子鱼 ' Blog

转眼春节长假快到了，忙碌了一年的人们终于可以放松紧绷的神经痛快地玩几天了。而计算机病毒并不会因为过年就放松对网络的攻击，病毒作者往往就是利用人们节假日对于网络安全疏于防范的空隙兴风作浪的，典型的“震荡波”病毒就是在2004年“五一”长假期间感染了千万人的电脑，导致电脑频繁重启，许多大型局域网瘫痪的。那么，春节期间如何保障网络安全呢?日前，记者采访了几位网络管理员，他们对如何保障节日期间的网络安全谈了自己的见解。



设置好路由从网络边界保护网络安全


一位网名为“玲”的网络管理员认为，切断网络毒害的源头就要从边界做起。只要在边界做好了，就可以有效隔离大部分病毒。说到边界，就是整个公司网络的一个出口处，所有的数据都会从这里流进流出，建议有实力的公司购买专业的路由器来保障网络安全，但是专业的路由器价格昂贵，因此一般的小企业不会考虑，建议小企业采用软路由进行安全防范。


像微软的ISA或者ROUTER OS是一个基于Linux内核的专业路由软件，安装简单，而且很小，包括安装程序只有16M，可以说是非常mini的一个好东西。装好并设置好以后，除了一般的防火墙的功能外，我们还可以通过他观察整个网络的流量，并且可以制作规则来限制，例如某些关键字就进行拦截之类的。可以说是非常好的一个软路由，建议小企业用户安装使用。此外，微软的ISA除了是一个优秀的企业级防火墙之外，也是一个优秀的软路由。其基于MSSQL的日志让我们可以很轻松的进行第三方的日志报表的制作，当然，它本身提供的报表功能也是非常强悍的。可以很直观的看出哪个工作站在哪个时间段内流量特别大，这样就可以根据需要对服务器进行负载调整。


安装网络版杀毒软件远程防范病毒


某大学网络安全研究室工作人员毕先生介绍，放假期间由于网管员都回家过年了，但是对于公司的网络防病毒工作也不能放任不管，因此他推荐一款具有远程控制功能的江民杀毒软件KV网络版。这样当过年期间，网管员也可以通过远程管理登陆到服务器,对服务器及所有节日内需要运行的电脑进行全网杀毒，全网升级，也可以对单独的机器进行查杀病毒，对整个网络的病毒日志进行察看等，从而保障节日期间的网络免遭病毒攻击。


安装SUS软件自动分发安装操作系统补丁程序


网络管理员“玲”认为，过年期间，最害怕的就是新病毒通过微软操作系统的新漏洞对服务器发动攻击。平时网管员的一个头疼的问题就是windows的补丁升级的问题，网络不大，手动升级下就OK了，大一点的话工作量就太大了。她建议个人用户可以使用杀毒软件(如江民杀毒软件KV2006)自带的漏洞检查功能，对系统进行漏洞扫描，并利用杀毒软件自动提供的补丁下载地址下载补丁，建议企业用户最好使用微软的局域网补丁升级方案SUS，SUS安装完毕后，需要在客户端上进行一些设置，如果有域的话，可以做一个域策略就可以轻松解决了。如果没有，记得装完系统的时候就进行设置，或者导出成一个模板，具体的操作细节可以在微软的TechNet或者在Google上搜关键词“如何配置SUS”找到。


安装完以后，可以使用微软提供的MBSA(Microsoft Baseline Security Analyzer)评估安全漏洞并自动使用SUS进行升级。


以上主要是针对企业用户的安全防范措施，对于个人用户过年期间的网络安全，江民反病毒专家严绍文特别提醒应注意以下几个方面:


务必安装并及时升级正版杀毒软件，上网时开启病毒实时监控功能。务必在进行电子商务活动或进行网上交易前,采用杀毒软件来对电脑进行全盘查杀。网上交易过程中要特别留意浏览网页的变化，对于怀疑为假网站或假链接等情况应及时联系网络银行或者相关专业人士，养成修改网上银行密码的习惯。时常关注反病毒公司的最新病毒信息，对于来自QQ,MSN,邮件附件等不明文件不管它们的标题多么诱人，都不能随意点击执行。务必养成打开或者执行文件前采用杀病毒软件查杀的习惯。

