口令[专家们公认的20个最危险的安全漏洞

专家们公认的20个最危险的安全漏洞

大概在一年前SANS研究所和国家基础设施保护中心NIPC发布了一份文档总结了10个最严重的网络安全漏洞。数以千计的组织利用这份文档来安排他们工作的先后次序以便能够首先关掉最危险的漏洞。2001年10月1 日发布的这份新的列表更新并扩展了以前的TOP10列表增加为20个最危险的安全漏洞并将其分为三大类通用漏洞Windows漏洞UNIX漏洞。

这份SANS/FBI最危险的20个漏洞列表是非常有价值的因为大多数通过Internet对计算机系统的入侵均可以追溯到这20个安全漏洞例如对五角大楼Solar Sunrise系统的攻击CodeRed和Nimda蠕虫的快速传播均可以归结为没有对这20个漏洞打补丁。

就是这少数几个软件漏洞成就了大多数的成功攻击是因为攻击者是机会主义者他们使用最简单和常用的方法。他们使用最有效和广泛传播的攻击工具去攻击众所周知的漏洞。他们寄希望于有关组织不解决这些漏洞。他们扫描网络上有任何漏洞的系统不做区分地加以攻击。过去系统管理员报告说他们没有弥补很多漏洞是因为他们不知道哪些漏洞是最危险的他们太忙了没有时间修补全部漏洞。一些扫描工具可以扫描300或500 甚至800个漏洞这就分散了系统管理员的注意力。系统管理员应该保障所有系统免于最常见的攻击。这份列表集合了大多数联邦安全机构安全软件开发商咨询公司大学中的安全组织CERT/CC和SANS研究所的首席安全专家的知识以简化以上问题。这份文件末尾可以找到参与成员列表。影响所有系统的漏洞(G)

G1—操作系统和应用软件的缺省安装

G1 1描述

大多数软件包括操作系统和应用程序都包括安装脚本或安装程序。这些安装程序的目的是尽快安装系统在尽量减少管理员工作的情况下激活尽可能多的功能。为实现这个目的脚本通常安装了大多数用户所不需要的组件。软件开发商的逻辑是最好先激活还不需要的功能而不是让用户在需要时再去安装额外的组件。这种方法尽管对用户很方便但却产生了很多危险的安全漏洞因为用户不会主动的给他们不使用的软件组件打补丁。而且很多用户根本不知道实际安装了什么很多系统中留有安全漏洞就是因为用户根本不知道安装了这些程序。

那些没有打补丁的服务为攻击者接管计算机铺平了道路。

对操作系统来说缺省安装几乎总是包括了额外的服务和相应的开放端口。攻击者通过这些端口侵入计算机系统。一般说来你打开的端口越少攻击者用来侵入你计算机的途径就越少。对于应用软件来说缺省安装包括了不必要的脚本范例尤其对于Web服务器来说更是如此攻击者利用这些脚本侵入系统并获取他们感兴趣的信息。绝大多数情况下被侵入系统的管理员根本不知道他们安装了这些脚本范例。这些脚本范例的安全问题是由于他们没有经历其他软件所必须的质量控制过程。事实上这些脚本的编写水平极为低劣经常忘记出错检查给缓冲区溢出类型的攻击提供了肥沃的土壤。

G1 2受影响的系统

大多数操作系统和应用程序。请注意几乎所有的第三方web服务器扩展都存在这样的样本文件它们中间的大多数是极度危险的。

G1 3 CVE表项

注意以下列表并不完整只是部分样本

CVE-1999-0415,CVE-1999-0678,CVE-1999-0707,CVE-1999-0722,CVE-1999-0746,CVE-1999-0954,CVE-2000-01 12,CVE-2000-0192,CVE-2000-0193,CVE-2000-0217,CVE-2000-0234,CVE-2000-0283,CVE-2000-061 1,CVE-2000-0639,CVE-2000-0672,CVE-2000-0762,CVE-2000-0868,CVE-2000-0869,CVE-2000-1059

