终极守护——针对黑客的高级防御技术"
前 言
欢迎阅读《终极守护—— 针对黑客的高级防御技术》一书。本书的目的是帮助读者更好地理解和处理新兴的信息安全威胁，并希望将一些经过实践证明的概念和技术与读者一起分享。这些概念和技术是作者在加强保护世界上最易受到攻击的网络和信息资源时总结出来的。本书与以往这方面的参考书相比，在网络和信息安全方面提出了不同的观点。目前市场上关于信息安全的大部分参考书都是通过向读者列出成百上千个脚本或可下载的实例来揭示黑客和反黑客技术的；还有一些则是具体介绍一两个软件包和特定的环境或情形。但是多数情况下，随着工具和策略的不断进化，这些知识很快就过时了。而本书的目标是使读者在了解幕后核心问题的过程中形成威胁的概念，并能深刻理解涉及防御和进攻两方面的策略和技术。有了这些知识作为武装，读者不仅能更好地利用现在的各种工具，还能进而设计出新工具、新技术和面向未来的有效策略。
写给读者的话
本书适合安全专业人员，以及各种相关技术水平的系统和网络管理员。如果你刚成为一名信息安全分析员，那么将满意地发现本书的侧重点不是如何确定和配置工具，而是介绍应该如何使用工具以及它们是如何工作的。你不会在本书中看到一连串的手册指南或网络内容反馈。书中不仅提供了大量使用开源软件的例子，还讨论了适用于商业软件解决方案的概念。可以说，本书对大型和小型机构都十分有用。
如果你是一名技术经理，你将满意地发现作者对工艺和技术的精确解释有助于掌握软件和设备生产商所使用的专业术语，并能为你的员工制作容易理解的威胁和对策的对照表。同样，书中讨论的防御概念将使你成为一个精明的买家，制定出合适的信息安全解决方案。特别要注意每章最后的“防御方案小结”部分，它简单总结了应该采取的最重要的策略措施，以帮助维护网络安全。希望技术经理们能询问自己的员工对每一个工作项目的完成情况，由此来提高他们的防御意识，并共享可能严重影响机构安全的信息。
本书层次结构与关键内容
本书的章节层次结构包括从机构的网络边界一直到对员工PC的数字取证分析等方面的内容。第Ⅰ部分是“安全专家眼中的核心Internet基础设施”，解释了经常被忽略的Internet路由和DNS(域名服务)中蕴藏的危险；帮助大家理解Internet服务提供商如何管理他们的网络，以及机构在没有控制其路由和DNS的情况下如何建立网络安全措施。第Ⅱ部分是“网络边界和关键Internet基础设施的保护”，这部分涉及到很多热点问题，包括数据包过滤、入侵检测与防御、安全网络结构设计以及E-mail等常用应用服务的防御；另外还概要介绍了无线网络的安全防御，包括利用与供应商无关的模板设计安全可靠的无线LAN，并引入了一些网络异常检测的新方法。第Ⅲ部分是“网络漏洞评估”，非常全面地概述了漏洞评估过程。大量的考虑因素和几年的高风险网络审计经验形成了这种已经验证的方法学。最后，第Ⅳ部分“应付未来威胁的对策”探究了数字取证、木马和软件开发细节；解释了常见的软件漏洞词源，如“缓冲区溢出(buffer overflow)”和“竞态条件(race condition)”；并介绍了如何避免这些以及其他破坏性软件的问题。
本书每一章都以一个简短的引言和一组关键概念开始，以方便读者了解随后的内容。像大多数技术类图书一样，本书可能不那么引人入胜，所以这些简短的引言能帮读者决定哪些章节现在阅读，哪些章节以后阅读。另一个关键要素是每章最后的“防御方案小结”部分，这章讨论的主要部件所能采取的最重要措施，都简要总结在该部分的列表中。
真诚地希望本书对你能有所帮助，也欢迎你提出宝贵的建议。请访问本书的合作网站(www.extremeexploits.com)获得较新的信息，或者与作者联系。
关于本书合作网站
作者开发的合作网站(www.extremeexploits.com)中提供了一组链接，读者可以从中找到优秀的软件工具以及其他一些有用资料。设计该网站的目的是为了让读者学到本书中所不能囊括的更广泛更精确的知识，并提供一些基于Web的工具，以帮助读者进行漏洞评估和其他研究。请访问该网站以扩展本书范围之外的研究。
??
