发信人: antonio_lan()
整理人: williamlong(2000-10-10 10:04:23), 站内信件
|
《网络信息系统安全值得关注》
随着国民经济信息化的迅速发展,企业网络信息系统对安全的要求越来越高,
尤其自Internet /Intranet应用发展以来,信息系统的安全已经涉及到国家主权等
许多重大问题。据美国《金融时报》报道,目前全球平均每20秒就发生一次Inter
net计算机入侵事件。在Internet上的网络防火墙,超过1/3被突破,一些银行、企
业、机构都未能幸免。有调查报告指出,近78%的信息主管、信息安全官员及其他
高级技术管理人员报告他们的企业已经因泄密受损失,其中超过25%的企业损失高
于25万美元。
在上述事件中,有近32%的事件由内部黑客所为。"黑客"工具技术的日益发展
,使得使用它所需要具备的各种技巧和知识在不断减少,从而造成全球范围内"黑客
"行为的泛滥,导致了一个全新战争形式的出现,即网络安全技术大战。
信息系统受到的威胁
信息系统安全受到的威胁包括"黑客"的攻击、计算机病毒以及拒绝服务攻击
(Denia l of Service Attack)。
目前黑客的行为正在不断地走向系统化和组织化,如政府机构和情报机构招集
黑客组成网络战士对其它的政党进行幕后攻击,企业、集团、金融界则高薪聘请黑
客进行商业间谍幕后战,所以如何保护自已的信息渠道和资源已成为未来信息战中
的重要课题。
"黑客"攻击已经有十几年的历史了,在VAX/VMSV4.2版的"Guide to VAX/VMS
System Security"中就已经对"黑客"攻击的手法进行了概括,它包括:猎取访问路
线、猎取口令、强力闯入、改变与建立UAF(用户授权文件)记录、偷取额外特权、
引入"特洛伊木马"软件掩盖其真实企图、引入命令过程或程序"蠕虫"把自已寄生
在特权用户上、清理磁盘、使用一个节点作为网关(代理)到其它节点上、通过隐
蔽信道进行非法活动、进行突破网络防火墙活动等等。
在Internet上"黑客"使用的工具很多,例如: Rootkit工具具有特洛伊木马、
网络敏感、轨迹跟踪的手法。SATAN工具专门用来发现一个网络的脆弱部分。Ait
a Vista工具可以用来定位一个网络的脆弱部分或者是定位黑客敏感的信息。在I
nternet网络上有名的黑客网址有:
· www.cert.org
· www.10pht.com/
· http://www.root.org/warez.html
· http://www//2600.com
· www.microagwny.com/home/claw/hackers.html
· http://www.halcyon.com/yakboy/42ff.html
· http://www/netwalk.com/silicon/void-f.html
黑客在网络上经常采用的攻击手法是:利 用UNIX 操作系统提供的 Telnet d
aemon、FTPdaemon、Remote exec daemon等缺省帐户进行攻击,另外,黑客还可以
采用UNIX操作系统提供的命令"Finger"与"Rusers"收集的信息不断提高自已的攻
击能力;利用Sendmail, 采用debug、wizard、pipe、假名及Ident daemon进行攻
击;利用FTP采用无口令访问进行攻击;利用NFS进行攻击;通过Windows NT的135端
口进行攻击;通过Rshwith host.equiv+ 、Rlogin_ froot、Rex daemon以及XWin
dows 等方法进行攻击。
拒绝服务攻击是一种破坏性攻击,最早的拒绝服务攻击是"电子邮件炸弹",当用户
受到它的攻击后,用户就会在很短的时间内收到大量的电子邮件,这样使得用户系
统的正常业务不能开展,系统功能丧失,严重时会使系统关机、网络瘫痪。"信息炸
弹"的攻击更具威慑力,信息炸弹一旦爆炸,就会引起网络系统死机。
信息系统安全的脆弱性
操作系统安全的脆弱性表现
(1) 操作系统的体系结构造成操作系统本身是不安全的,这是计算机系统不安
全的根本原因。操作系统的程序是可以动态连接的,包括I/O的驱动程序与系统服
务,都可以用打补丁的方式进行动态连接。许多UNIX操作系统的版本升级开发都是
采用打补丁的方式进行的。这种方法厂商可以使用,"黑客"也可以使用,而且这种
动态连接也是计算机病毒产生的好环境。一个靠渗透与打补丁开发的操作系统是
不可能从根本上解决安全问题的。但操作系统支持程序动态连接与数据动态交换
又是现代系统集成和系统扩展必备的功能,因此这是相互矛盾的。