G14怎样判断你是易受攻击的

如果你使用了安装程序去安装系统或服务软件而且没有移走不需要的服务或没有安装所有的安全补丁那么你的系统是易于被黑客攻击的。

即使你进行了附加的配置你也仍然是易受攻击的。你应该对任何连到Internet上的系统进行端口扫描和漏洞扫描。在分析结果时请记住以下原则你的系统应该提供尽可能少的服务并安装为提供这些服务所需的最少的软件包。每一个额外的软件或服务都为攻击者提供了一个攻击手段这主要是由于系统管理员不会为他们不经常使用的软件打补丁。

G1 5怎样防范

卸载不必要的软件关掉不需要的服务和额外的端口。这会是一个枯燥而且耗费时间的工作。正是由于这个原因许多大型组织都为他们使用的所有操作系统和应用软件开发了标准安装指南。这些指南包括了为使系统有效运作所需的最少的系统特性的安装。

Internet安全中心(CIS)根据多个国家的170个组织 http://www cisecurity org/ 的知识和经验针对Solaris和Windows 2000开发了一套公认的最小安全配置基准针对其他操作系统的

配置基准和测试工具还在开发中。CIS工具可以测试安全性能分区比较系统安全状态。CIS指南

可用来提高大多数操作系统的安全性能。

G2–没有口令或使用弱口令的帐号

G21描述

大多数系统都把口令作为第一层和唯一的防御线。用户的ID是很容易获得的而且大多数公司都使用拨号的方法绕过防火墙。因此如果攻击者能够确定一个帐号名和密码他或她就能够进入网络。易猜的口令或缺省口令是一个很严重的问题但一个更严重的问题是有的帐号根本没有口令。实际上所有使用弱口令缺省口令和没有口令的帐号都应从你的系统中清除。另外很多系统有内置的或缺省的帐号这些帐号在软件的安装过程中通常口令是不变的。攻击者通常查找这些帐号。因此所有内置的或缺省的帐号都应从系统中移出。

G22受影响的系统

所有通过用户ID和口令进行认证的操作系统或应用程序。

G23 CVE entries:

注意以下列表并不完整只是部分样本

CVE-1999-0291,CAN-1999-0501,CAN-1999-0502,CAN-1999-0503,

CAN-1999-0505,CAN-1999-0506,CAN-1999-0507,CAN-1999-0508,

CAN-1999-0516,CAN-1999-0517,CAN-1999-0518,CAN-1999-0519

G24怎样判断你是易受攻击的

为判断你是否易受攻击你需要了解你的系统上都有哪些帐号。应进行以下操作

1 审计你系统上的帐号建立一个使用者列表别忘了检查例如路由连接Internet的打印机、复印机和打印机控制器等系统的口令。

2 制定管理制度规范增加帐号的操作及时移走不再使用的帐号。

3 经常检查确认有没有增加新的帐号不使用的帐号是否已被删除。

4 对所有的帐号运行口令破解工具以寻找弱口令或没有口令的帐号。 在你这么做之前先确定你有权利这么做a LC3–Microsoft Windows NT and Microsoft Windows 2000, http://www atstake com/b Microsoft Personal Security Advisor,–Microsoft Windows NT and Microsoft Windows2000,www microsoft com/security/mpsac John the Ripper–Unix, http://www openwal l com/johnd Pandora–Novel l , http://www nmrc org/pandora

5当雇员或承包人离开公司时或当帐号不再需要时应有严格的制度保证删除这些帐号。G25怎样防范

应采取两个步骤以消除口令漏洞。第一步所有没有口令的帐号应被删除或加上一个帐号所有弱口令应被加强。可悲的是当用户被要求改变或加强他们的弱口令时他们经常又选择一个容易猜测的。这就导致了第二步用户的口令在被修改后应加以确认。可以用程序来拒绝任何不符合你安全策略的口令可在如下地址获得常用的程序

1 For UNIX:Npasswd, http://www utexas edu/cc/unix/software/npasswd

2 For Windows NT:Passfi lt, http://support microsoft com/support/kb

/articles/Q161/9/90 asp

这些程序保证了修改口令时口令的长度和组成使得破解非常困难。应指出很多UNIX系统有保证口令强壮性的功能另外还有很多其他软件包也可以达到这个目的。

很多组织使用口令控制程序以保证口令经常更改而且旧口令不可重用。如果使用口令有效期请确认用户在口令过期之前收到警告并有足够的时间改变口令。当面对以下信息时 "yourpassword has expired and must be changed,"用户往往会选择一个坏口令。

