[[359881]]

微信公眾號：計算機與網(wǎng)絡(luò)安全

ID：Computer-network

物聯(lián)網(wǎng)系統(tǒng)的安全威脅主要來自兩個方面：外部攻擊和內(nèi)部攻擊。其中，外部攻擊的目的是使物聯(lián)網(wǎng)系統(tǒng)的網(wǎng)絡(luò)訪問無法進行，如DDOS攻擊等;內(nèi)部攻擊的目的是破壞物聯(lián)網(wǎng)系統(tǒng)的正常運行，盜取物聯(lián)網(wǎng)的系統(tǒng)數(shù)據(jù)，如病毒、木馬等。

1、惡意攻擊的概念

網(wǎng)絡(luò)惡意攻擊通常是指利用系統(tǒng)存在的安全漏洞或弱點，通過非法手段獲得某個信息系統(tǒng)的機密信息的訪問權(quán)，以及對系統(tǒng)的部分或全部的控制權(quán)，并對系統(tǒng)安全構(gòu)成破壞或威脅。目前常見的攻擊手段有：用戶賬號及口令密碼破解;程序漏洞中可能造成的“堆棧溢出”;程序中設(shè)置的“后門”;通過各種手段設(shè)置的“木馬”;網(wǎng)絡(luò)訪問的偽造與劫持;各種程序設(shè)計和開發(fā)中存在的安全漏洞(如解碼漏洞)等。每一種攻擊在具體實施時針對不同的網(wǎng)絡(luò)服務(wù)又會有多種技術(shù)手段，并且隨著時間的推移和版本的更新，還會不斷產(chǎn)生新的攻擊手段，呈現(xiàn)出不斷變化演進的特性。

通過分析發(fā)現(xiàn)，除去通過破解賬號及口令密碼等少數(shù)手段外(可通過身份識別技術(shù)解決)，最終一個系統(tǒng)被“黑客”攻陷，其本質(zhì)原因是系統(tǒng)或軟件本身存在可被“黑客”利用的漏洞或缺陷，這些漏洞或缺陷可能是設(shè)計上的、工程上的，也可能是配置管理疏漏等原因造成的。解決該問題通常有兩條途徑：一是提高軟件安全設(shè)計與施工的開發(fā)力度，保障產(chǎn)品的安全，也就是目前有關(guān)可信計算所研究的內(nèi)容之一;二是用技術(shù)手段來保障產(chǎn)品的安全，如身份識別、加密、IDS/IPS、FIREWALL等。

人們更寄希望于用技術(shù)手段保障產(chǎn)品安全。一方面，造成程序安全性漏洞或缺陷的原因非常復雜，能力、方法、經(jīng)濟、時間甚至情感等諸多方面的不利因素都會影響軟件產(chǎn)品的安全質(zhì)量。另一方面，軟件產(chǎn)品安全效益的間接性，安全效果難以用一種通用的規(guī)范加以測量和約束，以及人們普遍存在的僥幸心理，使得軟件產(chǎn)品的開發(fā)在安全性與其他方面產(chǎn)生沖突時，安全性往往處于下風。雖然一直會有軟件工程規(guī)范來指導軟件的開發(fā)，但完全靠軟件產(chǎn)品本身的安全設(shè)計與施工似乎很難解決其安全問題。這也是諸多產(chǎn)品甚至是大公司的產(chǎn)品(號稱安全加強版的)不斷暴露安全缺陷的原因所在。

2、惡意攻擊的分類

惡意攻擊可分為內(nèi)部攻擊和外部攻擊。

(1)內(nèi)部攻擊

系統(tǒng)漏洞是導致內(nèi)部攻擊的主要原因。系統(tǒng)漏洞是由系統(tǒng)缺陷引起的，它是指應用軟件、操作系統(tǒng)或系統(tǒng)硬件在邏輯設(shè)計上無意造成的設(shè)計缺陷或錯誤。攻擊者一般會利用這些缺陷，在系統(tǒng)中植入木馬、病毒以攻擊或控制計算機，竊取信息，甚至破壞系統(tǒng)。系統(tǒng)漏洞是應用軟件和操作系統(tǒng)的固有特性，不可避免，因此，防護系統(tǒng)漏洞攻擊的最好辦法就是及時升級系統(tǒng)，針對漏洞升級漏洞補丁。

(2)外部攻擊

拒絕服務(wù)攻擊(Denial of Services，DoS)是指利用網(wǎng)絡(luò)協(xié)議的缺陷和系統(tǒng)資源的有限性實施攻擊，導致網(wǎng)絡(luò)帶寬和服務(wù)器資源耗盡，使服務(wù)器無法對外正常提供服務(wù)，進而實現(xiàn)破壞信息系統(tǒng)的可用性。常用的拒絕服務(wù)攻擊技術(shù)主要有TCP flood攻擊、Smurf攻擊和DDoS攻擊等。

