2005網路安全[轉] - PCDVD數位科技討論區

u8526425

Elite Member

加入日期: Oct 2002

文章: 4,805

入侵監測存在的三個問題和未來發展方向
http://forum.icst.org.tw/phpBB2/viewtopic.php?t=5511

作者：譚崇暢發文時間：2005.01.20

　　入侵檢測系統往往被認為是保護網路系統的“最後一道安全防線”。今天的網路駭客已經學會將真正的攻擊動作隱藏在大量虛假報警之中，這使得用戶質疑。

　　近年來，針對網路系統發起的攻擊技術大有水漲船高之勢，入侵檢測系統的開發者正在面臨一個兩難選擇：發現異常現象時，是報警，還是不報警？不報警，擔心有漏網之魚；報警，則有可能正中攻擊者的圈套。

　　入侵監測統存在的三個問題

　　根據國外權威機構近來發佈的入侵檢測產品評測報告，目前主流的入侵檢測系統大都存在三個問題：一、存在過多的報警資訊，即使在沒有直接針對入侵檢測系統本身的惡意攻擊時，入侵檢測系統也會發出大量報警。二、入侵檢測系統自身的抗強力攻擊能力差。我們知道，入侵檢測系統的智慧分析能力越強，處理越複雜，抗強力攻擊的能力就越差。目前入侵檢測系統的設計趨勢是，越來越多地追蹤和分析網路資料流程狀態，使系統的智慧分析能力得到提高，但由此引起的弊端是系統的健壯性被削弱，並且，對高帶寬網路的適應能力有所下降。三是缺乏檢測高水準攻擊者的有效手段。現有的入侵檢測系統一般都設置了閥值，只要攻擊者將網路探測、攻擊速度和頻率控制在閥值之下，入侵檢測系統就不會報警。鑒於以上三點，許多用戶質疑：按照入侵檢測系統目前的技術現狀，它值得投資部署嗎？

　　IDS需要技術創新

　　這種質疑不是沒有道理。一個配置合理的防火牆加上完善的網路安全管理策略，完全可以對付低水準的攻擊行為。人們費盡心機構建的“最後的防線” ——入侵檢測系統，必須能夠有效防範“高手”攻擊。但是，如果沒有一個全新的設計思路，目前的入侵檢測系統是不能完全勝任此項重任的。究其原因，主要在於以下三點。

　　首先，現有的入侵檢測系統依賴於一個攻擊特徵庫來識別已知攻擊。從這個角度來看，它並不比一般的病毒檢測方法高明多少。基於攻擊特徵庫的設計有著兩個明顯的缺點。其一，很難發現新的攻擊手段；其二，攻擊者同樣可以利用Internet上公佈的攻擊特徵庫，在一分鐘之內，使一個入侵檢測系統產生上千條報警。

　　第二，在網路安全體系結構的設計上，入侵檢測系統通常被部署於防火牆之內。這並不是擔心入侵檢測系統會受到直接攻擊，真正原因是，現有的網路攻擊已經非常頻繁，一個放置於防火牆之外的入侵檢測系統會讓安全管理者沒有片刻的安寧。但這卻是一個設計失誤——被防火牆系統阻攔住的外部攻擊包對於入侵檢測系統進行有效網路攻擊智慧分析具有非常重要的價值。實際上，缺乏有效的資訊源是現有的入侵檢測系統表現“低能”的根本原因。

　　第三，網路中上演的攻擊和反攻擊與人類戰爭有相似之處，都是攻與防的較量，如果防守者不採取積極防禦措施，永遠只能處於被動挨打局面。具體到入侵檢測系統，積極防禦並不是在發現攻擊者時發送警告，甚至回敬幾個攻擊包“打死”對方，而是一種“欺騙戰術”，其基本思想是，建立一個完整的資訊保護體系，使各種虛假資訊和真實資訊混於一體，從而達到資訊保護的目的。就網路入侵檢測而言，當一個攻擊者在全面摸清了目標網路的詳細情況之後，人們要想防止其進攻幾乎是不可能的。一個攻擊高手往往會用很長時間去探查一個網路，在進行一番詳細偵察之後，攻擊者只須靜待一個新的系統漏洞的出現。例如，如果攻擊者獲悉了Windows 2000伺服器存在的一個堆疊溢位漏洞，他就可能在一分鐘之內，佔領目標主機，並在另外一分鐘之內，控制整個目標網路。

