網(wǎng)絡(luò)入侵、攻擊與防范技術(shù)
時間：
張亞東1由 分享
摘 要 隨著信息化建設(shè)的快速發(fā)展，網(wǎng)絡(luò)入侵、攻擊對信息安全的威脅越來越大，本文從典型的網(wǎng)絡(luò)入侵和攻擊方法入手，闡述了防范網(wǎng)絡(luò)入侵與攻擊的主要技術(shù)措施。
關(guān)鍵詞 安全和保密；網(wǎng)絡(luò)；入侵和攻擊；防范技術(shù)
1 引言
隨著計算機網(wǎng)絡(luò)技術(shù)的高速發(fā)展和普及，信息化已成為人類社會發(fā)展的大趨勢。但是，由于計算機網(wǎng)絡(luò)具有聯(lián)結(jié)形式多樣性、終端分布不均勻性和網(wǎng)絡(luò)的開放性、互聯(lián)性等特征，致使網(wǎng)絡(luò)容易受黑客、惡意軟件和其它不軌行為的攻擊，威脅網(wǎng)絡(luò)信息的安全，所以信息的安全和保密就成為一個至關(guān)重要的問題被信息社會的各個領(lǐng)域所重視。
要保證網(wǎng)絡(luò)信息的安全，有效防范網(wǎng)絡(luò)入侵和攻擊，就必須熟悉網(wǎng)絡(luò)入侵和攻擊的常用方法，在此基礎(chǔ)上才能制定行之有效地防范策略，確保網(wǎng)絡(luò)安全。
2 典型網(wǎng)絡(luò)入侵和攻擊方法
2.1 使用網(wǎng)絡(luò)掃描器
網(wǎng)絡(luò)掃描器是利用C/S結(jié)構(gòu)中的請求－應(yīng)答機制來實現(xiàn)的，是網(wǎng)絡(luò)入侵者收集信息的重要工具。掃描器能夠發(fā)現(xiàn)目標主機和網(wǎng)絡(luò)，識別目標主機的端口狀態(tài)和目標主機正在運行的各種服務(wù)并測試這些服務(wù)中是否存在漏洞，能夠根據(jù)漏洞信息分析系統(tǒng)脆弱點，生成掃描報告。
常用的掃描方法有利用網(wǎng)絡(luò)命令、端口掃描和漏洞掃描三種。
2.2 特洛伊木馬
特洛伊木馬(簡稱木馬)是一種C/S結(jié)構(gòu)的網(wǎng)絡(luò)應(yīng)用程序，木馬程序一般由服務(wù)器端程序和控制器端程序組成。“中了木馬”就是指目標主機中被安裝了木馬的服務(wù)器端程序。若主機“中了木馬”，則攻擊者就可以利用木馬的控制器端程序與駐留在目標主機上的服務(wù)器端程序進行通信，進而達到獲取目標主機上的各種信息的目的。
木馬的服務(wù)器端程序通常是嵌入到主機的合法程序中，隨合法程序運行后獨立工作，或者作為單獨的程序在設(shè)定的條件下自動運行，極具隱蔽性和危害性。
2.3 緩沖區(qū)溢出
緩沖區(qū)是指計算機程序運行時在內(nèi)存中開辟的臨時存儲數(shù)據(jù)的區(qū)域。理想情況是，程序檢查數(shù)據(jù)長度并且不允許輸入超過緩沖區(qū)長度的內(nèi)容，但是很多程序都不做這種檢查，這就為緩沖區(qū)溢出埋下隱患。通過向緩沖區(qū)寫入超出其長度的內(nèi)容，造成緩沖區(qū)的溢出，緩沖區(qū)溢出可能會帶來兩種結(jié)果：一是過長的內(nèi)容覆蓋了相鄰的存儲單元，引起程序運行失敗，嚴重的可導致系統(tǒng)崩潰；二是破壞程序的堆棧，使程序轉(zhuǎn)而執(zhí)行其它的指令，由此而引發(fā)多種攻擊方法。
2.4 拒絕服務(wù)攻擊