① TCP flood攻擊：標準的TCP協(xié)議的連接過程需要3次握手以完成連接確認。起初由連接發(fā)起方發(fā)出SYN數(shù)據(jù)報到目標主機，請求建立TCP連接，等待目標主機確認。目標主機接收到請求的SYN數(shù)據(jù)報后，向請求方返回SYN+ACK響應數(shù)據(jù)報。連接發(fā)起方接收到目標主機返回的SYN+ACK數(shù)據(jù)報并確認目標主機愿意建立連接后，再向目標主機發(fā)送確認ACK數(shù)據(jù)報，目標主機收到ACK數(shù)據(jù)報后，TCP連接建立完成，進入 TCP通信狀態(tài)。一般來說，目標主機返回SYN+ACK數(shù)據(jù)報時需要在系統(tǒng)中保留一定的緩存區(qū)，準備進一步的數(shù)據(jù)通信并記錄本次連接信息，直到再次收到ACK數(shù)據(jù)報或超時為止。攻擊者利用協(xié)議本身的缺陷，通過向目標主機發(fā)送大量的SYN數(shù)據(jù)報，并忽略目標主機返回的SYN+ACK數(shù)據(jù)報，不向目標主機發(fā)送最終用于確認的ACK數(shù)據(jù)報，致使目標主機的TCP緩沖區(qū)被大量虛假連接信息占滿，無法對外提供正常的TCP服務(wù)，同時目標主機的CPU資源也會因不斷處理大量過時的TCP虛假連接請求而被耗盡。

② Smurf攻擊：ICMP用于IP主機、路由器之間傳遞控制信息，包括報告錯誤、交換受限狀態(tài)、主機不可達等狀態(tài)信息。ICMP允許將一個ICMP數(shù)據(jù)報發(fā)送到一個計算機或一個網(wǎng)絡(luò)，根據(jù)反饋的報文信息判斷目標計算機或網(wǎng)絡(luò)是否連通。攻擊者利用協(xié)議的功能，偽造大量的ICMP數(shù)據(jù)報，將數(shù)據(jù)報的目標私自設(shè)為一個網(wǎng)絡(luò)地址，并將數(shù)據(jù)報中的原發(fā)地址設(shè)置為被攻擊的目標計算機IP地址。這樣，被攻擊的目標計算機就會收到大量的ICMP數(shù)據(jù)報，目標網(wǎng)絡(luò)中包含的計算機數(shù)量越大，被攻擊的目標計算機接收到的ICMP響應數(shù)據(jù)報就越多，進而就會導致目標計算機的資源被耗盡，不能正常對外提供服務(wù)。由于ping命令是簡單網(wǎng)絡(luò)測試命令，采用的是ICMP，因此，連續(xù)大量地向某個計算機發(fā)送ping命令也會對目標計算機造成危脅。這種使用ping命令的ICMP攻擊也稱為“Ping of Death ”攻擊。要對這種攻擊進行防范，一種方法是在路由器上對ICMP數(shù)據(jù)報進行帶寬限制，將ICMP占用的帶寬限制在一定范圍內(nèi)，這樣即使有ICMP攻擊，其所能占用的網(wǎng)絡(luò)帶寬也會非常有限，對整個網(wǎng)絡(luò)的影響就不會太大;另一種方法是在主機上設(shè)置ICMP數(shù)據(jù)報的處理規(guī)則，如設(shè)定拒絕ICMP數(shù)據(jù)報。

③ DDoS(Distributed Denial of Service)攻擊：攻擊者為了進一步隱蔽自己的攻擊行為，提升攻擊效果，常常采用分布式的拒絕服務(wù)攻擊方式。DDoS攻擊是在DoS攻擊的基礎(chǔ)上演變出來的一種攻擊方式。攻擊者在進行DDoS攻擊前已經(jīng)通過其他入侵手段控制了互聯(lián)網(wǎng)上的大量計算機，這些計算機中，部分計算機被攻擊者安裝了攻擊控制程序，這些被安裝攻擊控制程序的計算機稱為主控計算機。攻擊者發(fā)起攻擊時，首先會向主控計算機發(fā)送攻擊指令，主控計算機再向攻擊者控制的其他計算機(稱為代理計算機或僵尸計算機)發(fā)送攻擊指令，大量代理計算機最后向目標主機發(fā)動攻擊。為了達到攻擊效果，DDoS攻擊者每次所使用的代理計算機的數(shù)量通常非常驚人，據(jù)估計能達到數(shù)十萬或數(shù)百萬個。在DDoS攻擊中，攻擊者幾乎都會使用多級主控計算機以及代理計算機進行攻擊，因此非常隱蔽，一般很難查找到攻擊的源頭。

