[专家们公认的20个最危险的安全漏洞.doc
《[专家们公认的20个最危险的安全漏洞.doc》由会员分享,可在线阅读,更多相关《[专家们公认的20个最危险的安全漏洞.doc(47页珍藏版)》请在咨信网上搜索。
1、专家们公认的20个最危险的安全漏洞 大概在一年前,SANS研究所和国家基础设施保护中心(NIPC)发布了一份文档,总结了10个最严重的网络安全漏洞。数以千计的组织利用这份文档来安排他们工作的先后次序,以便能够首先关掉最危险的漏洞。2001年10月1日发布的这份新的列表更新并扩展了以前的TOP10列表,增加为20个最危险的安全漏洞,并将其分为三大类,通用漏洞,Windows漏洞,UNIX漏洞。这份SANS/FBI最危险的20个漏洞列表是非常有价值的,因为大多数通过Internet对计算机系统的入侵均可以追溯到这20个安全漏洞,例如对五角大楼Solar Sunrise系统的攻击,Code Red和
2、Nimda蠕虫的快速传播,均可以归结为没有对这20个漏洞打补丁。就是这少数几个软件漏洞成就了大多数的成功攻击,是因为攻击者是机会主义者,他们使用最简单和常用的方法。他们使用最有效和广泛传播的攻击工具,去攻击众所周知的漏洞。他们寄希望于有关组织不解决这些漏洞。他们扫描网络上有任何漏洞的系统,不做区分地加以攻击。过去,系统管理员报告说他们没有弥补很多漏洞,是因为他们不知道哪些漏洞是最危险的,他们太忙了,没有时间修补全部漏洞。一些扫描工具可以扫描300或500,甚至800个漏洞,这就分散了系统管理员的注意力。系统管理员应该保障所有系统免于最常见的攻击。这份列表集合了大多数联邦安全机构,安全软件开发商
3、,咨询公司,大学中的安全组织,CERT/CC和SANS研究所的首席安全专家的知识,以简化以上问题。这份文件末尾可以找到参与成员列表。影响所有系统的漏洞(G)G1操作系统和应用软件的缺省安装G1.1描述:大多数软件,包括操作系统和应用程序,都包括安装脚本或安装程序。这些安装程序的目的是尽快安装系统,在尽量减少管理员工作的情况下,激活尽可能多的功能。为实现这个目的,脚本通常安装了大多数用户所不需要的组件。软件开发商的逻辑是最好先激活还不需要的功能,而不是让用户在需要时再去安装额外的组件。这种方法尽管对用户很方便,但却产生了很多危险的安全漏洞,因为用户不会主动的给他们不使用的软件组件打补丁。而且很多
4、用户根本不知道实际安装了什么,很多系统中留有安全漏洞就是因为用户根本不知道安装了这些程序。那些没有打补丁的服务为攻击者接管计算机铺平了道路。对操作系统来说,缺省安装几乎总是包括了额外的服务和相应的开放端口。攻击者通过这些端口侵入计算机系统。一般说来,你打开的端口越少,攻击者用来侵入你计算机的途径就越少。对于应用软件来说,缺省安装包括了不必要的脚本范例,尤其对于 Web服务器来说更是如此,攻击者利用这些脚本侵入系统,并获取他们感兴趣的信息。绝大多数情况下,被侵入系统的管理员根本不知道他们安装了这些脚本范例。这些脚本范例的安全问题是由于他们没有经历其他软件所必须的质量控制过程。事实上,这些脚本的编
5、写水平极为低劣,经常忘记出错检查,给缓冲区溢出类型的攻击提供了肥沃的土壤。 G1.2 受影响的系统大多数操作系统和应用程序。请注意几乎所有的第三方web服务器扩展都存在这样的样本文件,它们中间的大多数是极度危险的。G1.3 CVE 表项(注意:以下列表并不完整,只是部分样本)CVE-1999-0415, CVE-1999-0678, CVE-1999-0707, CVE-1999-0722, CVE-1999-0746, CVE-1999-0954, CVE-2000-0112, CVE-2000-0192, CVE-2000-0193, CVE-2000-0217, CVE-2000-023
6、4, CVE-2000-0283, CVE-2000-0611, CVE-2000-0639, CVE-2000-0672, CVE-2000-0762, CVE-2000-0868, CVE-2000-0869, CVE-2000-1059G1.4 怎样判断你是易受攻击的:如果你使用了安装程序去安装系统或服务软件,而且没有移走不需要的服务,或没有安装所有的安全补丁,那么你的系统是易于被黑客攻击的。即使你进行了附加的配置,你也仍然是易受攻击的。你应该对任何连到Internet上的系统进行端口扫描和漏洞扫描。在分析结果时,请记住以下原则:你的系统应该提供尽可能少的服务,并安装为提供这些服务所需的
7、最少的软件包。每一个额外的软件或服务都为攻击者提供了一个攻击手段,这主要是由于系统管理员不会为他们不经常使用的软件打补丁。G1.5 怎样防范:卸载不必要的软件,关掉不需要的服务和额外的端口。这会是一个枯燥而且耗费时间的工作。正是由于这个原因,许多大型组织都为他们使用的所有操作系统和应用软件开发了标准安装指南。这些指南包括了为使系统有效运作所需的最少的系统特性的安装。Internet安全中心(CIS) 根据多个国家的170个组织(http:/www.cisecurity.org/)的知识和经验,针对Solaris和Windows 2000开发了一套公认的最小安全配置基准,针对其他操作系统的配置基