拒絕服務(wù)攻擊是利用合理的服務(wù)請求來占用過多的服務(wù)資源，致使目標主機服務(wù)超載，停止提供服務(wù)或資源訪問。這些服務(wù)資源包括網(wǎng)絡(luò)帶寬、磁盤容量、內(nèi)存、進程等。拒絕服務(wù)攻擊是由于網(wǎng)絡(luò)協(xié)議本身的安全缺陷造成的，這種攻擊會導致資源的匱乏，無論目標主機速度多快、容量多大、網(wǎng)絡(luò)環(huán)境多好都無法避免這種攻擊。拒絕服務(wù)攻擊能實現(xiàn)兩種效果：一是迫使目標主機的緩沖區(qū)滿，不接收新的請求；二是使用IP欺騙，迫使目標主機把合法用戶的連接復位，影響合法用戶的連接。
常見的拒絕服務(wù)攻擊方法有廣播風暴、SYN淹沒、IP分段攻擊和分布式攻擊等。
2.5 網(wǎng)絡(luò)監(jiān)聽
以太網(wǎng)協(xié)議的工作方式是把要發(fā)送的數(shù)據(jù)包發(fā)往同一網(wǎng)段內(nèi)的所有主機，在包頭中含有目的主機的地址，正常情況下，只有地址與數(shù)據(jù)包的目標地址相同的主機才能接收數(shù)據(jù)包，但是當主機工作在監(jiān)聽模式下，不管數(shù)據(jù)包中的目標地址是什么，它都可以接收。網(wǎng)絡(luò)監(jiān)聽就是利用這一原理，將主機設(shè)置在監(jiān)聽模式下從網(wǎng)上截獲各種信息。
網(wǎng)絡(luò)監(jiān)聽需要進入到目標主機所在的局域網(wǎng)內(nèi)部，選擇一臺主機實施，監(jiān)聽效果最好的地方是在網(wǎng)關(guān)、路由器、防火墻上，能捕獲更多的信息。
2.6 IP欺騙
IP欺騙是利用TCP/IP協(xié)議本身的安全缺陷實現(xiàn)攻擊的，它通過盜用合法的IP地址，獲取目標主機的信任，進而訪問目標主機上的資源。
目前，許多安全性解決方案都依賴于精確的IP地址，所以不論目標主機上運行的是何種操作系統(tǒng)，IP欺騙攻擊都是容易實現(xiàn)的，這些攻擊包括序列號欺騙、路由攻擊、源地址欺騙和授權(quán)欺騙。
3 防范網(wǎng)絡(luò)入侵和攻擊的主要技術(shù)
在網(wǎng)絡(luò)環(huán)境下，由于種種原因，網(wǎng)絡(luò)被入侵和攻擊是難免的。但是，通過加強管理和采用必要的技術(shù)手段可以減少入侵和攻擊行為，避免因入侵和攻擊造成的各種損失。下面就介紹幾種主要的防范入侵和攻擊的技術(shù)措施。
3.1 訪問控制技術(shù)
訪問控制的主要目的是確保網(wǎng)絡(luò)資源不被非法訪問和非法利用，是網(wǎng)絡(luò)安全保護和防范的核心策略之一。訪問控制技術(shù)主要用于對靜態(tài)信息的保護，需要系統(tǒng)級別的支持，一般在操作系統(tǒng)中實現(xiàn)。目前，訪問控制主要涉及入網(wǎng)訪問控制、權(quán)限控制、目錄級安全控制以及屬性安全控制等多種手段。
入網(wǎng)訪問控制通過對用戶名、用戶密碼和用戶帳號默認權(quán)限的綜合驗證、檢查來限制用戶對網(wǎng)絡(luò)的訪問，它能控制哪些用戶、在什么時間以及使用哪臺主機入網(wǎng)。入網(wǎng)訪問控制為網(wǎng)絡(luò)訪問提供了第一層訪問控制。
網(wǎng)絡(luò)用戶一般分為三類：系統(tǒng)管理員用戶，負責網(wǎng)絡(luò)系統(tǒng)的配置和管理；普通用戶，由系統(tǒng)管理員創(chuàng)建并根據(jù)他們的實際需要為其分配權(quán)限；審計用戶，負責網(wǎng)絡(luò)系統(tǒng)的安全控制和資源使用情況的審計。用戶入網(wǎng)后就可以根據(jù)自身的權(quán)限訪問網(wǎng)絡(luò)資源。權(quán)限控制通過訪問控制表來規(guī)范和限制用戶對網(wǎng)絡(luò)資源訪問，訪問控制表中規(guī)定了用戶可以訪問哪些目錄、子目錄、文件和其它資源，指定用戶對這些文件、目錄等資源能夠執(zhí)行哪些操作。