　　從積極防禦的角度看，保護一個網路必須從兩方面入手。一是在入侵者早期網路偵察時及時發現對方，二是通過回應欺騙資訊給窺探者，並在隨後發生的實際攻擊時準確判定入侵者的身份。以上兩點是相輔相成的。需要指出的是，這種基於欺騙戰術的積極防禦，不同于傳統的陷阱系統設計，大多數安全專家認為，一個配置有誤的陷阱系統無疑是一扇敞開的大門，而且一個被攻佔的陷阱系統會給用戶帶來法律上的麻煩，他們不贊成使用。

　　積極防禦是有益的嘗試

　　ActiveDefense（積極防禦）技術是由廣州前衛資訊安全技術有限公司自主研發的技術，它應用在其eDefence 2000入侵檢測系統之中，可以使一個實際網路變得真假難辨。部署於防火牆之外的eDefence 2000系統能夠即時檢測網路攻擊，同時還能夠在入侵者前來窺探時施放各種“煙幕彈”。

　　該系統另一個與眾不同的設計是，它將檢測系統分為前後兩台機器，後臺系統不再是一個簡單的管理終端，而是一個有著豐富知識庫的專家系統。利用專家系統提供的面向分析推理的規則語言，只須編寫幾條規則，而後存入知識庫，就可以一眼看出入侵者的真面目。一前一後的雙機設計從根本上改善了整個入侵檢測系統的抗攻擊能力。

　　在網路世界中上演的的攻防戰爭將永遠是一場沒有盡頭、“魔高一尺，道高一丈”的鬥爭。

http://tech.ccidnet.com/pub/article...a206563_p1.html

這個比較深一點
一般人不需要了解這個
但既然之前有人問過
剛好有人寫就轉過來

__________________
人性的醜陋就是，會在無權、無勢、善良的人身上挑毛病，卻在有權、有勢、缺德的人身上找優點。當無權、無勢、善良的人受到傷害的時候，還會站在所謂的道德制高點上，假惺惺地勸說無權、無勢、善良的人，一定要忍耐，一定要大度。

2005-01-24, 09:40 PM #24

u8526425

Elite Member

加入日期: Oct 2002

文章: 4,805

線上安全的四個誤區
http://forum.icst.org.tw/phpBB2/viewtopic.php?t=5512

作者：啟明發文時間：2005.01.20

　　Internet上，很多機器都因為很糟糕的線上安全設置，無意間在機器和系統中留下了“後門”，也就相當於給入侵者打開了大門。如果入侵者們在你的設置中發現了安全方面的漏洞，就會對你發起攻擊。其結果可能影響不太，如降低你的速度或者讓你的機器崩潰；也可能很嚴重，例如打開你的機密檔、偷竊口令和信用卡密碼。但是很多人並不以為然，因為他們在網路安全方面還存在四個誤區。

　　誤區一：我沒有連接其他網路，所以很安全。可以上網的獨立機器，與一台商業網絡中心的機器相比，所使用的網路協定仍然有一些甚至全部相同，而一台商業網絡中心的機器還可能安裝了公共防火牆或者有專門負責安全的人員。與此形成強烈對比的是，一些用於家庭、辦公室、小公司的個人用機卻是門戶大開，完全沒有防範入侵者的能力。這種威脅是很現實的：如果你使用了Cable Modem或是DSL連接上網，而且在網上的時間很長，一天裏也許就會有2到4個卑鄙的入侵者企圖攻擊你。

　　誤區二：我用撥號上網，所以是安全的。每次當你開始撥號上網，你使用的IP位址都會不同，也就是動態IP，所以相比靜態IP的用戶而言，入侵者的確很難找到你，但是有一些入侵軟體已經發展到可以在1個小時以內逐個掃描上萬個IP位址的能力，所以只要入侵者使用了這些工具，即使是撥號上網的用戶也可能受到攻擊。