8、准和测试工具还在开发中。CIS工具可以测试安全性能,分区比较系统安全状态。CIS指南可用来提高大多数操作系统的安全性能。G2 没有口令或使用弱口令的帐号G2.1 描述:大多数系统都把口令作为第一层和唯一的防御线。用户的ID是很容易获得的,而且大多数公司都使用拨号的方法绕过防火墙。因此,如果攻击者能够确定一个帐号名和密码,他(或她)就能够进入网络。易猜的口令或缺省口令是一个很严重的问题,但一个更严重的问题是有的帐号根本没有口令。实际上,所有使用弱口令,缺省口令和没有口令的帐号都应从你的系统中清除。另外,很多系统有内置的或缺省的帐号,这些帐号在软件的安装过程中通常口令是不变的。攻击者通常查找这些帐
9、号。因此,所有内置的或缺省的帐号都应从系统中移出。G2.2受影响的系统所有通过用户ID和口令进行认证的操作系统或应用程序。G2.3 CVE entries:(注意:以下列表并不完整,只是部分样本)CVE-1999-0291, CAN-1999-0501, CAN-1999-0502, CAN-1999-0503, CAN-1999-0505, CAN-1999-0506, CAN-1999-0507, CAN-1999-0508, CAN-1999-0516, CAN-1999-0517, CAN-1999-0518, CAN-1999-0519G2.4 怎样判断你是易受攻击的:为判断你是否易
10、受攻击,你需要了解你的系统上都有哪些帐号。应进行以下操作:1审计你系统上的帐号,建立一个使用者列表,别忘了检查例如路由,连接Internet的打印机、复印机和打印机控制器等系统的口令。2制定管理制度,规范增加帐号的操作,及时移走不再使用的帐号。3经常检查确认有没有增加新的帐号,不使用的帐号是否已被删除。4对所有的帐号运行口令破解工具,以寻找弱口令或没有口令的帐号。(在你这么做之前,先确定你有权利这么做)a.LC3 Microsoft Windows NT and Microsoft Windows 2000, b.Microsoft Personal Security Advisor, Mic
11、rosoft Windows NT and Microsoft Windows 2000, c.John the Ripper Unix, d.Pandora Novell, http:/www.nmrc.org/pandora5.当雇员或承包人离开公司时,或当帐号不再需要时,应有严格的制度保证删除这些帐号。G2.5 怎样防范:应采取两个步骤以消除口令漏洞。第一步,所有没有口令的帐号应被删除或加上一个帐号,所有弱口令应被加强。可悲的是,当用户被要求改变或加强他们的弱口令时,他们经常又选择一个容易猜测的。这就导致了第二步,用户的口令在被修改后,应加以确认。可以用程序来拒绝任何不符合你安全策略的口
12、令,可在如下地址获得常用的程序:1.For UNIX: Npasswd, http:/www.utexas.edu/cc/unix/software/npasswd 2 .For Windows NT: Passfilt, /articles/Q161/9/90.asp这些程序保证了修改口令时,口令的长度和组成使得破解非常困难。应指出,很多UNIX系统有保证口令强壮性的功能,另外还有很多其他软件包也可以达到这个目的。很多组织使用口令控制程序,以保证口令经常更改,而且旧口令不可重用。如果使用口令有效期,请确认用户在口令过期之前收到警告并有足够的时间改变口令。当面对以下信息时,your passw
13、ord has expired and must be changed, 用户往往会选择一个坏口令。Microsoft Windows 2000在Group Policy中包括口令限制选项。系统管理员可以配置网络,使口令有最小长度,最小和最大有效期等限制。限制口令的最小有效期是很重要的,如果没有它,用户在被要求修改口令后会很快又把口令改回去。限制口令的最小有效期使得用户不得不记住现在的口令,而不太会把口令改回去。另外一个很重要的手段是使用户了解,为什么以及怎样去选择强壮的口令。选择口令最常见的建议是选取一首歌中的一个短语或一句话,将这些短语的非数字单词的第一或第二个字母,加上一些数字来组成口令
14、,在口令中加入一些标点符号将使口令更难破解。另一个避免没有口令或弱口令的方法是采用其他认证手段,例如口令产生令牌(password-generating tokens)或生物尺度(biometrics)。如果你没有办法解决弱口令的问题,尝试一下其它认证手段。G3 没有备份或者备份不完整G3.1 描述:当事故发生时(这在每一个组织均有可能发生),从事故中恢复要求及时的备份和可靠的数据存储方式。一些组织的确每天做备份,但是不去确认备份是否有效。其他一些组织建立了备份的策略和步骤,但却没有建立存储的策略和步骤。这些错误往往在黑客进入系统并已经破坏数据后才被发现。第二个问题是对备份介质的物理保护不够。