随着互联网的日益流行，各种病毒木马也猖厥起来，几乎每天都有新的病毒产生，大肆传播破坏，给广大互联网用户造成了极大的危害，几乎到了令人谈毒色变的地步。各种病毒，蠕虫，木马纷至沓来，令人防不胜防，苦恼无比。那么，究竟什么是病毒，蠕虫，木马，它们之间又有什么区别?相信大多数人对这个问题并没有一个清晰的了解，在这里，我们就来简单讲讲。

　　病毒、蠕虫和特洛伊木马是可导致您的计算机和计算机上的信息损坏的恶意程序。它们可能使你的网络和操作系统变慢，危害严重时甚至会完全破坏您的系统，并且，它们还可能使用您的计算机将它们自己传播给您的朋友、家人、同事以及 Web 的其他地方，在更大范围内造成危害。这三种东西都是人为编制出的恶意代码，都会对用户照成危害，人们往往将它们统称作病毒，但其实这种称法并不准确，它们之间虽然有着共性，但也有着很大的差别。

　　什么是病毒?

　　计算机病毒(Computer Virus),根据《中华人民共和国计算机信息系统安全保护条例》，病毒的明确定义是“指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。病毒必须满足两个条件:

　　1、它必须能自行执行。它通常将自己的代码置于另一个程序的执行路径中。

　　2、它必须能自我复制。例如，它可能用受病毒感染的文件副本替换其他可执行文件。病毒既可以感染桌面计算机也可以感染网络服务器。

　　此外，病毒往往还具有很强的感染性，一定的潜伏性，特定的触发性和很大的破坏性等，由于计算机所具有的这些特点与生物学上的病毒有相似之处，因些人们才将这种恶意程序代码称之为“计算机病毒”。一些病毒被设计为通过损坏程序、删除文件或重新格式化硬盘来损坏计算机。有些病毒不损坏计算机，而只是复制自身，并通过显示文本、视频和音频消息表明它们的存在。即使是这些良性病毒也会给计算机用户带来问题。通常它们会占据合法程序使用的计算机内存。结果，会引起操作异常，甚至导致系统崩溃。另外，许多病毒包含大量错误，这些错误可能导致系统崩溃和数据丢失。令人欣慰的是，在没有人员操作的情况下，一般的病毒不会自我传播，必须通过某个人共享文件或者发送电子邮件等方式才能将它一起移动。典型的病毒有黑色星期五病毒等。

　　什么是蠕虫?

　　蠕虫(worm)也可以算是病毒中的一种，但是它与普通病毒之间有着很大的区别。一般认为:蠕虫是一种通过网络传播的恶性病毒，它具有病毒的一些共性，如传播性、隐蔽性、破坏性等等，同时具有自己的一些特征，如不利用文件寄生(有的只存在于内存中)，对网络造成拒绝服务，以及和黑客技术相结合，等等。普通病毒需要传播受感染的驻留文件来进行复制，而蠕虫不使用驻留文件即可在系统之间进行自我复制， 普通病毒的传染能力主要是针对计算机内的文件系统而言，而蠕虫病毒的传染目标是互联网内的所有计算机。它能控制计算机上可以传输文件或信息的功能，一旦您的系统感染蠕虫，蠕虫即可自行传播，将自己从一台计算机复制到另一台计算机，更危险的是，它还可大量复制。因而在产生的破坏性上，蠕虫病毒也不是普通病毒所能比拟的，网络的发展使得蠕虫可以在短短的时间内蔓延整个网络，造成网络瘫痪!局域网条件下的共享文件夹、电子邮件Email、网络中的恶意网页、大量存在着漏洞的服务器等，都成为蠕虫传播的良好途径，蠕虫病毒可以在几个小时内蔓延全球，而且蠕虫的主动攻击性和突然爆发性将使得人们手足无措。此外，蠕虫会消耗内存或网络带宽，从而可能导致计算机崩溃。而且它的传播不必通过“宿主”程序或文件，因此可潜入您的系统并允许其他人远程控制您的计算机，这也使它的危害远较普通病毒为大。典型的蠕虫病毒有尼姆达、震荡波等。

　　什么是木马?