此外，還有其他類型的拒絕服務(wù)攻擊，如釣魚攻擊、郵件炸彈攻擊、刷Script攻擊和LAND attack攻擊等。

釣魚攻擊是近些年出現(xiàn)的一種新型的攻擊方式。釣魚攻擊是指在網(wǎng)絡(luò)中通過偽裝成信譽良好的實體來獲得個人敏感信息(如用戶名、密碼和信用卡明細等)的犯罪詐騙過程。這些偽裝的實體通常會假冒為知名社交網(wǎng)站、拍賣網(wǎng)站、網(wǎng)絡(luò)銀行、電子支付網(wǎng)站或網(wǎng)絡(luò)管理者，以此來誘騙受害人點擊登錄或進行支付。網(wǎng)絡(luò)釣魚通常是通過E-mail或者即時通信工具進行的，它通常會引導用戶到界面外觀與真正網(wǎng)站別無二致的假冒網(wǎng)站上輸入個人數(shù)據(jù)。就算使用強式加密的SSL服務(wù)器認證，也很難偵測網(wǎng)站是否是仿冒的。由于網(wǎng)絡(luò)釣魚主要針對的是網(wǎng)絡(luò)銀行、電子商務(wù)網(wǎng)站以及電子支付網(wǎng)站，因此，常常會對用戶造成非常大的經(jīng)濟損失。目前針對網(wǎng)絡(luò)釣魚的防范措施主要有瀏覽器安全地址提醒、增加密碼注冊表和過濾網(wǎng)絡(luò)釣魚郵件等。

3、惡意軟件

惡意軟件是指在未明確提示用戶或未經(jīng)用戶許可的情況下，在用戶計算機或其他終端上安裝運行，并侵犯用戶合法權(quán)益的軟件。

計算機遭到惡意軟件入侵后，黑客會通過記錄擊鍵情況或監(jiān)控計算機活動，試圖獲取用戶個人信息的訪問權(quán)限。黑客也可能會在用戶不知情的情況下控制用戶的計算機，以訪問網(wǎng)站或執(zhí)行其他操作。惡意軟件主要包括特洛伊木馬、蠕蟲和病毒三大類。

特洛伊木馬：木馬是一種后門程序，黑客可以利用木馬盜取用戶的隱私信息，甚至遠程控制用戶的計算機。特洛伊木馬通常會通過電子郵件附件、軟件捆綁和網(wǎng)頁掛馬等方式向用戶傳播。

蠕蟲：蠕蟲是一種惡意程序，不必將自己注入其他程序就能傳播自己。蠕蟲可以通過網(wǎng)絡(luò)連接自動將其自身從一臺計算機發(fā)送到另一臺計算機，一般這個過程不需要人工干預。蠕蟲會執(zhí)行有害操作，如消耗網(wǎng)絡(luò)或本地系統(tǒng)資源，這樣可能會導致拒絕服務(wù)攻擊。有些蠕蟲無須用戶干預即可執(zhí)行和傳播，有些蠕蟲則須用戶直接執(zhí)行蠕蟲代碼才能傳播。

病毒：病毒是人為制造的、能夠進行自我復制的、對計算機資源具有破壞作用的一組程序或指令的集合，病毒的核心特征就是可以自我復制并具有傳染性。病毒會嘗試將其自身附加到宿主程序中，以便在計算機之間進行傳播。它可能會損害硬件、軟件或數(shù)據(jù)。宿主程序執(zhí)行時，病毒代碼也會隨之運行，并會感染新的宿主。

惡意軟件的特征介紹如下。

① 強制安裝：指在未明確提示用戶或未經(jīng)用戶許可的情況下，在用戶計算機或其他終端上安裝軟件的行為。

② 難以卸載：指未提供通用的卸載方式，或在不受其他軟件影響、未被人為破壞的情況下，卸載后仍能活動程序的行為。

③ 瀏覽器劫持：指未經(jīng)用戶許可，修改用戶瀏覽器或其他相關(guān)設(shè)置，迫使用戶訪問特定網(wǎng)站或?qū)е掠脩魺o法正常上網(wǎng)的行為。

④ 廣告彈出：指在未明確提示用戶或未經(jīng)用戶許可的情況下，利用安裝在用戶計算機或其他終端上的軟件彈出廣告的行為。

⑤ 惡意收集用戶信息：指未明確提示用戶或未經(jīng)用戶許可，惡意收集用戶信息的行為。

⑥ 惡意卸載：指未明確提示用戶或未經(jīng)用戶許可，誤導、欺騙用戶卸載非惡意軟件的行為。

⑦ 惡意捆綁：指在軟件中捆綁已被認定為惡意軟件的行為。

⑧ 其他侵犯用戶知情權(quán)、選擇權(quán)的惡意行為。

惡意軟件的攻擊主要表現(xiàn)在各種木馬和病毒軟件對信息系統(tǒng)的破壞。計算機病毒所造成的危害主要表現(xiàn)如下。

① 格式化磁盤，致使信息丟失。

② 刪除可執(zhí)行文件或者數(shù)據(jù)文件。

③ 破壞文件分配表，使系統(tǒng)無法讀取磁盤信息。

④ 修改或破壞文件中的數(shù)據(jù)。

⑤ 迅速自我復制以占用空間。

⑥ 影響內(nèi)容常駐程序的運行。

⑦ 在系統(tǒng)中產(chǎn)生新的文件。

⑧ 占用網(wǎng)絡(luò)帶寬，造成網(wǎng)絡(luò)堵塞。