目标进行一系列的攻击在此期间，通过检查被攻击方的日志，观察检测工具对攻击的反响，可以进一步了解在攻击过程中留下的痕迹及被攻击方的状态，以此来制定一个较为周密的攻击策略

4、具体实施网络攻击入侵者根据前几步所获得的信息，同时结合自身的水平及经验出相应的攻击方法，在进行模拟攻击的实践后，将等待时机，以备实施真正的网络攻击

二、协议欺骗攻击及其防范措施

1、源IP地址欺骗攻击许多应用程序认为假设数据包可以使其自身沿着路由到达目的地，并且应答包也可回到源地，那么源IP地址一定是有效的，而这正是使源IP地址欺骗攻击成为可能的一个重要前提假设同一网段内有两台主机A和B，另一网段内有主机XB授予A某些特权X为获得与A相同的特权，所做欺骗攻击如下首先，X冒充A，向主机B发送一个带有随机序列号的SYN包主机B响应，回送一个应答包给A，该应答号等于原序列号加1然而，此时主机A已被主机X利用拒绝效劳攻击淹没了，导致主机A效劳失效结果，主机A将B发来的包丢弃为了完成三次握手，X还需要向B回送一个应答包，其应答号等于B向A发送数据包的序列号加1此时主机X并不能检测到主机B的数据包因为不在同一网段，只有利用TCP顺序号估算法来预测应答包的顺序号并将其发送给目标机B如果猜想正确，B那么认为收到的ACK是内部主机A此时，X即获得了主机A在主机B上所享有的特权，并开始对这些效劳实施攻击要防止源IP地址欺骗行为，可以采取以下措施来尽可能地保护系统免受这类攻击1抛弃基于地址的信任策略阻止这类攻击的一种十分容易的方法就是放弃以地址为根底的验证不允许r类远程调用命令的使用;删除.rhosts文件;清空/etc/hosts.equiv文件这将迫使所有用户使用其它远程通信手段，如tel、ssh、skey等等2使用加密方法在包发送到网络上之前，我们可以对它进行加密虽然加密过程要求适当改变目前的网络环境，但它将保证数据的完整性、真实性和保密性3进行包过滤可以配置路由器使其能够拒绝网络外部与本网内具有相同IP地址的连接请求而且，当包的IP地址不在本网内时，路由器不应该把本网主机的包发送出去有一点要注意，路由器虽然可以封锁试图到达内部网络的特定类型的包但它们也是通过分析测试源地址来实现操作的因此，它们仅能对声称是于内部网络的外来包进行过滤，假设你的网络存在外部可信任主机，那么路由器将无法防止别人冒充这些主机进行IP欺骗

2、源路由欺骗攻击在通常情况下，信息包从起点到终点所走的路是由位于此两点间的路由器决定的，数据包本身只知道去往何处，而不知道该如何去源路由可使信息包的发送者将此数据包要经过的路径写在数据包里，使数据包循着一个对方不可预料的路径到达目的主机，主机A享有主机B的某些特权，主机X想冒充主机A从主机B假设IP为aaa.bbb.c.ddd获得某些效劳首先，攻击者修改距离X最近的路由器，使得到达此路由器且包含目的地址aaa.bbb.c.ddd的数据包以主机X所在的网络为目的地;然后，攻击者X利用IP欺骗向主机B发送源路由指定最近的路由器数据包当B回送数据包时，就传送到被更改正的路由器这就使一个入侵者可以假冒一个主机的名义通过一个特殊的路径来获得某些被保护数据为了防范源路由欺骗攻击，一般采用下面两种措施对付这种攻击最好的方法是配置好路由器，使它抛弃那些由外部网进来的却声称是内部主机的报文在路由器上关闭源路由用命令noipsource-route