系統(tǒng)管理員為用戶在目錄一級指定的權(quán)限對該目錄下的所有文件和子目錄均有效。如果用戶濫用權(quán)限，則會對這些目錄、文件或設(shè)備等網(wǎng)絡(luò)資源構(gòu)成威脅。目錄級安全控制可以限制用戶對目錄和文件的訪問權(quán)限，進而保護目錄和文件的安全，防止用戶權(quán)限濫用。
屬性安全控制是通過給網(wǎng)絡(luò)資源設(shè)置安全屬性標記來實現(xiàn)的。它可以將目錄或文件隱藏、共享和設(shè)置成系統(tǒng)特性，可以限制用戶對文件進行讀、寫、刪除、運行等操作等。屬性安全在權(quán)限安全的基礎(chǔ)上提供更進一步的安全性。
3.2 防火墻技術(shù)
防火墻是一種高級訪問控制設(shè)備，是置于不同網(wǎng)絡(luò)安全域之間的一系列部件的組合，是不同網(wǎng)絡(luò)安全域間通信流的惟一通道，它能根據(jù)有關(guān)的安全策略控制(允許、拒絕、監(jiān)視、記錄)進出網(wǎng)絡(luò)的訪問行為。防火墻是網(wǎng)絡(luò)安全的屏障，是提供安全信息服務(wù)、實現(xiàn)網(wǎng)絡(luò)安全的基礎(chǔ)設(shè)施之一。
防火墻能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性，防止來自被保護區(qū)域外部的攻擊，并通過過濾不安全的服務(wù)而降低風險；能防止內(nèi)部信息外泄和屏蔽有害信息，利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可以實現(xiàn)內(nèi)部網(wǎng)絡(luò)重點網(wǎng)段的隔離，限制安全問題擴散，從而降低了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響；能強化網(wǎng)絡(luò)安全策略，將局域網(wǎng)的安全管理集中在一起，便于統(tǒng)一管理和執(zhí)行安全策略；能嚴格監(jiān)控和審計進出網(wǎng)絡(luò)的信息，如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并做出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)。當發(fā)生可疑動作時，防火墻能進行適當?shù)膱缶?，并提供網(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細信息。
3.3 數(shù)據(jù)加密技術(shù)
數(shù)據(jù)加密能防止入侵者查看、篡改機密的數(shù)據(jù)文件，使入侵者不能輕易地查找一個系統(tǒng)的文件。數(shù)據(jù)加密技術(shù)是網(wǎng)絡(luò)中最基本的安全技術(shù)，主要是通過對網(wǎng)絡(luò)中傳輸?shù)男畔⑦M行加密來保障其安全性，是一種主動的安全防御策略。