　　誤區三：我使用了防病毒軟體，所以很安全。一個好的病毒軟體確實是線上安全不可或缺的部分，但是也是很小的一個部分。它能夠通過檢測病毒和類似的問題保護你，但是它們對防範入侵者、對帶有惡意的合法程式卻無能為力。

　　誤區四：我使用了防火牆，所以很安全。防火牆是很有用處，但是如果你的機器總是採用一些不夠安全的方式接收和發送資料，而你又僅僅依靠一些附加的程式提供安全，這就等於把所有的蛋放在一個籃子裏，一旦防火牆軟體出現Bug或者有漏洞，那你就很危險了。另外，防火牆對於病毒一類的軟體完全沒有防範能力，尤其是那些帶有惡意的，悄悄地向你的機器發送或提取資料的程式。最後，一些防火牆軟體還可能幫倒忙，因為它們的廠商在廣告中把產品的特點已經廣泛介紹出去，可能招致一些專門針對它們弱點的攻擊。
http://tech.ccidnet.com/pub/article...a206547_p1.html

基本上呢
這些通用法則是沒錯的
但我覺得還要加上
作業系統與應用程式的PATCH
妥善的調整安全性
使用者習慣這幾項

2005-01-24, 09:45 PM #25

u8526425

Elite Member

加入日期: Oct 2002

文章: 4,805

偽裝「情色」 MSN Messenger藏毒
http://forum.icst.org.tw/phpBB2/viewtopic.php?t=5509

資安公司提出呼籲，又有電腦病毒透過MSN Messenger大量散布。
【記者曹明正／報導】

別輕易開啟好友捎來的MSN Messenger訊息，包括F-Secure以及賽門鐵克等資安廠商提出呼籲，1隻名為Bropia.a的病毒正利用MSN Messenger偽裝成色情或搞笑圖片，一經執行，電腦將被植入特洛依木馬Rb-ot，而被駭客竊取資料、控制。

雖然賽門鐵克評估Bropia.a僅為低度風險，不過有鑑於當紅的MSN Messenger擁有超過1億名的會員數，另一資安公司F-Secure則是提出警告，一旦感染Bropia.a，該病毒會主動搜尋受害者的MSN Messenger連絡人，進而大量散布。

至於染上Bropia.a的電腦，Bropia.a會自行複製自己至C槽根目錄以及資料夾「system」底下，並將檔名儲存為 Drunk_lol.pif、Webcam_004.pif、sexy_bedroom.pif、naked_party.pif或者為 love_me.pif等檔名的其中之一，非常狡猾。

除了複製後偽裝常見的文件檔外，Bropia.a也會鎖定系統目錄下的taskmgr.exe和cmd.exe癱瘓微軟Windows底下的「工作管理員」與DOS模式。另外F-Secure也觀察到，Bropia.a可能導致滑鼠右鍵失去作用、並且更動系統的主音量設定。

受到Bropia.a肆虐後的電腦也將留下特洛依木馬Rbot的遺毒，使用者的系統將會被開啟後門，不僅影響主機的原始狀態，還可能被駭客入侵，紀錄用戶的鍵盤動作、甚至傳播垃圾、惡意程式。
【2005/01/24 星報】

“MSN幽靈”瘋狂傳播可製造大批“僵屍電腦”

作者：千龍科技發文時間：2005.01.21

1月20日，江民反病毒中心截獲“MSN幽靈”病毒（I-Worm/MSN.DropBot），該病毒通過MSN傳播，可以釋放出"羅伯特"後門病毒的最新變種Backdoor/RBot.yi。駭客利用此病毒可以大批量製造“僵屍電腦”，從而肆意操縱這些網路僵屍對任一目標發起網路洪水攻擊。

據江民反病毒專家介紹，“MSN幽靈”病毒最大的危害在於其能夠釋放“羅伯特”病毒最新變種。“羅伯特”病毒家族及其近親“高波” （Backdoor/Agobot）家族可以使用戶系統被駭客完全控制，成為“僵屍電腦”。該變種能夠通過多種系統漏洞和弱口令傳播，感染能力極強。去年一年中，江民公司截獲該類病毒近3000個變種。此次最新變種增加通過MSN傳播的功能，感染性更勝以前。

