【文章內(nèi)容簡介】 通過。攻擊者首先使受害者可信主機(jī)不工作，假裝該主機(jī)的 IP地址，然后使用源路由控制路由到攻擊者主機(jī)。受害者的目標(biāo)主機(jī)認(rèn)為分組來自受害者的可信主機(jī)。源路由攻擊的保護(hù)措施包括網(wǎng)絡(luò)防火墻和路由屏幕。路由器和防火墻能攔阻路由分組進(jìn)入企業(yè)網(wǎng)絡(luò)。 9. 內(nèi)部威脅 內(nèi)部威脅包括前面提到的由內(nèi)部人員作惡或犯罪的威脅。大多數(shù)計(jì)算機(jī)安全統(tǒng)計(jì)表明， 70%~80%的計(jì)算機(jī)欺騙來自內(nèi)部。這些內(nèi)部人員通常有反對公司的動(dòng)機(jī)，能對計(jì)算機(jī)和網(wǎng)絡(luò)進(jìn)行直接物理訪問，以及熟悉資源訪問控制。在應(yīng)用層的主要威脅是被授權(quán)的人員濫用和誤用授權(quán)。網(wǎng)絡(luò)層的威脅是由于能對 LAN進(jìn)行物理訪問，使內(nèi)部人員能見到通過網(wǎng)絡(luò)的敏感數(shù)據(jù)。 針對內(nèi)部威脅的防護(hù)應(yīng)運(yùn)用一些基本的安全概念：責(zé)任分開、最小特權(quán)、對個(gè)體的可審性。責(zé)任分開是將關(guān)鍵功能分成若干步，由不同的個(gè)體承擔(dān)，如財(cái)務(wù)處理的批準(zhǔn)、審計(jì)、分接頭布線的批準(zhǔn)等。最小特權(quán)原則是限制用戶訪問的資源，只限于工作必需的資源。這些資源的訪問模式可以包括文件訪問（讀、寫、執(zhí)行、刪除）或處理能力（系統(tǒng)上生成或刪除處理進(jìn)程的能力）。個(gè)體的可審性是保持各個(gè)體對其行為負(fù)責(zé)?？蓪徯酝ǔＪ怯上到y(tǒng)的用戶標(biāo)識和鑒別以及跟蹤用戶在系統(tǒng)中的行為來完成。 當(dāng)前安全體系結(jié)構(gòu)的能力水平應(yīng)從安全成熟度模型的 3個(gè)方面進(jìn)行評估，即對計(jì)劃、布局和配置、運(yùn)行過程的評估。 安全評估方法的第 1步是發(fā)現(xiàn)階段，所有有關(guān)安全體系結(jié)構(gòu)適用的文本都必須檢查，包括安全策略、標(biāo)準(zhǔn)、指南，信息等級分類和訪問控制計(jì)劃，以及應(yīng)用安全需求。全部基礎(chǔ)設(shè)施安全設(shè)計(jì)也須檢查，包括網(wǎng)絡(luò)劃分設(shè)計(jì)，防火墻規(guī)則集，入侵檢測配置；平臺(tái)加固標(biāo)準(zhǔn)、網(wǎng)絡(luò)和應(yīng)用服務(wù)器配置。 安全評估方法 安全評估過程 評估的第 2步是人工檢查階段，將文本描述的體系結(jié)構(gòu)與實(shí)際的結(jié)構(gòu)進(jìn)行比較，找出其差別?？梢圆捎檬止さ姆椒ǎ部刹捎米詣?dòng)的方法。使用網(wǎng)絡(luò)和平臺(tái)發(fā)現(xiàn)工具，在網(wǎng)絡(luò)內(nèi)部執(zhí)行，可表示出所有的網(wǎng)絡(luò)通路以及主機(jī)操作系統(tǒng)類型和版本號。 NetSleuth工具是一個(gè) IP可達(dá)性分析器，能提供到網(wǎng)絡(luò)端口級的情況。 QUESO和 NMAP這些工具具有對主機(jī)全部端口掃描的能力，并能識別設(shè)備的類型和軟件版本。 評估的第 3步是漏洞測試階段。這是一個(gè)系統(tǒng)的檢查，以決定安全方法的適用、標(biāo)識安全的差別、評價(jià)現(xiàn)有的和計(jì)劃的保護(hù)措施的有效性。漏洞測試階段又可分成 3步。 第 1步包括網(wǎng)絡(luò)、平臺(tái)和應(yīng)用漏洞測試。網(wǎng)絡(luò)漏洞測試的目標(biāo)是從攻擊者的角度檢查系統(tǒng)?？梢詮囊粋€(gè)組織的 Intra內(nèi)，也可以從 Inter的外部，或者一個(gè) Extra合作伙伴進(jìn)入組織。用于網(wǎng)絡(luò)漏洞測試的工具通常是多種商業(yè)化的工具（例如 ISS掃描器、Cisco的 Netsonar）以及開放給公共使用的工具（例如 Nessus和 NMAP）。這些測試工具都以相同的方式工作。首先對給出的網(wǎng)絡(luò)組件（例如防火墻、路由器、 VPN網(wǎng)關(guān)、平臺(tái)）的所有網(wǎng)絡(luò)端口進(jìn)行掃描。