　　木马(Trojan Horse)，是从希腊神话里面的“特洛伊木马”得名的,希腊人在一只假装人祭礼的巨大木马中藏匿了许多希腊士兵并引诱特洛伊人将它运进城内，等到夜里马腹内士兵与城外士兵里应外合，一举攻破了特洛伊城。而现在所谓的特洛伊木马正是指那些表面上是有用的软件、实际目的却是危害计算机安全并导致严重破坏的计算机程序。它是具有欺骗性的文件(宣称是良性的，但事实上是恶意的)，是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，也难以确定其具体位置;所谓非授权性是指一旦控制端与服务端连接后，控制端将窃取到服务端的很多操作权限，如修改文件，修改注册表，控制鼠标，键盘，窃取信息等等。一旦中了木马，你的系统可能就会门户大开，毫无秘密可言。特洛伊木马与病毒的重大区别是特洛伊木马不具传染性，它并不能像病毒那样复制自身，也并不"刻意"地去感染其他文件，它主要通过将自身伪装起来，吸引用户下载执行。特洛伊木马中包含能够在触发时导致数据丢失甚至被窃的恶意代码，要使特洛伊木马传播，必须在计算机上有效地启用这些程序，例如打开电子邮件附件或者将木马捆绑在软件中放到网络吸引人下载执行等。现在的木马一般主要以窃取用户相关信息为主要目的，相对病毒而言，我们可以简单地说，病毒破坏你的信息，而木马窃取你的信息。典型的特洛伊木马有灰鸽子、网银大盗等。

　　从上面这些内容中我们可以知道，实际上，普通病毒和部分种类的蠕虫还有所有的木马是无法自我传播的。感染病毒和木马的常见方式，一是运行了被感染有病毒木马的程序，一是浏览网页、邮件时被利用浏览器漏洞，病毒木马自动下载运行了，这基本上是目前最常见的两种感染方式了。 因而要预防病毒木马，我们首先要提高警惕，不要轻易打开来历不明的可疑的文件、网站、邮件等，并且要及时为系统打上补丁，最后安装上防火墙还有一个可靠的杀毒软件并及时升级病毒库。如果做好了以上几点，基本上可以杜绝绝大多数的病毒木马。最后，值得注意的是，不能过多依赖杀毒软件，因为病毒总是出现在杀毒软件升级之前的，靠杀毒软件来防范病毒，本身就处于被动的地位，我们要想有一个安全的网络安全环境，根本上还是要首先提高自己的网络安全意识，对病毒做到预防为主，查杀为辅。

黑客程序头号杀手：网页杀手

说真的，有多少人没领教过它的雄风呢？只需几句，便可将你的注册表改的体无完肤；只需一段很短的代码，你的硬盘可能就要面临格式化的危险！

要防着这只黑手，可能只能借助软件了——即使是这样，危险依然存在……或许，最有效的方法就是不上黑客网，不上色情网，不上不知名的网站——这恐怕是不可能的！

也有人说不用IE，其实IE的确存在许多漏洞，就比如说吧，我上次弄了个网页炸弹——原理很简单只利用原子弹爆炸原理，无限量消耗内存。但是这个炸弹对腾讯和金山的浏览器不起丝毫的作用。哈，问题可在微软身上了。但是，说实在，现在除了IE，还有多少可靠的浏览器可用呢？

黑客程序二号杀手：邮件暗手

“你中奖啦！”“打开附件会有意外惊喜哦！”——这些话，你可千万别信！看到类似广告的邮件标题，最好就把它删掉——看都不看他。邮件暗手可不是闹着玩的！

或许，有人认为只要不打开附件就没事了。错！大家听说过脚本吗？秩序利用脚本，便可“帮”你打开附件——你说可怕不可怕？防邮件暗手的方法也不多讲了，但是要注意的是拒敌于家门外。也许很多人都有这样的遭遇：中了病毒、木马之类的东西，即使用反病毒软件也很难根除。的确如此，病毒在进步，决不让反病毒软件轻易的将他们赶尽杀绝。