“MSN幽靈”運行後，自動向被感染電腦用戶所有MSN好友發送帶毒檔。為了使自己不被用戶手工刪除，病毒會阻止cmd.exe和taskmgr.exe 兩個程式運行，以達到禁止滑鼠右鍵操作的目的，手工清除該病毒的難度很大。病毒會釋放oms.exe檔，該檔即為“羅伯特”病毒最新變種程式。羅伯特最新變種運行後，在系統目錄下生成病毒檔lexplore.exe，並修改註冊表項以使自己隨作業系統一起運行。

反病毒專家介紹，“MSN幽靈”釋放的“羅伯特”變種和以前變種類似，主要通過微軟的WebDav漏洞、衝擊波漏洞、震盪波漏洞和管理員帳號弱口令等途徑傳播，並從IRC上接收駭客命令，使被感染電腦完全被駭客控制，成為“僵屍電腦”，而此次借助MSN傳播，則可能會使網路****現大批“僵屍電腦”，從而為駭客操縱這些僵屍電腦發起網路洪水攻擊提供了武器。

針對該病毒，江民公司已經在第一時間升級，請廣大用戶立即升級KV2005到1月21日病毒庫，不要從MSN上接收運行不明程式，保護您的系統免受該病毒的侵害。

自己保重

2005-01-24, 09:50 PM #26

u8526425

Elite Member

加入日期: Oct 2002

文章: 4,805

駭客Wi-Fi蓋台手法引發安全威脅
http://forum.icst.org.tw/phpBB2/viewtopic.php?t=5524

CNET新聞專區：Dan Ilett　　24/01/2005

Cranfield大學研究員警告，駭客藉著Wi-Fi蓋台手法模擬合法Wi-Fi熱點已經成了網友的最新安全威脅。

攻擊者的作法是在合法的Wi-Fi基地台附近發射更強的訊號，取代原來的合法網路，這種蓋台手法即所謂的「邪惡雙胞胎」(evil twin)。

「Evil twin」熱點對網路用戶造成一種潛在危險。由於無線網路使用了無線電信號，只要使用相同頻率的非法用戶也同樣可偵測到這些訊號。」專門從事無線網路和電腦安全的研究員Phil Nobles表示。

一旦用戶不小心連上這種遭蓋台的Wi-Fi熱點後，駭客就能夠截獲傳輸的資料。用戶可能會受誘騙輸入帳號密碼，甚至傳輸其他機密資訊。

Cranfield大學研究人員認為，這是一種新的電腦犯罪領域，還需要進行更多的研究。但在2002年10月份，安全廠商ISS 就發佈了基地台模擬技術，顯示這種技術已經存在有二年半之久。

ISS 表示，透過在無線用戶端附近架設一個信號強度更高、模仿合法基地台的偽造基地台(evil twin)，駭客便能夠誘騙合法的無線用戶端連接到駭客的伺服器上。

Cranfield大學資訊系統主管Brian Collins表示，用戶必須確保本身的安全措施已經有開啟，以避免受到這類威脅的攻擊。他表示，在絕大多數情況下，基地台在出廠時的設定都是最不安全的。(陳奭璁整理)

嗯~
這個類似無線電蓋台概念的攻擊手法
在一般無線網路環境下
我不清楚要如何防範
可能是從PROTOCOL與兩端保密設定上下手
這又產生了某種程度以上的複雜度
一般USER可能無法接受吧...
現在正在推的台北無線城
我覺得必須要正視這個新問題
以免以後有難以彌補的損失

2005-01-25, 10:44 PM #27

u8526425

Elite Member

加入日期: Oct 2002

文章: 4,805

資料外洩恐讓PayPal用戶遭網釣鎖定
http://taiwan.cnet.com/news/softwar...20095989,00.htm

CNET新聞專區：Robert Lemos　　26/01/2005

網路付款服務PayPal提醒一小群客戶慎防網路詐財騙局，因為他們的電子郵件地址已外流。

PayPal是網路拍賣公司eBay的子公司。PayPal說，該公司委託BenchmarkPortal進行網路意見調查，但因為 BenchmarkPortal設計的某個網頁表格的安全措施不周延，以至於有一部分使用者的電子郵件外洩。PayPal未明確說明究竟多少電子郵件地址遭人竊取，只稱「極為有限」。