一旦檢測到一個(gè)開啟的端口，就使用已知的各種方法攻擊這端口（例如在 Microsoft 、 Kerberos、SSHdaemon和 Sun Solstice AdminSuite Daemon的緩沖器溢出）。大部分商業(yè)產(chǎn)品能生成一個(gè)詳細(xì)的報(bào)告，根據(jù)攻擊產(chǎn)生的危害，按風(fēng)險(xiǎn)級別列出分類的漏洞。 漏洞測試的第 2步是平臺(tái)掃描，又稱系統(tǒng)掃描。平臺(tái)掃描驗(yàn)證系統(tǒng)配置是否遵守給定的安全策略。此外，它還檢測任何安全漏洞和配置錯(cuò)誤（例如不安全的文件保護(hù) —— 注冊和配置目錄）以及可利用的網(wǎng)絡(luò)服務(wù)（例如 HTTP、 FTP、 DNS、 SMTP等）。一旦平臺(tái)的安全加固已經(jīng)構(gòu)建，系統(tǒng)掃描將構(gòu)成基礎(chǔ)，它定時(shí)地檢測任何重要的變化（例如主頁更換、Web站點(diǎn)受損）。 漏洞測試的第 3步是應(yīng)用掃描。應(yīng)用掃描工具不像網(wǎng)絡(luò)或平臺(tái)工具那樣是自動(dòng)的，因此，它是一個(gè)手動(dòng)的處理過程。其理念是模仿攻擊者成為授權(quán)用戶是如何誤用這應(yīng)用。 安全評估的最后 1步是認(rèn)證安全體系結(jié)構(gòu)的處理過程部分。包括自動(dòng)的報(bào)警設(shè)施以及負(fù)責(zé)配置所有安全體系結(jié)構(gòu)組件（如防火墻、 IDS、 VPN等）的人。安全控制出現(xiàn)的問題最多的是人為的差錯(cuò)。例如，引起防火墻不能安全運(yùn)行的主要原因是配置的錯(cuò)誤以及不好的變更管理過程，如下面一些情況： ①有一個(gè)防火墻管理員在深夜接到一個(gè)緊急電話，聲稱由于網(wǎng)絡(luò)的問題使應(yīng)用出錯(cuò)。②管理員取消管理集對分組的限制，觀察是否是防火墻阻斷了這個(gè)分組。③應(yīng)用開始正常工作，管理員回去睡覺，但忘了防火墻管理集是打開著的。④之后企業(yè)網(wǎng)絡(luò)被入侵，因?yàn)榉阑饓Σ⒉粓?zhí)行任何訪問控制。 在漏洞分析測試期間，安全體系結(jié)構(gòu)監(jiān)控和報(bào)警設(shè)施應(yīng)在最忙的狀態(tài)。測試可以事先通知，允許凈化安全日志、分配合適的磁盤空間。測試也可以事先不通知，可以測量安全支持人員的反應(yīng)時(shí)間。測量Inter服務(wù)提供者的反應(yīng)時(shí)間是有用的，特別是他們負(fù)責(zé)管理 Inter防火墻的情況。 將上面 5個(gè)漏洞分析測試階段的結(jié)果匯總、分析，可得出總的風(fēng)險(xiǎn)分析文本，從 5個(gè)階段中產(chǎn)生的信息是覆蓋的。很多自動(dòng)工具廠商有內(nèi)置的報(bào)告產(chǎn)生器，根據(jù)可能引起危害的漏洞進(jìn)行分類。風(fēng)險(xiǎn)分析信息必須應(yīng)用到經(jīng)營業(yè)務(wù)，轉(zhuǎn)而成為經(jīng)營業(yè)務(wù)影響的文本。很多安全評估報(bào)告沒有將風(fēng)險(xiǎn)分析反饋到對經(jīng)營業(yè)務(wù)的影響，安全評估的價(jià)值就很小。圖 從安全成熟度模型 3個(gè)方面的安全評估階段。 圖 安全評估階段 由于 Inter協(xié)議 TCP/IP的實(shí)施沒有任何內(nèi)置的安全機(jī)制，因此大部分基于網(wǎng)絡(luò)的應(yīng)用也是不安全的。網(wǎng)絡(luò)安全評估的目標(biāo)是保證所有可能的網(wǎng)絡(luò)安全漏洞是關(guān)閉的。多數(shù)網(wǎng)絡(luò)安全評估是在公共訪問的機(jī)器上，從 Inter上的一個(gè) IP地址來執(zhí)行的，諸如 Email服務(wù)器、域名服務(wù)器（ DNS）、 Web服務(wù)器、FTP和 VPN網(wǎng)關(guān)等。另一種不同的網(wǎng)絡(luò)評估實(shí)施是給出網(wǎng)絡(luò)拓?fù)?、防火墻?guī)則集和公共可用的服務(wù)器及其類型的清單。 網(wǎng)絡(luò)安全評估 網(wǎng)絡(luò)評估的第 1步是了解網(wǎng)絡(luò)的拓?fù)?。假如防火墻在阻斷跟蹤路由分組，這就比較復(fù)雜，因?yàn)楦櫬酚善魇怯脕砝L制網(wǎng)絡(luò)拓?fù)涞摹? 