黑客程序三号杀手：诱骗之手

现在的某些黑客程序是用户自己将他们引进计算机的。这句话一点也没错，真的如此。

这个经改良后的程序怎么怎么好；网上可以免费下载市面上很贵的电脑软件等等，往往让某些人放松了警惕——没想到这可能有危险！

黑客程序四号杀手：暴力之手

有些人也许不会相信，有人可以将黑客程序强行安装到它的计算机上。其实，这是有可能的。入侵、恶意脚本等都有能力办到。要防住这一手，恐怕也只能靠网络防火墙和反病毒软件了。

如何更好的达到防范黑客攻击，本人提一下个人意见!第一，免费程序不要真的就免费用，既然你可以共享原码，那么攻击者一样可以分析代码。如果在细节上注意防范，那样你站点的安全性就大大的提高了。即使出现了SQL Injection这样的漏洞，攻击者也不可能马上拿下你的站点。

　　由于ASP的方便易用，越来越多的网站后台程序都使用ASP脚本语言。但是， 由于ASP本身存在一些安全漏洞，稍不小心就会给黑客提供可乘之机。事实上，安全不仅是网管的事，编程人员也必须在某些安全细节上注意，养成良好的安全习惯，否则会给自己的网站带来巨大的安全隐患。目前，大多数网站上的ASP程序有这样那样的安全漏洞，但如果编写程序的时候注意一点的话，还是可以避免的。

　　1、用户名与口令被破解

　　攻击原理:用户名与口令，往往是黑客们最感兴趣的东西，如果被通过某种方式看到源代码，后果是严重的。

　　防范技巧:涉及用户名与口令的程序最好封装在服务器端，尽量少在ASP文件里出现，涉及与数据库连接的用户名与口令应给予最小的权限。出现次数多的用户名与口令可以写在一个位置比较隐蔽的包含文件中。如果涉及与数据库连接，在理想状态下只给它以执行存储过程的权限，千万不要直接给予该用户修改、插入、删除记录的权限。

　　2、验证被绕过

　　攻击原理:现在需要经过验证的ASP程序大多是在页面头部加一个判断语句，但这还不够，有可能被黑客绕过验证直接进入。

　　防范技巧:需要经过验证的ASP页面，可跟踪上一个页面的文件名，只有从上一页面转进来的会话才能读取这个页面。

　　3、inc文件泄露问题

　　攻击原理:当存在ASP的主页正在制作且没有进行最后调试完成以前，可以被某些搜索引擎机动追加为搜索对象。如果这时候有人利用搜索引擎对这些网页进行查找，会得到有关文件的定位，并能在浏览器中查看到数据库地点和结构的细节，并以此揭示完整的源代码。

　　防范技巧:程序员应该在网页发布前对它进行彻底的调试;安全专家则需要加固ASP文件以便外部的用户不能看到它们。首先对.inc文件内容进行加密，其次也可以使用.asp文件代替.inc文件使用户无法从浏览器直接观看文件的源代码。inc文件的文件名不要使用系统默认的或者有特殊含义容易被用户猜测到的名称，尽量使用无规则的英文字母。

随着电脑越来越深入到普通用户的生活、工作之中，原来只有专业人员才会遇到的问题，例如配置小型(家庭)网络，现在普通用户也会经常遇到。Windows系列操作系统一直以易用著称，力图让本来复杂的任务通过简单的操作即可完成。但是有的时候，易用性和安全是相互冲突的;同时，由于网络的广泛使用，每一台上网的PC实际上就是一个Internet的节点，所以安全是每一个用户必须关注的问题。

　　一、简单文件共享

　　为了让网络上的用户只需点击几下鼠标就可以实现文件共享，XP加入了一种称为“简单文件共享”的功能，但同时也打开了许多NetBIOS漏洞。关闭简单文件共享功能的步骤是:打开“我的电脑”，选择菜单“工具”→“文件夹选项”，点击“查看”，在“高级设置”中取消“使用简单文件共享(推荐)”。