「就連姓氏和名字都只存在我們自己的伺服器上，」PayPal發言人Sara Bettencourt說：「所有敏感的財務資料都存在我們的伺服器上，不曾遭到外人存取。」

問題出在BenchmarkPortal設計的選擇退出(opt-out)表格有安全漏洞。只要某人猜中這家網路民調業者給某一顧客的意見調查身分編號，表格就會顯示出該名顧客的電子郵件地址。倘若某個駭客猜出有效的身分識別碼，系統就會回傳相對應的PayPal使用者電郵地址。

BenchmarkPortal未對此事發表評論。

Bettencourt說，PayPal已通知每一位受影響的使用者，並開闢一條客戶服務專線電話備詢。但因為外流的資料只限於電郵地址，所以資料外洩的影響應該微乎其微。不過，她還是提醒受影響的使用者，提防可能收到比平時更多量的詐騙郵件。

如同銀行及其他的金融機構，PayPal也成為網路釣魚(phishing)攻擊者鎖定的一大目標，因為從這類公司竊得的顧客資料更可能轉化為現金。

Bettencourt未透露這起資料外洩事件會不會導致PayPal與BenchmarkPortal的合作關係受損。她說：「此刻，我們正與他們攜手合作，以確定以後不會再發生這種事。」

（唐慧文）

PayPal 是 eBay 提供線上付款和收款服務的子公司，只要成為 PayPal 會員，住在台灣的你，就可以解決跨國交易最煩惱的金流問題。...
http://pages.tw.ebay.com/paypal/
基本上
這種小額線上金流的資料外洩
其實是非常嚴重的事情
因為不知情的你很容易受騙上當
PayPal一定會很謹慎且保守的發言
而消費者自己需要多加留意

2005-01-27, 09:47 AM #28

u8526425

Elite Member

加入日期: Oct 2002

文章: 4,805

車用電腦也可能受病毒攻擊？
http://taiwan.cnet.com/news/softwar...20096005,00.htm

CNET新聞專區： Dan Ilett　　27/01/2005
防毒軟體公司正在研究，車用電腦是否會受電腦病毒的攻擊。

位於莫斯科的防毒軟體公司Kaspersky上週週末接到了如何為Lexus車款的車用電腦做消毒的請求。其中包括了LX470、LS430，以及Landcruiser 100。這家安全公司表示，這些感染疑似透過行動電話。

目前已經有手機病毒的存在，例如Cabir及Skulls，這些病毒透過藍芽感染Symbian作業系統的手機。許多內裝導航系統的Lexus汽車可以透過藍芽連上手機，然後藉此講免持聽筒的電話，Kaspersky認為，藍芽可能被用來把病毒傳染到GPS導航系統。

然而，目前還不確定Lexus的導航系統是採用那款作業系統。該公司未能立即回答此問題。

「據我們所知，汽車商正把現有的作業系統用在他們的車用電腦上，例如Fiat就與微軟合作。」Kaspersky Labs的防毒研究主管Eugene Kaspersky表示。「如果手機中毒很可怕，那你可以想想車用電腦中毒要怎麼辦。」

Kaspersky的資深技術顧問David Emm表示，手機感染車用電腦相當有可能。

「這當然有可能，但是目前來看，還處於理論階段。」Emm表示。「問題在於車用電腦是否已經受到Symbian作業系統病毒的覬覦。我懷疑這可能會是因手機所引起的。」

Kaspersky仍在研究這份報告。

在賽車禁用雙向無線傳輸之前，F1賽車就配備了防毒軟體避免病毒攻擊車上的作業系統。(郭和杰)

真的見鬼了
現在器具一樣一樣的可以連線了
所以病毒就會到處亂流
而且真的會影響到不同功能不同OS的個體 ???
將來防毒軟體真的是要到處安裝嗎 ???
哈

2005-01-28, 02:19 PM #29