Microsoft Windows 2000在Group Pol icy中包括口令限制选项。系统管理员可以配置网络使口令有最小长度最小和最大有效期等限制。限制口令的最小有效期是很重要的如果没有它用户在被要求修改口令后会很快又把口令改回去。限制口令的最小有效期使得用户不得不记住现在的口令而不太会把口令改回去。

另外一个很重要的手段是使用户了解为什么以及怎样去选择强壮的口令。选择口令最常见的建

议是选取一首歌中的一个短语或一句话将这些短语的非数字单词的第一或第二个字母加上一些数字来组成口令在口令中加入一些标点符号将使口令更难破解。

另一个避免没有口令或弱口令的方法是采用其他认证手段例如口令产生令牌

 password-generating tokens或生物尺度biometrics 。如果你没有办法解决弱口令的问题

尝试一下其它认证手段。

G3–没有备份或者备份不完整

G31描述

当事故发生时这在每一个组织均有可能发生 从事故中恢复要求及时的备份和可靠的数据存储方式。一些组织的确每天做备份但是不去确认备份是否有效。其他一些组织建立了备份的策略和步骤但却没有建立存储的策略和步骤。这些错误往往在黑客进入系统并已经破坏数据后才被发现。

第二个问题是对备份介质的物理保护不够。备份保存了和服务器上同样敏感的信息它们应以相同的方式加以对待。

G32受影响的系统

任何运行紧要任务的系统

G33 CVE entries:

N/A

G34怎样判断你是易受攻击的

应列出一份紧要系统的列表。然后对每一个系统可能遇到的风险和威胁进行分析。应根据这些重要的服务器制定备份方式和策略。一旦确认了这些重要系统应明确以下重要问题1 系统是否有备份

2 备份间隔是可接受的吗

3 系统是按规定进行备份的吗

4 是否确认备份介质正确的保存了数据

5 备份介质是否在室内得到了正确的保护

6 是否在另一处还有操作系统和存储设施的备份 包括必要的l icense key7 存储过程是否被测试及确认

G35怎样防范

应当每天做备份。在大多数组织中最低的要求是一周做一次完整的备份之后每天再做增量备份。至少一个月要对备份介质做一次测试以保证数据确实被正确的保存了下来。这是最低要求。很多公司每天都做完整的备份并且一天就要做多次备份。备份的终极目的是一个完全冗余的网络并且具备自动防故障能力---实时金融和电子商务系统重要设施的控制系统和一些国防部门的系统都需要这样一个备份方案。

G4–大量打开的端口

G41描述

合法的用户和攻击者都通过开放端口连接系统。端口开得越多进入系统的途径就越多。 因此为使系统正常运作保持尽量少的端口是十分必要的。所有无用的端口都应被关闭。

G42受影响的系统

大多数操作系统。

G43 CVE entries:

注意以下列表并不完整只是部分样本

CVE-1999-0189,CVE-1999-0288,CVE-1999-0351,CVE-1999-0416,CVE-1999-0675,CVE-1999-0772,CVE-1999-0903,CVE-2000-0070,CVE-2000-0179,CVE-2000-0339,CVE-2000-0453,CVE-2000-0532,CVE-2000-0558,CVE-2000-0783,CVE-2000-0983,G44怎样判断你是易受攻击的netstat命令可以在本地运行以判断哪些端口是打开的,但更保险的方法是对你的系统进行外部的端口扫描这会给你列出所有实际在侦听的端口号如果二者结果不同,你应该研究一下是什么原因如果两个列表一致,检查一下为什么这些端口是打开的,每一个端口都在运行什么任何无法确认的端口都应被关闭应记录最终端口列表,以确定没有额外的端口出现。

在众多的端口扫描器中最流行的是nmap。在http://www insecure org/nmap/可以找到UNIX