　　二、FAT32

　　凡是新买的机器，许多硬盘驱动器都被格式化成FAT32。要想提高安全性，可以把FAT32文件系统转换成NTFS。NTFS允许更全面、细粒度地控制文件和文件夹的权限，进而还可以使用加密文件系统(EFS，Encrypting File System)，从文件分区这一层次保证数据不被窃取。在“我的电脑”中用右键点击驱动器并选择“属性”，可以查看驱动器当前的文件系统。如果要把文件系统转换成NTFS，先备份一下重要的文件，选择菜单“开始”→“运行”，输入cmd，点击“确定”。然后，在命令行窗口中，执行convert x: /fs:ntfs(其中x是驱动器的盘符)。

　　三、Guest帐户

　　Guest帐户即所谓的来宾帐户，它可以访问计算机，但受到限制。不幸的是，Guest也为黑客入侵打开了方便之门。如果不需要用到Guest帐户，最好禁用它。在Win XP Pro中，打开“控制面板”→“管理工具”，点击“计算机管理”。在左边列表中找到“本地用户和组”并点击其中的“用户”，在右边窗格中，双击Guest帐户，选中“帐户已停用”。WinXP Home不允许停用Guest帐户，但允许为Guest帐户设置密码:先在命令行环境中执行Net user guest password命令，然后进入“控制面板”、“用户设置”，设置Guest帐户的密码。

　　四、Administrator帐户

　　黑客入侵的常用手段之一就是试图获得Administrator帐户的密码。每一台计算机至少需要一个帐户拥有Administrator(管理员)权限，但不一定非用“Administrator”这个名称不可。所以，无论在XP Home还是Pro中，最好创建另一个拥有全部权限的帐户，然后停用Administrator帐户。另外，在WinXP Home中，修改一下默认的所有者帐户名称。最后，不要忘记为所有帐户设置足够复杂的密码。

　　五、交换文件

　　即使你的操作完全正常，Windows也会泄漏重要的机密数据(包括密码)。也许你永远不会想到要看一下这些泄漏机密的文件，但黑客肯定会。你首先要做的是，要求机器在关机的时候清除系统的页面文件(交换文件)。点击Windows的“开始”菜单，选择“运行”，执行Regedit。在注册表中找到HKEY_local_machine\system\currentcontrolset\control\sessionmanager\memory management，然后创建或修改ClearPageFileAtShutdown，把这个DWORD值设置为1。

　　六、转储文件

　　系统在遇到严重问题时，会把内存中的数据保存到转储文件。转储文件的作用是帮助人们分析系统遇到的问题，但对一般用户来说没有用;另一方面，就象交换文件一样，转储文件可能泄漏许多敏感数据。禁止Windows创建转储文件的步骤如下:打开“控制面板”→“系统”，找到“高级”，然后点击“启动和故障恢复”下面的“设置”按钮，将“写入调试信息”这一栏设置成“(无)”。类似于转储文件，Dr. Watson也会在应用程序出错时保存调试信息。禁用Dr. Watson的步骤是:在注册表中找到HKEY_local_machine\software\Microsoft\WindowsNT\CurrentVersion\AeDebug，把Auto值改成“0”。然后在Windows资源管理器中打开Documents and Settings\All Users\Shared Documents\DrWatson，删除User.dmp和Drwtsn32.log这两个文件。

　　七、多余的服务

　　为了方便用户，WinXP默认启动了许多不一定要用到的服务，同时也打开了入侵系统的后门。如果你不用这些服务，最好关闭它们:NetMeeting Remote Desktop Sharing，Remote Desktop Help Session Manager，Remote Registry，Routing and Remote Access，SSDP Discovery Service，telnet，Universal Plug and Play Device Host。打开“控制面板”→“管理工具”→“服务”，可以看到有关这些服务的说明和运行状态。要关闭一个服务，只需右键点击服务名称并选择“属性”菜单，在“常规”选项卡中把“启动类型”改成“手动”，再点击“停止”按钮。

不知道身为网络管理员的你是否遇到过服务器因为拒绝服务攻击都瘫痪的情况呢?就网络安全而言目前最让人担心和害怕的入侵攻击就要算是拒绝服务攻击了。他和传统的攻击不同，采取的是仿真多个客户端来连接服务器，造成服务器无法完成如此多的客户端连接，从而无法提供服务。