15、备份保存了和服务器上同样敏感的信息,它们应以相同的方式加以对待。G3.2受影响的系统任何运行紧要任务的系统G3.3 CVE entries: N/AG3.4怎样判断你是易受攻击的:应列出一份紧要系统的列表。然后对每一个系统可能遇到的风险和威胁进行分析。应根据这些重要的服务器制定备份方式和策略。一旦确认了这些重要系统,应明确以下重要问题:1系统是否有备份?2备份间隔是可接受的吗?3系统是按规定进行备份的吗?4是否确认备份介质正确的保存了数据?5备份介质是否在室内得到了正确的保护?6是否在另一处还有操作系统和存储设施的备份?(包括必要的license key)7存储过程是否被测试及确认?G3.5怎
16、样防范:应当每天做备份。在大多数组织中,最低的要求是一周做一次完整的备份,之后每天再做增量备份。至少一个月要对备份介质做一次测试,以保证数据确实被正确的保存了下来。这是最低要求。很多公司每天都做完整的备份,并且一天就要做多次备份。备份的终极目的是一个完全冗余的网络,并且具备自动防故障能力-实时金融和电子商务系统,重要设施的控制系统和一些国防部门的系统都需要这样一个备份方案。G4 大量打开的端口G4.1 描述合法的用户和攻击者都通过开放端口连接系统。端口开得越多,进入系统的途径就越多。因此,为使系统正常运作,保持尽量少的端口是十分必要的。所有无用的端口都应被关闭。G4.2受影响的系统:大多数操作
17、系统。G4.3 CVE entries:(注意:以下列表并不完整,只是部分样本)CVE-1999-0189, CVE-1999-0288, CVE-1999-0351, CVE-1999-0416, CVE-1999-0675, CVE-1999-0772, CVE-1999-0903, CVE-2000-0070, CVE-2000-0179, CVE-2000-0339, CVE-2000-0453, CVE-2000-0532, CVE-2000-0558, CVE-2000-0783, CVE-2000-0983,G4.4怎样判断你是易受攻击的:netstat命令可以在本地运行以判断哪
18、些端口是打开的,但更保险的方法是对你的系统进行外部的端口扫描.这会给你列出所有实际在侦听的端口号.如果二者结果不同,你应该研究一下是什么原因.如果两个列表一致,检查一下为什么这些端口是打开的,每一个端口都在运行什么.任何无法确认的端口都应被关闭.应记录最终端口列表,以确定没有额外的端口出现。在众多的端口扫描器中,最流行的是nmap。在http:/www.insecure.org/nmap/ 可以找到UNIX下的nmap。这个版本在NT下也可以编译。在 nmapnt.html可以找到NT版的nmap。无论你使用那种扫描器,都应扫描从1-65,535的所有TCP和UDP端口。在进行扫描之前,你应对
19、系统拥有写入权限。一些操作系统,特别是一些有内置的TCP/IP协议栈的器件,在被扫描时,会出现难以预计的后果。扫描同时会触发入侵检测系统和防火墙,而被认为是一种入侵。G4.5怎样防范:一旦你确定了哪些端口是打开的,接下来的任务是确定所必须打开的端口的最小集合关闭其他端口,找到这些端口对应的服务,并关闭/移走它们。在UNIX系统下,很多服务是由inted和它的配置文件inetd.conf控制的。inetd.conf列出了侦听端口的服务,可用来关闭端口:将一种服务从inetd.conf中移出,重启inted,以避免端口被再次打开。其他一些服务是通过启动时的一些脚本来运行的(例如/etc/rc, /
20、etc/rc.local,或在/etc/rc*目录下的。由于在不同UNIX系统下关闭这些脚本的方式不同,请查询你的系统文档。在Windows NT 和 Windows 2000下,可使用一种fport(序来确定在某个特定端口上侦听的服务或程序。在Windows XP下,你可以netstat命令加-o来完成相同的功能。G5 没有过滤地址不正确的包G5.1描述IP地址欺诈是黑客经常用来隐藏自己踪迹的一种手段。例如常见的smurf攻击就利用了路由的特性向数以千记的机器发出了一串数据包。每一个数据包都假冒了一个受害主机的IP地址作为源地址,于是上千台主机会同时向这个受害的主机返回数据包,导致该主机或网
21、络崩溃。对流进和流出你网络的数据进行过滤可以提供一种高层的保护。过滤规则如下:1任何进入你网络的数据包不能把你网络内部的地址作为源地址。2任何进入你网络的数据包必须把你网络内部的地址作为目的地址。3任何离开你网络的数据包必须把你网络内部的地址作为源地址。4任何离开你网络的数据包不能把你网络内部的地址作为目的地址。5任何进入或离开你网络的数据包不能把一个私有地址(private address)或在RFC1918中列出的属于保留空间(包括10.x.x.x/8, 172.16.x.x/12 或192.168.x.x/16 和网络回送地址127.0.0.0/8.)的地址作为源或目的地址。6阻塞任意源
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 专家 公认 20 危险 安全漏洞
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【1587****927】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【1587****927】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。