| |
隨著信息化辦公的普及，遠程訪問的需求也水漲船高。一些遠程訪問工具，也紛紛面世。如電子郵件、FTP、遠程桌面等工具為流離在外的企業(yè)員工，提供了訪問企業(yè)內(nèi)部網(wǎng)絡(luò)資源的渠道。
但是，對企業(yè)內(nèi)部網(wǎng)絡(luò)資源的遠程訪問增加了企業(yè)網(wǎng)絡(luò)的脆弱性，產(chǎn)生了許多安全隱患。因為大多數(shù)提供遠程訪問的應(yīng)用程序本身并不具備內(nèi)在的安全策略，也沒有提供獨立的安全鑒別機制�；蛘哒f，需要依靠其他的安全策略，如IPSec技術(shù)或者訪問控制列表來保障其安全性。所以，遠程訪問增加了企業(yè)內(nèi)部網(wǎng)絡(luò)被攻擊的風(fēng)險。筆者在這里試圖對常見的遠程入侵方式進行分析總結(jié)，跟大家一起來提高遠程訪問的安全性。
一、針對特定服務(wù)的攻擊
企業(yè)往往會在內(nèi)部網(wǎng)絡(luò)中部署一些HTTP、FTP服務(wù)器。同時，通過一定的技術(shù)，讓員工也可以從外部訪問這些服務(wù)器。而很多遠程訪問攻擊，就是針對這些服務(wù)所展開的。諸如這些支持SMTP、POP等服務(wù)的應(yīng)用程序，都有其內(nèi)在的安全隱患。給入侵者開了一道后門。
如WEB服務(wù)器是企業(yè)常用的服務(wù)。可惜的是，WEB服務(wù)器所采用的HTTP服務(wù)其安全性并不高。現(xiàn)在通過攻擊WEB服務(wù)器而進行遠程訪問入侵的案例多如牛毛。入侵者通過利用WEB服務(wù)器和操作系統(tǒng)存在的缺陷和安全漏洞，可以輕易的控制WEB服務(wù)器并得到WEB內(nèi)容的訪問權(quán)限。如此，入侵者得手之后，就可以任意操作數(shù)據(jù)了。即可以在用戶不知情的情況下秘密竊取數(shù)據(jù)，也可以對數(shù)據(jù)進行惡意更改。
針對這些特定服務(wù)的攻擊，比較難于防范。但是，并不是一點對策都沒有。采取一些有效的防治措施，仍然可以在很大程度上避免遠程訪問的入侵。如采取如下措施，可以起到一些不錯的效果。
一、是采用一些更加安全的服務(wù)。就拿WEB服務(wù)器來說吧�，F(xiàn)在支持WEB服務(wù)器的協(xié)議主要有兩種，分別為HTTP與HTTPS。其中HTTP協(xié)議的漏洞很多，很容易被入侵者利用，成為遠程入侵企業(yè)內(nèi)部網(wǎng)絡(luò)的跳板。而HTTPS則相對來說安全的多。因為在這個協(xié)議中，加入了一些安全措施，如數(shù)據(jù)加密技術(shù)等等。在一定程度上可以提高WEB服務(wù)器的安全性。所以，網(wǎng)絡(luò)安全人員在必要的時候，可以采用一些比較安全的協(xié)議。當(dāng)然，天下沒有免費的午餐。服務(wù)器要為此付出比較多的系統(tǒng)資源開銷。
二、是對應(yīng)用服務(wù)器進行升級。其實，很多遠程服務(wù)攻擊，往往都是因為應(yīng)用服務(wù)器的漏洞所造成的。如常見的WEB服務(wù)攻擊，就是HTTP協(xié)議與操作系統(tǒng)漏洞一起所產(chǎn)生的后果。如果能夠及時對應(yīng)用服務(wù)器操作系統(tǒng)進行升級，把操作系統(tǒng)的漏洞及時補上去，那么就可以提高這些服務(wù)的安全性，防治他們被不法之人所入侵。
三、是可以選擇一些有身份鑒別功能的服務(wù)。如TFTP、FTP都是用來進行文件傳輸?shù)膮f(xié)議�？梢宰屍髽I(yè)內(nèi)部用戶與外部訪問者之間建立一個文件共享的橋梁。可是這兩個服務(wù)雖然功能類似，但是安全性上卻差很遠。TFTP是一個不安全的協(xié)議，他不提供身份鑒別貢呢功能。也就是說，任何人只要能夠連接到TFTP服務(wù)器上，就可以進行訪問。而FTP則提供了一定的身份驗證功能。雖然其也允許用戶匿名訪問，但是只要網(wǎng)絡(luò)安全人員限制用戶匿名訪問，那么就可以提高文件共享的安全性。
二、針對遠程節(jié)點的攻擊
遠程節(jié)點的訪問模式是指一臺遠程計算機連接到一個遠程訪問服務(wù)器上，并訪問其上面的應(yīng)用程序。如我們可以通過Telent或者SSH技術(shù)遠程登陸到路由器中，并執(zhí)行相關(guān)的維護命令，還可以遠程啟動某些程序。在遠程節(jié)點的訪問模式下，遠程服務(wù)器可以為遠程用戶提供應(yīng)用軟件和本地存儲空間�，F(xiàn)在遠程節(jié)點訪問余越來越流行。不過，其安全隱患也不小。
一是增強了網(wǎng)絡(luò)設(shè)備等管理風(fēng)險。因為路由器、郵箱服務(wù)器等等都允許遠程管理。若這些網(wǎng)絡(luò)設(shè)備的密碼泄露，則即使在千里之外的入侵者，仍然可以通過遠程節(jié)點訪問這些設(shè)備。更可怕的是，可以對這些設(shè)備進行遠程維護。如入侵者可以登陸到路由器等關(guān)鍵網(wǎng)絡(luò)設(shè)備，并讓路由器上的安全策略失效。如此的話，就可以為他們進一步攻擊企業(yè)內(nèi)部網(wǎng)絡(luò)掃清道路。而有一些人即使不攻擊企業(yè)網(wǎng)絡(luò)，也會搞一些惡作劇。如筆者以前就遇到過，有人入侵路由器后，“燕過留聲，人過留名”。入侵者竟然把路由器的管理員密碼更改了。這讓我郁悶了好久。所以如果網(wǎng)絡(luò)安全管理人員允許管理員進行遠程節(jié)點訪問，那么就要特別注意密碼的安全性。要為此設(shè)立比較復(fù)雜的密碼，并經(jīng)常更換。 |
|
|
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