终极守护—— 针对黑客的高级防御技术
第1章 安全的基础设施
IV
11
目 录
第Ⅰ部分 安全专家眼中的核心
Internet基础设施
第1章 安全的Internet基础设施 3
1.1 Internet基本服务 5
1.1.1 IP地址(前缀)的分配和注册 5
1.1.2 自治系统号的分配与注册 7
1.1.3 Internet路由 7
1.2 Internet辅助服务 10
1.2.1 DNS服务 10
1.2.2 电子邮件服务 10
1.3 安全问题调查表 11
1.4 防御方案小结 12
第2章 ISP的安全实现：事实与设想 13
2.1 ISP安全组件 14
2.2 ISP安全弱点 15
2.3 深入了解Internet路由 15
2.4 路由策略 18
2.4.1 路由策略的开发和配置 18
2.4.2 不可路由的前缀 20
2.4.3 什么是bogon 21
2.4.4 单播逆向路径转发 23
2.5 ISP的可接受使用策略
和事件响应 23
2.6 防御方案小结 24
第3章 DNS的保护 27
3.1 背景和功能 28
3.1.1 历史回顾 28
3.1.2 DNS功能和安全注意事项 29
3.2 暴露缺陷 31
3.2.1 全球根DNS的基础设施 31
3.2.2 机构的DNS基础设施 36
3.3 防御方案小结 41
第Ⅱ部分 网络边界和关键Internet
基础设施的保护
第4章 可靠连接 47
4.1 可靠连接的组件 48
4.2 揭示连接中的缺陷 48
4.3 边界路由器的安全性 49
4.3.1 选择网络操作系统 49
4.3.2 中止危险服务或不需要的服务 50
4.3.3 边界路由器访问控制策略 51
4.3.4 配置管理服务 55
4.4 Internet网关以及多重连接 55
4.4.1 与单个ISP的多重连接 56
4.4.2 与不同ISP的多重连接 57
4.5 关键设备配置的备份 58
4.6 带宽利用率 59
4.7 冗余及备份设备 60
4.8 关键系统的物理分布 62
4.9 防御方案小结 65
第5章 网络边界的保护 67
5.1 网络防火墙 68
5.2 防火墙技术类型 69
5.2.1 基于代理的防火墙 69
5.2.2 无状态的包过滤 71
5.2.3 有状态的包过滤 73
5.2.4 深度数据包检测 76
5.2.5 Web/XML防火墙 77
5.3 防火墙部署 79
5.3.1 默认安全状态 79
5.3.2 允许进出网络的应用程序 80
5.3.3 反IP欺骗的措施 84
5.4 防御方案小结 86
第6章 DMZ的新定义：关键系统
的安全保护 87
6.1 深度防御的组件 90
6.2 DMZ的漏洞 92
6.3 DMZ中的独立系统 92
6.4 DMZ中的反向代理系统 96
6.5 防御方案小结 99
第7章 入侵检测和防御 101
7.1 基于网络的入侵检测 102
7.l.1 被动入侵检测 102
7.1.2 入侵防御 105
7.1.3 入侵检测引擎类型 106
7.2 基于主机的入侵防御 109
7.2.1 系统调用学习 110
7.2.2 基于策略的入侵防御 111
7.2.3 缓冲区溢出防御 111
7.2.4 系统完整性和变化检测 111
7.3 安全信息管理 112
7.3.1 事务标准化 112
7.3.2 事务关联和简化 113
7.4 防御方案小结 114
第8章 E-mail的网关、过滤以及
备份机制 115
8.1 背景和功能 116
8.2 缺陷：E-mail滥用 118
8.2.1 open relay(开放式转发)
和代理服务器 118
8.2.2 受到安全威胁的MTA 119
8.2.3 被感染的系统 119
8.3 MTA 120
8.3.1 内置MTA 120
8.3.2 单机MTA 120
8.3.3 单机MTA的实现 121
8.4 中继安全和黑名单 121
8.5 MTA的E-mail过滤 122
8.5.1 SMTP认证 122
8.5.2 MTA的反病毒机制和
其他过滤机制 123
8.5.3 垃圾邮件过滤技术 125
8.5.4 邮件过滤总结 131
8.6 MTA加密 132
8.7 MTA冗余 134
8.7.1 邮件交换服务器(MX)冗余 134
8.7.2 系统冗余 136
8.8 远程/客户端E-mail安全 136
8.8.1 POP3/IMAP 137
8.8.2 Web访问 137
8.8.3 VPN(虚拟专用网) 137
8.8.4 消息提交协议 137
8.8.5 许可和密码 138
8.9 公共通知和角色账户 138
8.10 防御方案小结 139
第9章 出口流量中的数据泄露 143
9.1 背景和功能 144
9.2 暴露的缺陷 145
9.2.1 出口流量数据包过滤器
的缺陷 145
9.2.2 网关路由中的缺陷 147
9.3 防御方案小结 150
第10章 sinkhole和backscatter 153
10.1 背景和功能 154
10.2 用sinkhole部署诱捕网络 155
10.2.1 darknet部署 156
10.2.2 honeynet部署 159
10.3 防御DDoS攻击的sinkhole
实现(黑洞路由) 161
10.4 backscatter和traceback 164
10.4.1 backscatter 164
10.4.2 traceback 166
10.5 防御方案小结 167
第11章 无线网络的安全保护 169
11.1 无线技术历史 171
11.2 基本无线安全技术 172
11.2.1 MAC地址过滤 173
11.2.2 广播服务集合标识符 173
11.2.3 有线等效加密 174
11.2.4 WiFi保护访问 175