三、拒绝效劳攻击及预防措施在拒绝效劳攻击中，攻击者加载过多的效劳将对方资源全部使用，使得没有多余资源供其他用户无法使用SYNFlood攻击是典型的拒绝效劳攻击SYNFlood常常是源IP地址欺骗攻击的前奏，又称半开式连接攻击，每当我们进行一次标准的TCP连接就会有一个三次握手的过程，而SYNFlood在它的实现过程中只有三次握手的前两个步骤，当效劳方收到请求方的SYN并回送SYN-ACK确认报文后，请求方由于采用源地址欺骗等手段，致使效劳方得不到ACK回应，这样，效劳方会在一定时间内处于等待接收请求方ACK报文的状态，一台效劳器可用的TCP连接是有限的，如果恶意攻击方快速连续的发送此类连接请求，那么效劳器的系统可用资源、网络可用带宽急剧下降，将无法向其它用户提供正常的网络效劳为了防止拒绝效劳攻击，我们可以采取以下的预防措施1建议在该网段的路由器上做些配置的调整，这些调整包括限制Syn半开数据包的流量和个数2要防止SYN数据段攻击，我们应对系统设定相应的内核参数，使得系统强制对超时的Syn请求连接数据包复位，同时通过缩短超时常数和加长等候队列使得系统能迅速处理无效的Syn请求数据包3建议在路由器的前端做必要的TCP拦截，使得只有完成TCP三次握手过程的数据包才可进入该网段，这样可以有效地保护本网段内的效劳器不受此类攻击4对于信息淹没攻击，我们应关掉可能产生无限序列的效劳来防止这种攻击比方我们可以在效劳器端拒绝所有的ICMP包，或者在该网段路由器上对ICMP包进行带宽方面的限制，控制其在一定的范围内总之，要彻底杜绝拒绝效劳攻击，最好的方法是惟有追根溯源去找到正在进行攻击的机器和攻击者要追踪攻击者可不是一件容易的事情，一旦其停止了攻击行为，很难将其发现惟一可行的方法是在其进行攻击的时候，根据路由器的信息和攻击数据包的特征，采用逐级回溯的方法来查找其攻击源头这时需要各级部门的协同配合方可有效果

四、其他网络攻击行为的防范措施协议攻击和拒绝效劳攻击是惯于使用的攻击方法，但随着网络技术的飞速开展，攻击行为千变万化，新技术层出不穷下面将阐述一下网络嗅探及缓冲区溢出的攻击原理及防范措施

1、针对网络嗅探的防范措施网络嗅探就是使网络接口接收不属于本主机的数据计算机网络通常建立在共享信道上，以太网就是这样一个共享信道的网络，其数据报头包含目的主机的硬件地址，只有硬件地址匹配的机器才会接收该数据包一个能接收所有数据包的机器被称为杂错节点通常账户和口令等信息都以明文的形式在以太网上传输，一旦被在杂错节点上嗅探到，用户就可能会遭到损害对于网络嗅探攻击，我们可以采取以下措施进行防范1网络分段一个网络段包括一组共享低层设备和线路的机器，如交换机，动态集线器和网桥等设备，可以对数据流进行限制，从而到达防止嗅探的目的2加密一方面可以对数据流中的局部重要信息进行加密，另一方面也可只对应用层加密，然而后者将使大局部与网络和操作系统有关的敏感信息失去保护选择何种加密方式这就取决于信息的平安级别及网络的平安程度3一次性口令技术口令并不在网络上传输而是在两端进行字符串匹配，客户端利用从效劳器上得到的Challenge和自身的口令计算出一个新字符串并将之返回给效劳器在效劳器上利用比拟算法进行匹配，如果匹配，连接就允许建立，所有的Challenge和字符串都只使用一次4禁用杂错节点安装不支持杂错的网卡，通常可以防止IBM兼容机进行嗅探

2、缓冲区溢出攻击及其防范措施缓冲区溢出攻击是属于系统攻击的手段，通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其它指令，以到达攻击的目的当然，随便往缓冲区中填东西并不能到达攻击的目的最常见的手段是通过制造缓冲区溢出使程序运行一个用户shell，再通过shell执行其它命令如果该程序具有root权限的话，攻击者就可以对系统进行任意操作了缓冲区溢出对网络系统带来了巨大的危害，要有效地防止这种攻击，应该做到以下几点1程序指针完整性检查在程序指针被引用之前检测它是否改变即便一个攻击者成功地改变了程序的指针，由于系统事先检测到了指针的改变，因此这个指针将不会被使用2堆栈的保护这是一种提供程序指针完整性检查的编译器技术，通过检查函数活动记录中的返回地址来实现在堆栈中函数返回地址后面加了一些附加的字节，而在函数返回时，首先检查这个附加的字节是否被改动过如果发生过缓冲区溢出的攻击，那么这种攻击很容易在函数返回前被检测到但是，如果攻击者预见到这些附加字节的存在，并且能在溢出过程中同样地制造他们，那么他就能成功地跳过堆栈保护的检测3数组边界检查所有的对数组的读写操作都应当被检查以确保对数组的操作在正确的范围内进行最直接的方法是检查所有的数组操作，通常可以采用一些优化技术来减少检查次数目前主要有这几种检查方法CompaqC编译器、JonesKellyC数组边界检查、Purify存储器存取检查等未来的竞争是信息竞争，而网络信息是竞争的重要组成局部其实质是人与人的对抗，它具体表达在平安策略与攻击策略的交锋上为了不断增强信息系统的平安防御能力，必须充分理解系统内核及网络协议的实现，真正做到洞察对方网络系统的细枝末节，同时应该熟知针对各种攻击手段的预防措施，只有这样才能尽最大可能保证网络的平安模板内容仅供参考　　 。