數(shù)據(jù)加密實質(zhì)上是對以符號為基礎(chǔ)的數(shù)據(jù)進行移位和置換的變換算法，這種變換受“密鑰”控制。常用的數(shù)據(jù)加密技術(shù)有私用密鑰加密技術(shù)和公開密鑰加密技術(shù)。私用密鑰加密技術(shù)利用同一個密鑰對數(shù)據(jù)進行加密和解密，這個密鑰必須秘密保管，只能為授權(quán)用戶所知，授權(quán)用戶既可以用該密鑰加密信息，也可以用該密鑰解密信息。DES是私用密鑰加密技術(shù)中最具代表性的算法。公開密鑰加密技術(shù)采用兩個不同的密鑰進行加密和解密，這兩個密鑰是公鑰和私鑰。如果用公鑰對數(shù)據(jù)進行加密，只有用對應(yīng)的私鑰才能進行解密；如果用私鑰對數(shù)據(jù)進行加密，則只有用對應(yīng)的公鑰才能解密。公鑰是公開的，任何人可以用公鑰加密信息，再將密文發(fā)送給私鑰擁有者。私鑰是保密的，用于解密其接收的用公鑰加密過的信息。目前比較安全的采用公開密鑰加密技術(shù)的算法主要有RSA算法及其變種Rabin算法等。
3.4 入侵檢測技術(shù)
入侵檢測是對入侵行為的檢測，它通過收集和分析網(wǎng)絡(luò)行為、安全日志、審計數(shù)據(jù)、其它網(wǎng)絡(luò)上可以獲得的信息以及計算機系統(tǒng)中若干關(guān)鍵點的信息，檢查網(wǎng)絡(luò)或系統(tǒng)中是否存在違反安全策略的行為和被攻擊的跡象。
用于入侵檢測的軟件與硬件的組合便是入侵檢測系統(tǒng)，入侵檢測系統(tǒng)被認為是防火墻之后的第二道安全閘門，它能監(jiān)視分析用戶及系統(tǒng)活動，查找用戶的非法操作，評估重要系統(tǒng)和數(shù)據(jù)文件的完整性，檢測系統(tǒng)配置的正確性，提示管理員修補系統(tǒng)漏洞；能實時地對檢測到的入侵行為進行反應(yīng)，在入侵攻擊對系統(tǒng)發(fā)生危害前利用報警與防護系統(tǒng)驅(qū)逐入侵攻擊，在入侵攻擊過程中減少入侵攻擊所造成的損失，在被入侵攻擊后收集入侵攻擊的相關(guān)信息，作為防范系統(tǒng)的知識，添加入侵策略集中，增強系統(tǒng)的防范能力，避免系統(tǒng)再次受到同類型的入侵攻擊。
入侵檢測作為一動態(tài)安全防護技術(shù)，提供了對內(nèi)部攻擊、外部攻擊和誤操作的實時保護，在網(wǎng)絡(luò)系統(tǒng)受到危害之前攔截和響應(yīng)入侵，它與靜態(tài)安全防御技術(shù)(防火墻)相互配合可構(gòu)成堅固的網(wǎng)絡(luò)安全防御體系。
3.4 安全掃描
安全掃描就是對計算機系統(tǒng)或者其它網(wǎng)絡(luò)設(shè)備進行安全相關(guān)的檢測，以找出安全隱患和可能被攻擊者利用的漏洞。安全掃描是把雙刃劍，攻擊者利用它可以入侵系統(tǒng)，而管理員利用它可以有效地防范攻擊者入侵。
安全掃描常采用基于網(wǎng)絡(luò)的主動式策略和基于主機的被動式策略。主動式策略就是通過執(zhí)行一些腳本文件模擬對系統(tǒng)進行攻擊的行為并記錄系統(tǒng)的反應(yīng)，從而發(fā)現(xiàn)其中的漏洞；而被動式策略就是對系統(tǒng)中不合適的設(shè)置，脆弱的口令以及其它同安全規(guī)則抵觸的對象進行檢查。利用被動式策略掃描稱為系統(tǒng)安全掃描，利用主動式策略掃描稱為網(wǎng)絡(luò)安全掃描。
目前，安全掃描主要涉及四種檢測技術(shù)：基于應(yīng)用的檢測技術(shù)、基于主機的檢測技術(shù)、基于目標的漏洞檢測技術(shù)、基于網(wǎng)絡(luò)的檢測技術(shù)。