11.3 高级无线安全技术 176
11.3.1 用户授权认证 176
11.3.2 802.11i以及EAP 177
11.3.3 各类安全软件 178
11.4 蓝牙技术 178
11.5 无线监禁 179
11.6 防御方案小结 183
第Ⅲ部分 网络漏洞评估
第12章 漏洞和补丁程序的管理 187
12.1 漏洞的生命周期 188
12.2 发现漏洞 190
12.2.1 免费的漏洞信息来源 190
12.2.2 安全情报服务 191
12.3 漏洞处理优先级 191
12.3.1 NIAC通用漏洞评分系统 192
12.3.2 现有安全方案分析 193
12.3.3 工具 195
12.4 部署补丁程序 196
12.4.1 补丁测试 196
12.4.2 时间安排 197
12.4.3 补丁发布 197
12.4.4 虚拟补丁 198
12.5 防御方案小结 198
第13章 漏洞评估的有效方法 201
13.1 安全与功能的权衡 202
13.2 方法 204
13.2.1 方法标准 204
13.2.2 收集信息 206
13.2.3 确定攻击区域 206
13.2.4 描述攻击目标 207
13.2.5 确定攻击方案 208
13.2.6 攻击 210
13.2.7 防御 215
13.3 评估保障 218
13.3.1 评估频率 218
13.3.2 内部评估 218
13.3.3 第三方评估 219
13.3.4 对评估工作的保障 220
13.4 防御方案小结 220
第14章 漏洞评估实践Ⅰ 223
14.1 收集信息 224
14.1.1 公共路由前缀公告 225
14.1.2 ISP路由过滤策略 228
14.1.3 Whois/注册服务商询问 231
14.1.4 Web搜索 236
14.1.5 DNS工具 240
14.2 映射攻击区域 243
14.3 防御方案小结 250
第15章 漏洞评估实践Ⅱ 253
15.1 确定攻击目标 254
15.1.1 服务确认 254
15.1.2 端口扫描 260
15.1.3 端口扫描工具 271
15.1.4 目标确定备注 275
15.2 攻击方案 275
15.3 攻击 276
15.3.1 漏洞评估工具 276
15.3.2 确认工具 280
15.4 防御及补救工具 280
15.4.1 补丁管理软件 280
15.4.2 IISLockDown 280
15.4.3 微软基准安全分析器
(MBSA) 281
15.5 评估方法小结 282
15.6 防御方案小结 283
第Ⅳ部分 应付未来威胁的对策
第16章 数字取证技术的开发 287
16.1 标准取证方法 288
16.1.1 确认目标及攻击时间、
危害程度或调查区域 290
16.1.2 完成非入侵的预备性调查 290
16.1.3 利用网络分流器完成被动
网络监控 291
16.1.4 隔离可疑系统 291
16.1.5 从目标系统中复制
所有数据 292
16.1.6 分析复制数据并确定
入侵点 292
16.1.7 记录发现信息 292
16.1.8 在纠正错误根源后
恢复服务 293
16.2 取证技术：取证数据恢复及
调查过程举例 293
16.2.1 确认目标 293
16.2.2 利用网络分流器被动
监控网络 293
16.2.3 利用dd创建磁盘镜像
并挂载文件系统 296
16.2.4 利用Foremost发现或
恢复数据 298
16.3 高级数字取证工具 301
16.3.1 用于数据救援的dd_rescue 301
16.3.2 disktype 302
16.3.3 The Coroner's Toolkit(TCT) 303
16.3.4 memdump 306
16.3.5 tcpflow 307
16.4 实现取证追踪 308
16.4.1 文件完整性实施方案 308
16.4.2 入侵检测及确认 310
16.5 防御方案小结 311
第17章 恶意代码 315
17.1 恶意代码的类型及其
安全风险 316
17.1.1 病毒 316
17.1.2 蠕虫 317
17.1.3 bot(傀儡程序)和
bot network(僵尸网络) 323
17.1.4 特洛伊木马 325
17.1.5 间谍程序 325
17.1.6 广告软件 326
17.1.7 Phishing(钓鱼式)攻击 326
17.2 常见恶意代码行为 328
17.2.1 进程中断 329
17.2.2 创建互斥锁 329
17.2.3 修改系统主机文件 329
17.2.4 打开后门程序 330
17.2.5 安装其他恶意代码 330
17.3 防御方案小结 331
第18章 软件漏洞的利用 333
18.1 应用程序攻击向量 334
18.1.1 信息揭露/信息截获 335
18.1.2 远程登录/未受保护账户 336
18.1.3 网络服务/易受攻击的服务 338
18.1.4 未受保护的本地进程 339
18.1.5 未受保护的本地账户 341
18.1.6 未受保护的本地文件 341
18.2 安全威胁和漏洞 343
18.2.1 输入确认 344
18.2.2 SQL注入 345
18.2.3 缓冲区溢出 347
18.2.4 竞态条件以及其他异常
条件 353
18.2.5 内存及资源耗尽 357
18.3 未来的漏洞及防御技术 358
18.3.1 混合式攻击 359
18.3.2 带宽检测器及数据包截获 359
18.3.3 端口扫描器及密钥登录器 360
18.3.4 加密技术 360
18.3.5 代理软件 360
18.3.6 躲避检测的高级技术 360
18.4 防御方案小结 362
??
终极守护—— 针对黑客的高级防御技术
目 录
VI
VII
I