第 2步是獲取公共訪問機(jī)器的名字和 IP地址，這是比較容易完成的。只要使用 DNS并在 ARIN（ American Registry for Inter Number）試注冊所有的公共地址。 最后 1步是對全部可達(dá)主機(jī)做端口掃描的處理。端口是用于 TCP/IP和 UDP網(wǎng)絡(luò)中將一個(gè)端口標(biāo)識到一個(gè)邏輯連接的術(shù)語。端口號標(biāo)識端口的類型，例如 80號端口專用于 HTTP通信。假如給定端口有響應(yīng)，那么將測試所有已知的漏洞。表 202列出了各種類型的端口掃描技術(shù)。 (見書中表 202) 平臺(tái)安全評估的目的是認(rèn)證平臺(tái)的配置（操作系統(tǒng)對已知漏洞不易受損、文件保護(hù)及配置文件有適當(dāng)?shù)谋Ｗo(hù)）。認(rèn)證的惟一方法是在平臺(tái)自身上執(zhí)行一個(gè)程序。有時(shí)該程序稱為代理，因?yàn)榧械墓芾沓绦蛴纱碎_始。假如平臺(tái)已經(jīng)適當(dāng)加固，那么有一個(gè)基準(zhǔn)配置。 評估的第 1部分是認(rèn)證基準(zhǔn)配置、操作系統(tǒng)、網(wǎng)絡(luò)服務(wù)（ FTP、 rlogin、 tel、 SSH等）沒有變更。黑客首先是將這些文件替換成自己的版本。這些版本通常是記錄管理員的口令，并轉(zhuǎn)發(fā)給 Inter上的攻擊者。假如任何文件需打補(bǔ)丁或需要使用服務(wù)包，代理將通知管理員。 平臺(tái)安全估計(jì) 第 2部分測試是認(rèn)證管理員的口令，大部分機(jī)器不允許應(yīng)用用戶登錄到平臺(tái)，對應(yīng)用的用戶鑒別是在平臺(tái)上運(yùn)行的，而不是平臺(tái)本身。 此外，還有測試本地口令的強(qiáng)度，如口令長度、口令組成、字典攻擊等。 最后跟蹤審計(jì)子系統(tǒng)，在黑客作案前就能跟蹤其行跡。 數(shù)據(jù)庫的安全評估也是必須的，這部分內(nèi)容不在本書敘述范圍內(nèi)。 應(yīng)用安全評估比使用像網(wǎng)絡(luò)和平臺(tái)掃描這些自動(dòng)工具而言，需要更多的技藝。黑客的目標(biāo)是得到系統(tǒng)對應(yīng)用平臺(tái)的訪問，強(qiáng)迫應(yīng)用執(zhí)行某些非授權(quán)用戶的行為。很多基于 Web應(yīng)用的開發(fā)者使用公共網(wǎng)關(guān)接口 (Common Gateway Interface,CGI)來分析表格，黑客能利用很多已知漏洞來訪問使用 CGI開發(fā)的 Web服務(wù)器平臺(tái)（例如放入“ ”這些額外的字符）。 應(yīng)用安全評估 低質(zhì)量編寫的應(yīng)用程序的最大風(fēng)險(xiǎn)是允許訪問執(zhí)行應(yīng)用程序的平臺(tái)。當(dāng)一個(gè)應(yīng)用損壞時(shí)，安全體系結(jié)構(gòu)必須將黑客包含進(jìn)平臺(tái)。一旦一臺(tái)在公共層的機(jī)器受損，就可用它來攻擊其他的機(jī)器。最通用的方法是在受損的機(jī)器上安裝一臺(tái)口令探測器。 根據(jù)計(jì)算機(jī)信息系統(tǒng)安全技術(shù)發(fā)展的要求，信息系統(tǒng)安全保護(hù)等級劃分和評估的基本準(zhǔn)則如下。 1. 可信計(jì)算機(jī)系統(tǒng)評估準(zhǔn)則 TCSEC（ Trusted Computer System Evaluation Criteria, 可信計(jì)算機(jī)系統(tǒng)評估準(zhǔn)則）是由美國國家計(jì)算機(jī)安全中心（ NCSC）于 1983年制定的計(jì)算機(jī)系統(tǒng)安全等級劃分的基本準(zhǔn)則，又稱桔皮書。 1987年NCSC又發(fā)布了紅皮書，即可信網(wǎng)絡(luò)指南（ Trusted Network Interpretation of the TCSEC, TNI） ,1991年又發(fā)布了可信數(shù)據(jù)庫指南（ Trusted Database Interpretation of the TCSEC, TDI）。 安全評估準(zhǔn)則 2. 信息技術(shù)安全評估準(zhǔn)則 ITSEC（ Information Technology Security Ev