3.5 安全審計
網(wǎng)絡(luò)安全是動態(tài)的，對已經(jīng)建立的系統(tǒng)，如果沒有實時的、集中的可視化審計，就不能及時評估系統(tǒng)的安全性和發(fā)現(xiàn)系統(tǒng)中存在的安全隱患。網(wǎng)絡(luò)安全審計就是在一個特定的網(wǎng)絡(luò)環(huán)境下，為了保障網(wǎng)絡(luò)和數(shù)據(jù)不受來自外網(wǎng)和內(nèi)網(wǎng)用戶的入侵和破壞，而運用各種技術(shù)手段實時收集和監(jiān)控網(wǎng)絡(luò)環(huán)境中每一個組成部分的系統(tǒng)狀態(tài)、安全事件，以便集中報警、分析、處理的一種技術(shù)手段，它是一種積極、主動的安全防御技術(shù)。
計算機網(wǎng)絡(luò)安全審計主要包括對操作系統(tǒng)、數(shù)據(jù)庫、Web、郵件系統(tǒng)、網(wǎng)絡(luò)設(shè)備和防火墻等項目的安全審計，以及加強安全教育，增強安全責任意識。目前，網(wǎng)絡(luò)安全審計系統(tǒng)主要包含以下幾種功能：采集多種類型的日志數(shù)據(jù)、日志管理、日志查詢、入侵檢測、自動生成安全分析報告、網(wǎng)絡(luò)狀態(tài)實時監(jiān)視、事件響應(yīng)機制、集中管理。
3.6 安全管理
安全管理就是指為實現(xiàn)信息安全的目標而采取的一系列管理制度和技術(shù)手段，包括安全檢測、監(jiān)控、響應(yīng)和調(diào)整的全部控制過程。需要指出的是，不論多么先進的安全技術(shù)，都只是實現(xiàn)信息安全管理的手段而已，信息安全源于有效地管理，要使先進的安全技術(shù)發(fā)揮較好的效果，就必須建立良好的信息安全管理體系，制定切合實際的網(wǎng)絡(luò)安全管理制度，加強網(wǎng)絡(luò)安全的規(guī)范化管理力度，強化網(wǎng)絡(luò)管理人員和使用人員的安全防范意識。只有網(wǎng)絡(luò)管理人員與使用人員共同努力，才能有效防御網(wǎng)絡(luò)入侵和攻擊，才能使信息安全得到保障。
4 結(jié)束語
計算機網(wǎng)絡(luò)信息安全是一項復雜的系統(tǒng)工程，防御網(wǎng)絡(luò)入侵與攻擊只是保障網(wǎng)絡(luò)信息安全的一部分。隨著計算機網(wǎng)絡(luò)的快速應(yīng)用和普及，網(wǎng)絡(luò)信息安全的不確定因素也越來越多，我們必須綜合考慮各種安全因素，認真分析各種可能的入侵和攻擊形式，采取有效的技術(shù)措施，制定合理的網(wǎng)絡(luò)安全策略和配套的管理辦法，防止各種可能的入侵和攻擊行為，避免因入侵和攻擊造成的各種損失。
參考文獻
[1] 宋勁松.網(wǎng)絡(luò)入侵檢測——分析、發(fā)現(xiàn)和報告攻擊.國防工業(yè)出版社.2004年9月
[2] 袁德月，喬月圓.計算機網(wǎng)絡(luò)安全.電子工業(yè)出版社.2007年6月
[3] (美)福斯特 等著，蔡勉 譯.緩沖區(qū)溢出攻擊——檢測、剖析與預防.清華大學出版社.2006年12月
[4 ] 梅云紅.計算機網(wǎng)絡(luò)安全隱患與防范策略的探討.計算機與信息技術(shù).2007年09期
[5] GA-T_391-2002_計算機信息系統(tǒng)安全等級保護管理要求