[专家们公认的20个最危险的安全漏洞

口扫描和漏洞扫描。在分析结果 时，请记住以下原则：你的系统应该提供尽可能少的服务，

并安

装为提供这些服务所需的最少的软件包。

每一个额外的软件或服 务都为攻击者提供了一个攻击手

段，这主要是由于系统管理员 不会为他们不经常使用的软件打补丁。

G1.5

怎样防范：

卸载不必要的软件，

关掉不需要的服务和额外的端口。

这会是一个枯燥而且耗费时间的工作。

正

< br>是由于这个原因，许多大型组织都为他们使用的所有操作系统和应用软件开发了标准安装指南。

这些指南包括了为使系统有效运作所需的最少的系统特性的安装。

Internet

安全中心

(CIS)

根据多个国家的

170

个组织（

/

）的知识和

经验 ，针对

Solaris

和

Window s 2000

开发了一套公认的最小安全配置基准，针对其他操作系统

< br>的

配置基准和测试工具还在开发中。

< br>CIS

工具可以测试安全性能，分区比较系统安全状态。

CIS

指

南

可用来提高大多数操作系统的安全性能。

G2

–

没有口令或使用弱口令的帐号

G2.1

描述：

< br>大多数系统都把口令作为第一层和唯一的防御线。用户的

ID

是很容易获得的，而且大多数公司

都使用拨号的方法绕过 防火墙。因此，如果攻击者能够确定一个帐号名和密码，他（或她）就能

够进入网络。

易猜的口令或缺省口令是一个很严重的问题，

< br>但一个更严重的问题是有的帐号根本

没有口令。实际上 ，所有使用弱口令，缺省口令和没有口令的帐号都应从你的系统中清除。

另外，

很多系统有内置的或缺省的帐 号，

这些帐号在软件的安装过程中通常口令是不变的。

攻击

者通常查找这些帐号。因此，所有内置的或缺省的帐号都应从系统 中移出。

G2.2

受影响的系统

所有通过用户

ID

和口令进行认证的操作系统或应用 程序。

G2.3 CVE entries:

（注意：以下列表并不完整，只是部分样本）

CVE-1999-0291, CAN-1999-0501, CAN-1999-0502, CAN-1999-0503,

CAN-1999-0505, CAN-1999-0506, CAN-1999-0507, CAN-1999-0508,

CAN-1999-0516, CAN-1999-0517, CAN-1999-0518, CAN-1999-0519

G2.4

怎样判断你是易受攻击的：

为判断你 是否易受攻击，你需要了解你的系统上都有哪些帐号。应进行以下操作：

1

．审计你系统上的帐号，建立一个使用者列表，别忘了检查例如路由，连接

Internet

的打印机、

复印机和打印机控制器等系统的口令。

2

．制定管理制度，规范增加帐号的操作，及时移走不再使用的帐号。

3

．经常检查确认有没有增加新的帐号，不使用的帐 号是否已被删除。

4

．对所有的帐号 运行口令破解工具，以寻找弱口令或没有口令的帐号。（在你这么做之前，先

确定你有权利这么做）

3

–

Microsoft Windows NT and Microsoft Windows 2000, /

oft Personal Security Advisor,

–

Microsoft Windows NT and Microsoft Windows

2000, /security/mpsa

the Ripper

–

Unix, /john

a

–

Novell, /pandora

5.