　　一，拒绝服务攻击的发展

　　从拒绝服务攻击诞生到现在已经有了很多的发展，从最初的简单Dos到现在的DdoS。那么什么是Dos和DdoS呢?DoS是一种利用单台计算机的攻击方式。而DdoS(Distributed Denial of Service，分布式拒绝服务)是一种基于DoS的特殊形式的拒绝服务攻击，是一种分布、协作的大规模攻击方式，主要瞄准比较大的站点，比如一些商业公司、搜索引擎和政府部门的站点。DdoS攻击是利用一批受控制的机器向一台机器发起攻击，这样来势迅猛的攻击令人难以防备，因此具有较大的破坏性。如果说以前网络管理员对抗Dos可以采取过滤IP地址方法的话，那么面对当前DdoS众多伪造出来的地址则显得没有办法。所以说防范DdoS攻击变得更加困难，如何采取措施有效的应对呢?下面我们从两个方面进行介绍。

　　二，预防为主保证安全

　　DdoS攻击是黑客最常用的攻击手段，下面列出了对付它的一些常规方法。

　　(1)定期扫描

　　要定期扫描现有的网络主节点，清查可能存在的安全漏洞，对新出现的漏洞及时进行清理。骨干节点的计算机因为具有较高的带宽，是黑客利用的最佳位置，因此对这些主机本身加强主机安全是非常重要的。而且连接到网络主节点的都是服务器级别的计算机，所以定期扫描漏洞就变得更加重要了。

　　(2)在骨干节点配置防火墙

　　防火墙本身能抵御DdoS攻击和其他一些攻击。在发现受到攻击的时候，可以将攻击导向一些牺牲主机，这样可以保护真正的主机不被攻击。当然导向的这些牺牲主机可以选择不重要的，或者是linux以及unix等漏洞少和天生防范攻击优秀的系统。

　　(3)用足够的机器承受黑客攻击

　　这是一种较为理想的应对策略。如果用户拥有足够的容量和足够的资源给黑客攻击，在它不断访问用户、夺取用户资源之时，自己的能量也在逐渐耗失，或许未等用户被攻死，黑客已无力支招儿了。不过此方法需要投入的资金比较多，平时大多数设备处于空闲状态，和目前中小企业网络实际运行情况不相符。

　　(4)充分利用网络设备保护网络资源

　　所谓网络设备是指路由器、防火墙等负载均衡设备，它们可将网络有效地保护起来。当网络被攻击时最先死掉的是路由器，但其他机器没有死。死掉的路由器经重启后会恢复正常，而且启动起来还很快，没有什么损失。若其他服务器死掉，其中的数据会丢失，而且重启服务器又是一个漫长的过程。特别是一个公司使用了负载均衡设备，这样当一台路由器被攻击死机时，另一台将马上工作。从而最大程度的削减了DdoS的攻击。

　　(5)过滤不必要的服务和端口

　　可以使用Inexpress、Express、Forwarding等工具来过滤不必要的服务和端口，即在路由器上过滤假IP。比如Cisco公司的CEF(Cisco Express Forwarding)可以针对封包Source IP和Routing Table做比较，并加以过滤。只开放服务端口成为目前很多服务器的流行做法，例如WWW服务器那么只开放80而将其他所有端口关闭或在防火墙上做阻止策略。

　　(6)检查访问者的来源

　　使用Unicast Reverse Path Forwarding等通过反向路由器查询的方法检查访问者的IP地址是否是真，如果是假的，它将予以屏蔽。许多黑客攻击常采用假IP地址方式迷惑用户，很难查出它来自何处。因此，利用Unicast Reverse Path Forwarding可减少假IP地址的出现，有助于提高网络安全性。

　　(7)过滤所有RFC1918 IP地址

　　RFC1918 IP地址是内部网的IP地址，像10.0.0.0、192.168.0.0 和172.16.0.0，它们不是某个网段的固定的IP地址，而是Internet内部保留的区域性IP地址，应该把它们过滤掉。此方法并不是过滤内部员工的访问，而是将攻击时伪造的大量虚假内部IP过滤，这样也可以减轻DdoS的攻击。