(2)操作系统支持在网络上传输文件,包括可以执行的文件映象,即在网络上加
载程序。
(3)操作系统不安全的另一原因在于它可以创建进程,甚至支持在网络的节点
上进行远程进程的创建与激活,更重要的是被创建的进程可以继承创建进程的权力
。这一点与上一点(可在网络上加载程序)结合起来就构成了可以在远端服务器上
安装"间谍"软件的条件。若再加把这种间谍软件以打补丁的方式"打"在一个合法
的用户上,尤其"打"在一个特权用户上,间谍软件就可以做到系统进程与作业的监
视程序都监测不到它的存在。
(4)操作系统通常都提供daemon软件,这种软件实质上是一些系统进程,它们总
在等待一些条件的出现,一旦有满足要求的条件出现,程序便继续运行下去。这样
的软件都是"黑客"可以利用的。这里应该说明的是:关键不在于有没有daemon,而
在于这种daemon在 UN IX以及Windows NT操作系统上具有与操作系统核心层软件
同等的权力。
(5)操作系统提供远程过程调用(RPC)服务。
(6)操作系统提供Debug与Wizard。许多研制系统软件的人员,他们的基本技能
就是Patching加上系统debug。具备了这两样技术,他们就有条件从事"黑客"可以
从事的所有事情。
(7)操作系统安排的无口令入口是为系统开发人员提供的便捷入口,但它也是
"黑客"的通道。另外,操作系统还有隐蔽信道。
计算机网络安全的脆弱性
Internet/Intranet使用的TCP/IP协议以及FTP、E-mail、RPC、NFS等都包含
许多不安全的因素,存在着许多漏洞。许多人都知道,1988年一个叫Robert Morri
es的人,在VAX 机上用C语言编写了一个通过GUESS软件引用、根据搜索的用户名字
来猜测机器密码口令的程序,结果自1988年11月开始在网络上传播以来,几乎每年
都给Internet上的系统造成一亿美元的损失。
黑客通常采用Source Porting、Source Routing、SOCKs、TCP序列预测或者
使用远程过程访问(RPC)进行直接扫描等方法对防火墙进行攻击。
数据库管理系统安全的脆弱性
数据库管理系统的安全必须与操作系统的安全进行配套,例如DBMS的安全级别
是B2级,那么操作系统的安全级别也应当是B2级。由于数据库的安全管理同样是建
立在分级管理的概念之上的,因此DBMS的安全也是脆弱的。
缺少安全管理
世界上现有的信息系统绝大多数都缺少安全管理员,缺少信息系统安全管理的
技术规范,缺少定期的安全测试与检查,更缺少安全监控。我国许多企业的信息系
统已经使用了许多年,但计算机的系统管理员与用户的注册还是大多处于缺省状态
。
ISS在网络安全中的应用
Internet Security Scanner(ISS)是ISS公司1992年开发的软件,该软件的初
衷是作为一个共享软件产品。ISS可以帮助管理人员探测、记录与TCP/IP主机服务
相关的网络安全弱点并保护网络资源。该共享软件是同类产品中第一个产品,已经
为世人共知,并作为一个基础测试工具在世界范围内广为使用。
ISS公司与美国社会上的"黑客"有着广泛联系,"黑客" 向ISS公司表示他们有
了新的攻击网络与系统的方法,ISS公司则向美国政府汇报"黑客"的动向,同时ISS
公司根据与相关计算机公司的秘密协议将他们的研究情况通报有关公司,促使其系
统安全的改进。据了解,ISS公司还与其它系统安全公司有密切合作,这些公司包括
美国国家计算机安全协会、美国网络紧急事务响应小组以及以色列的RSA公司等。
ISS公司的技术人员主要有两部分,一部分是网络与系统的安全专家,它们的主
要工作是对计算机系统与网络进行安全测试,寻找系统的不安全因素;另一部分技
术人员进行提高系统安全性能的软件开发工作。ISS软件主要分三个部分。
Internet SCANNER
其中,Web Security ScannerTM 审核Web 服务器内部的系统安全设置、Web应
用程序以及程序内部CGI(Common Gateway Interface)脚本,从而确保网络系统安
全。它测试系统WEB服务器配置,评估文件系统底层的安全特性,寻找有问题的CGI
程序并试图解决这些问题。
Firewall scannerTM 通过审核基于"防火墙"底层的操作系统的安全特性来测
试"防火墙"和协议自身的安全漏洞。Proxy Server可运用于多种平台的服务程序
,例如使一个局域网内部的人员共享一个电话线、帐号和调制解调器,同时由于其
自身具有过滤功能,也可以被用作"防火墙"。
IntranetScannerTM从广泛的角度来检测系统网络上的安全漏洞,并且提出一
