如何選擇掃描工具和掃描安全漏洞？
對(duì)于安全漏洞管理藝術(shù)的新手來(lái)說(shuō)，大量的掃描器和其它工具讓人不知所措。哪些工具最有效？哪些工具價(jià)格最適中？
在上個(gè)月舉行的“SANS波士頓2010”會(huì)議的培訓(xùn)會(huì)議中，SANS Institute（系統(tǒng)網(wǎng)絡(luò)安全學(xué)會(huì)）總裁Stephen Northcutt介紹了一些基本工具以及這些工具的功能。
如何實(shí)施安全漏洞掃描
首先，Northcutt向聽眾介紹了這些掃描器的基本功能以及如何運(yùn)行這些掃描器。在開始之前，他建議安全從業(yè)人員注意下列檢查清單：
◆首先，在運(yùn)行掃描之前要得到高層領(lǐng)導(dǎo)的批準(zhǔn)。你要解釋你將要做什么，在黑客攻擊之前，掃描對(duì)于發(fā)現(xiàn)公司的安全漏洞是非常重要的。
◆提前發(fā)出通知，公布你的電話號(hào)碼，并且記住人們討厭這種突如其來(lái)的掃描。
◆點(diǎn)擊你的目標(biāo)選擇，選擇一個(gè)要跟蹤的系統(tǒng)并且告訴它擴(kuò)展子網(wǎng)。從那里開始，保持這個(gè)窗口不要擴(kuò)大，每次僅掃描一個(gè)子網(wǎng)。采取這種做法，你就不會(huì)阻塞系統(tǒng)，而且同時(shí)發(fā)現(xiàn)多個(gè)安全漏洞會(huì)讓你應(yīng)接不暇。小批量地發(fā)現(xiàn)和修復(fù)安全漏洞避免心理壓力過(guò)大。
◆在進(jìn)行一次大量掃描的時(shí)候，不要從外部實(shí)施拒絕服務(wù)攻擊掃描。
◆僅當(dāng)你在辦公室的時(shí)候或者在電話旁邊的時(shí)候?qū)嵤呙琛?/P>
◆首先修復(fù)紅色優(yōu)先級(jí)的問題。
Northcutt說(shuō)，還要記住，你只能掃描允許你實(shí)施掃描的網(wǎng)絡(luò)。超出允許的范圍和擴(kuò)大掃描的領(lǐng)域很可能會(huì)啟動(dòng)其他人的入侵檢測(cè)系統(tǒng)和讓你陷入麻煩之中。
Northcutt說(shuō)，在選擇掃描器的時(shí)候，你必須考慮如下事情：
◆產(chǎn)品是如何授權(quán)的？
◆產(chǎn)品是否有足夠的靈活性承受公司計(jì)劃中的增長(zhǎng)？
◆產(chǎn)品的兼容性如何？它支持給安全漏洞編目的CVE（通用安全漏洞與披露）標(biāo)準(zhǔn)嗎？
◆你能輕松地對(duì)比今天的掃描結(jié)果和四個(gè)星期前的掃描結(jié)果嗎？這種對(duì)比是不是一個(gè)完全人工操作的過(guò)程？
◆你的經(jīng)理喜歡這種報(bào)告輸出嗎？
欺騙端口掃描器Hping
Northcutt接下來(lái)向?qū)W生們介紹了Hping 3.0版的工作原理。他解釋說(shuō)，這個(gè)網(wǎng)絡(luò)分析工具比更知名的網(wǎng)絡(luò)工具Nmap更隱蔽。Hping能夠制作一種特殊的數(shù)據(jù)包，里面包含定制的目的端口以及源端口、窗口尺寸、身份識(shí)別字段、TCP標(biāo)識(shí)等等。
同Nmap一樣，Hping最有價(jià)值的能力之一是假冒一個(gè)第三方的IP地址，讓這個(gè)掃描的真正來(lái)源很難被檢測(cè)到。但是，與Nmap不同, Hping首先尋找一個(gè)在互聯(lián)網(wǎng)上閑置的沉默的主機(jī)。在任意指定的時(shí)間內(nèi)，許多互聯(lián)網(wǎng)主機(jī)是開機(jī)運(yùn)行的，但是沒有進(jìn)行任何通訊。沒有發(fā)送和接收任何數(shù)據(jù)包。Northcutt說(shuō)，雖然無(wú)人看管，沉默的主機(jī)仍然在網(wǎng)絡(luò)上傾聽。如果客氣地提問，它會(huì)回答。通過(guò)利用多個(gè)沉默的主機(jī)，攻擊者能夠執(zhí)行一個(gè)很難發(fā)現(xiàn)的隱蔽的掃描。
p0f：被動(dòng)操作系統(tǒng)檢測(cè)
另一個(gè)值得了解的工具是p0f。這個(gè)工具被動(dòng)地監(jiān)視網(wǎng)絡(luò)通訊，能夠檢查TCP/IP棧的具體部分。它能非常準(zhǔn)確地預(yù)測(cè)發(fā)送這個(gè)通訊的網(wǎng)絡(luò)的操作系統(tǒng)。這個(gè)工具對(duì)于觀察不會(huì)改變其TCP/IP棧實(shí)施的實(shí)施工具是最有效的。這個(gè)工具還能識(shí)別那些為了隱藏另一個(gè)操作系統(tǒng)而改變其TCP/IP指紋的系統(tǒng)。
Nmap和Nessus
目前最常用的兩個(gè)掃描器是Nmap和Nessus。對(duì)于不熟悉這兩個(gè)工具的人，Northcutt介紹了如下情況：
◆Nmap是一個(gè)端口掃描器，具有快速、高水平、開放端口和操作系統(tǒng)指紋鑒定等特點(diǎn)。
◆Nessus是世界上最流行的安全漏洞掃描器，不過(guò)，美國(guó)國(guó)防部使用eEye。這兩個(gè)掃描器都提供差不多的結(jié)果。
Northcutt警告稱，安全漏洞掃描器工作的速度較慢并且能夠引起一些誤報(bào)。用戶應(yīng)該理解這個(gè)事情并且注意不要因?yàn)閽呙杵鞣祷氐膱?bào)告指出有大量的安全漏洞而著急。管理員查看掃描結(jié)果的任務(wù)是要證實(shí)哪些安全漏洞是真正存在的以及這些安全漏洞的嚴(yán)重性如何，如果黑客利用這些安全漏洞會(huì)給軟件造成什么影響以及可能造成什么破壞。這正是攻擊代碼工具要利用的地方。
【編輯推薦】