　　(8)限制SYN/ICMP流量

　　用户应在路由器上配置SYN/ICMP的最大流量来限制SYN/ICMP封包所能占有的最高频宽，这样，当出现大量的超过所限定的SYN/ICMP流量时，说明不是正常的网络访问，而是有黑客入侵。早期通过限制SYN/ICMP流量是最好的防范DOS的方法，虽然目前该方法对于DdoS效果不太明显了，不过仍然能够起到一定的作用。

　　三，寻找机会应对攻击

　　如果用户正在遭受攻击，他所能做的抵御工作将是非常有限的。因为在原本没有准备好的情况下有大流量的灾难性攻击冲向用户，很可能在用户还没回过神之际，网络已经瘫痪。但是，用户还是可以抓住机会寻求一线希望的。

　　(1)检查攻击来源，通常黑客会通过很多假IP地址发起攻击，此时，用户若能够分辨出哪些是真IP哪些是假IP地址，然后了解这些IP来自哪些网段，再找网网管理员将这些机器关闭，从而在第一时间消除攻击。如果发现这些IP地址是来自外面的而不是公司内部的IP的话，可以采取临时过滤的方法，将这些IP地址在服务器或路由器上过滤掉。

　　(2)找出攻击者所经过的路由，把攻击屏蔽掉。若黑客从某些端口发动攻击，用户可把这些端口屏蔽掉，以阻止入侵。不过此方法对于公司网络出口只有一个，而又遭受到来自外部的DdoS攻击时不太奏效，毕竟将出口端口封闭后所有计算机都无法访问internet了。

　　(3)最后还有一种比较折中的方法是在路由器上滤掉ICMP。虽然在攻击时他无法完全消除入侵，但是过滤掉ICMP后可以有效的防止攻击规模的升级，也可以在一定程度上降低攻击的级别。

　　总结：

　　目前网络安全界对于DdoS的防范还是没有什么好办法的，主要靠平时维护和扫描来对抗。简单的通过软件防范的效果非常不明显，即便是使用了硬件安防设施也仅仅能起到降低攻击级别的效果，Ddos攻击只能被减弱，无法被彻底消除。不过如果我们按照本文的方法和思路去防范DdoS的话，收到的效果还是非常显著的，可以将攻击带来的损失降低到最小

对于大多数企业局域网来说，路由器已经成为正在使用之中的最重要的安全设备之一。一般来说，大多数网络都有一个主要的接入点。这就是通常与专用防火墙一起使用的“边界路由器”。

经过恰当的设置，边界路由器能够把几乎所有的最顽固的坏分子挡在网络之外。如果你愿意的话，这种路由器还能够让好人进入网络。不过，没有恰当设置的路由器只是比根本就没有安全措施稍微好一点。

在下列指南中，我们将研究一下你可以用来保护网络安全的9个方便的步骤。这些步骤能够保证你拥有一道保护你的网络的砖墙，而不是一个敞开的大门。

1.修改默认的口令!

据卡内基梅隆大学的CERT/CC(计算机应急反应小组/控制中心)称，80%的安全突破事件是由薄弱的口令引起的。网络上有大多数路由器的广泛的默认口令列表。你可以肯定在某些地方的某个人会知道你的生日。SecurityStats.com网站维护一个详尽的可用/不可用口令列表，以及一个口令的可靠性测试。

2.关闭IP直接广播(IP Directed Broadcast)

你的服务器是很听话的。让它做什么它就做什么，而且不管是谁发出的指令。Smurf攻击是一种拒绝服务攻击。在这种攻击中，攻击者使用假冒的源地址向你的网络广播地址发送一个“ICMP echo”请求。这要求所有的主机对这个广播请求做出回应。这种情况至少会降低你的网络性能。

参考你的路由器信息文件，了解如何关闭IP直接广播。例如，“Central(config)#no ip source-route”这个指令将关闭思科路由器的IP直接广播地址。