种可行的方法评定TCP/IP互连系统的安全设置。它可以"学习"一个网络,并且可以
系统地探测每一种网络设备的安全漏洞,提出适当的解决措施。
REAL SECURE
Realsecure TM是一种自动识别和实时响应的智能安全系统。它监视网络中的
活动事件,寻找有攻击企图和未经授权的行为。当RealsecureTM检测到一个攻击对
象时,它提供几种响应方式,包括记录攻击、自动切断信号并通知系统管理员。
RealsecureTM采用分布式体系使得网络系统管理员可以通过一个中心控制器
实时监控并响应整个企业网络。RealSecure由Engine和Console两部分组成,Cons
ole通过安装在各个网段上的Engine对各个网段进行统一控制,也就是说一个Cons
ole可以同时管理多个网段。每个Engine对经过本网段的数据包进行实时监控和分
析,一旦发现某数据中含有非法的或有超越网络授权的操作行为,Engine就会立即
发一信息给Console。Console会立即对此作出响应,响应包括:
(1) 立即切断非法操作连接;
(2) 发送E-mail给网络管理员和负责人;
(3) 监视并记录非法操作过程,包括该入侵者的登录用户名、IP地址、登录日
期、时间等信息;
(4) 可以将整个记录过程进行回放;
(5) 可以运行用户预先指定程序。
SYSTEM SECURITY SCANNER
System security scannerTM 监视主机系统的安全描述文件。它测定系统的
文件存取权限、文件属性、网络协议配置、帐号设置、程序可靠性以及一些最终
用户涉及到的安全问题,如口令容易被猜到或不限制登录次数等,同时它也会寻找
到一些黑客曾经潜入系统内部的痕迹。
ISS公司的软件产品面向网络TCP/IP与操作系统的安全测试与监视,它可以测
试如下的操作系统环境下的网络:IBM AIX、 DEC UNIX、HP UX、 SUN Solaris、
SGI IRIX、POSIXLINUX、 Microsoft Windows NT。其测试软件的运行环境是LIN
UX与Windows NT。图1 可适应性
安全策略的安全循环图
可适应性安全管理模型
因为网络是动态的,所以安全策略要适应动态过程。这里把"适应"定义为"一
种适应的行为和过程。最终结果是保证安全策略调整到与环境条件相匹配"。 这
个定义说明了这种安全策略不是一种保证风险减到每天、每分钟的安全选择。该
过程和安全措施只是提供了必要的严密性、可描述性和文档,在最初的实现中只给
出要求的结构,在实现过程中再持续不断地减弱危险。这种可适应性安全管理模型
可概括为:
网络安全 = 安全策略 + 策略实施 + 实时监控 +实时响应
该方法具体地说,其组成部分应能达到以下要求。
攻击分析和响应
攻击分析和响应是实时监控行为,它识别攻击特征和其它包括病毒、侦探行为
以及未经授权修改系统存取控制机制的可疑行为。响应的范围从简单地通知安全
管理员到重新配置己经识别的漏洞或通信路径。
误操作分析和响应
误操作分析和响应是对内部网络资源误操作实时监控。误操作通常不会影响
操作性能,但却可能违反企业的有关规定而使用企业的某些资源,如利用企业网上
Internet看黄色小说。自动的响应行为有拒绝存取、发送警告消息、给经理发送
电子邮件等等。
漏洞分析和响应
漏洞分析和响应是软件定期自动地扫描网络、找出安全策略没有涵盖的漏洞
,包括自动检测出相关规划与管理的漏洞,然后作出一系列用户自定义的响应,如自
动更正、发送电子邮件和警告通知。
配置分析和响应
该分析指软件定期自动扫描配置参数。
漏洞形势分析和响应
软件自动分析有威胁的行为和漏洞状态。该行为已超出其基本检测和响应能
力,它需要分析大量参数如资产价值、潜在风险和漏洞状态。为响应动态漏洞情况
,该分析支持实时修改,如拒绝使用、欺骗、迷惑等。
认证和趋势分析
认证和趋势分析指自动分析威胁行为、漏洞以及其发展趋势。该分析输出数
据包括历史数据,为数据编程方法和资源分配提供依据。
总结
可适应安全管理模型及其相关技术基本上能满足企业对安全的要求,尽管达到
0%的风险是不可能的,但可适应过程和机制能达到和保持100%的安全解决方案。它
能够满足:
1.保证网络管理员不必担心整个网络的可见的弱点;
2.保证所有的系统与组织策略一致的安全方式配置;
3.保证所有可能的攻击能被检测、监控并及时作出适当的响应;
4.提供实时监控,识别攻击存取路由;
5.提供及时的安全报警;
6.提供准确的网络安全审核和趋势分析数据,支持安全程序的计划和评估。
--
※ 来源:．月光软件站 http://www.moon-soft.com．[FROM: 61.153.1.242]
|
|