当雇员或承包人离开公司时，或当帐号不再需要时，应有严格的制度保证删除这 些帐号。

G2.5

怎样防范：

应采取两个步骤以消除口令漏洞。

第一步，

所有没有口令的帐 号应被删除或加上一个帐号，

所有

弱 口令应被加强。

可悲的是，

当用户被要求改变或加强他们的弱口 令时，

他们经常又选择一个容

易猜测 的。这就导致了第二步，用户的口令在被修改后，

应加以确认。

可以用程序来拒绝任何不

符合你安全策略的口令，可在如下地址获得常用的程序：

UNIX: Npasswd, /cc/unix/software/npasswd

2 .For Windows NT: Passfilt, /support/kb

/articles/Q161/9/

这些程序保证了修改口令时，口令的长度和组成使得破解非常困难。

应指出，很多< /p>

UNIX

系统有

保证口令强壮性的功能，另外还有很多其他软件包也可以达到这个目的。

很多组织使用口令控制程序，

以保证 口令经常更改，

而且旧口令不可重用。

如果使用口令有效期，< /p>

请确认用户在口令过期之前收到警告并有足够的时间改变口令。 当面对以下信息时，

password has expired and must be changed,

用户往往会选择一个坏口令。

Microsoft Windows 2000

在

Group Policy

中包括口令限制选项。系统管理员可以配置网络，使

口令有最 小长度，最小和最大有效期等限制。限制口令的最小有效期是很重要的，如果没有它，

用户在被要求修改口令后会很快又把口令改回去。

限制口令的最 小有效期使得用户不得不记住现

在的口令，而不太会把口令改回去。

另外一个很重要的手段是使用户了解，

为什么以及怎样去选择强 壮的口令。

选择口令最常见的建

议是 选取一首歌中的一个短语或一句话，

将这些短语的非数字单词的第一或第二个字母，

加上一

些数字来组成口令，在口令中加入 一些标点符号将使口令更难破解。

另一个避免没有口令或弱口令的方法是采用其他认证手段，例如口令产生令牌

（

password-generating tokens< /p>

）或生物尺度（

biometrics

） 。如果你没有办法解决弱口令的问

题，

尝试一下其它认证手段。

G3

–

没有备份或者备份不完整

G3.1

描述：

< br>当事故发生时

（这在每一个组织均有可能发生）

，

从事故中恢复要求及时的备份和可靠的数据存

储方式。

一些组织的确每天做备份，

但是不去确认备份是否有 效。

其他一些组织建立了备份的策

略 和步骤，

但却没有建立存储的策略和步骤。

这些错误往往在黑客 进入系统并已经破坏数据后才

被发现。

第二个问题是对备份介质的物理保护不够。

备份保存了和服务器上同样敏感的信息，

它们应以相

同的方式加以对待。

G3.2

受影响的系统

任何运行紧要任务的系统

G3.3 CVE entries:

N/A

G3.4

怎样判断你是易受攻击的：

应列出一份紧要系统的列表。

然后对每一个系统可能遇到的风险 和威胁进行分析。

应根据这些重

要的 服务器制定备份方式和策略。一旦确认了这些重要系统，应明确以下重要问题：

1

．

2

．

3

．

4

．

5

．

6

．

7

．

G3.5

怎样防范：

应当每天做备份。

在大多数组织中，

最低的要求是一周 做一次完整的备份，

之后每天再做增量备

份。

至少一个月要对备份介质做一次测试，

以保证数据确实 被正确的保存了下来。

这是最低要求。

很多公司每天都做完整的备份，

并且一天就要做多次备份。

备 份的终极目的是一个完全冗余的网

络，

并且具备自动防故障能力

---

实时金融和电子商务系统，< /p>

重要设施的控制系统和一些国防部门

的系统都需要这样一个备份方案。

G4

–

大量打开的端口

系统是否有备份？

备份间隔是可接受的吗？

系统是按规定进行备份的吗？

是否确认备份介质正确的保存了数据？

备份介质是否在室内得到了正确的保护？

是否在另一处还有操作系统和存储设施的备份？（包括必要的

license key

）

存储过程是否被测试及确认？

G4.1

描述

合法的用户和攻击者都通过开放端口连接系统。端口开得越多，进入系统的途径就越多。因此，

为使系统正常运作，保持尽量少的端口是十分必要的。所有无用的端口都应 被关闭。

G4.2

受影响的系统：

大多数操作系统。

G4.3 CVE entries:

（注意：以下列表并不完整，只是部分样本）

CVE-1999-0189, CVE-1999-0288, CVE-1999-0351, CVE-1999-0416, CVE-1999-0675,

CVE-1999-0772, CVE-1999-0903, CVE-2000-0070, CVE-2000-0179, CVE-2000-0339,

CVE-2000-0453, CVE-2000-0532, CVE-2000-0558, CVE-2000-0783, CVE-2000-0983,

G4.4

怎样判断你是易受攻击的：

netstat

命令可以在本地运行以判断哪些端口是打开的< /p>

,

但更保险的方法是对你的系统进行外部

的端口扫描

.

这会给你列出所有实际在 侦听的端口号

.

如果二者结果不同

,< /p>

你应该研究一下是什么

原因