3.如果可能，关闭路由器的HTTP设置

正如思科的技术说明中简要说明的那样，HTTP使用的身份识别协议相当于向整个网络发送一个未加密的口令。然而，遗憾的是，HTTP协议中没有一个用于验证口令或者一次性口令的有效规定。

虽然这种未加密的口令对于你从远程位置(例如家里)设置你的路由器也许是非常方便的，但是，你能够做到的事情其他人也照样可以做到。特别是如果你仍在使用默认的口令!如果你必须远程管理路由器，你一定要确保使用SNMPv3以上版本的协议，因为它支持更严格的口令。

4.封锁ICMP ping请求

ping的主要目的是识别目前正在使用的主机。因此，ping通常用于更大规模的协同性攻击之前的侦察活动。通过取消远程用户接收ping请求的应答能力，你就更容易避开那些无人注意的扫描活动或者防御那些寻找容易攻击的目标的“脚本小子”(script kiddies)。

请注意，这样做实际上并不能保护你的网络不受攻击，但是，这将使你不太可能成为一个攻击目标。

5.关闭IP源路由

IP协议允许一台主机指定数据包通过你的网络的路由，而不是允许网络组件确定最佳的路径。这个功能的合法的应用是用于诊断连接故障。但是，这种用途很少应用。这项功能最常用的用途是为了侦察目的对你的网络进行镜像，或者用于攻击者在你的专用网络中寻找一个后门。除非指定这项功能只能用于诊断故障，否则应该关闭这个功能。

6.确定你的数据包过滤的需求

封锁端口有两项理由。其中之一根据你对安全水平的要求对于你的网络是合适的。

对于高度安全的网络来说，特别是在存储或者保持秘密数据的时候，通常要求经过允许才可以过滤。在这种规定中，除了网路功能需要的之外，所有的端口和IP地址都必要要封锁。例如，用于web通信的端口80和用于SMTP的110/25端口允许来自指定地址的访问，而所有其它端口和地址都可以关闭。

大多数网络将通过使用“按拒绝请求实施过滤”的方案享受可以接受的安全水平。当使用这种过滤政策时，可以封锁你的网络没有使用的端口和特洛伊木马或者侦查活动常用的端口来增强你的网络的安全性。例如，封锁139端口和445(TCP和UDP)端口将使黑客更难对你的网络实施穷举攻击。封锁31337(TCP和UDP)端口将使Back orifice木马程序更难攻击你的网络。

这项工作应该在网络规划阶段确定，这时候安全水平的要求应该符合网络用户的需求。查看这些端口的列表，了解这些端口正常的用途。

7.建立准许进入和外出的地址过滤政策

在你的边界路由器上建立政策以便根据IP地址过滤进出网络的违反安全规定的行为。除了特殊的不同寻常的案例之外，所有试图从你的网络内部访问互联网的IP地址都应该有一个分配给你的局域网的地址。例如，192.168.0.1这个地址也许通过这个路由器访问互联网是合法的。但是，216.239.55.99这个地址很可能是欺骗性的，并且是一场攻击的一部分。

相反，来自互联网外部的通信的源地址应该不是你的内部网络的一部分。因此，应该封锁入网的192.168.X.X、172.16.X.X和10.X.X.X等地址。

最后，拥有源地址的通信或者保留的和无法路由的目标地址的所有的通信都应该允许通过这台路由器。这包括回送地址127.0.0.1或者E类(class E)地址段240.0.0.0-254.255.255.255。

8.保持路由器的物理安全

从网络嗅探的角度看，路由器比集线器更安全。这是因为路由器根据IP地址智能化地路由数据包，而集线器相所有的节点播出数据。如果连接到那台集线器的一个系统将其网络适配器置于混乱的模式，它们就能够接收和看到所有的广播，包括口令、POP3通信和Web通信。

然后，重要的是确保物理访问你的网络设备是安全的，以防止未经允许的笔记本电脑等嗅探设备放在你的本地子网中。

9.花时间审阅安全记录

审阅你的路由器记录(通过其内置的防火墙功能)是查出安全事件的最有效的方法，无论是查出正在实施的攻击还是未来攻击的征候都非常有效。利用出网的记录，你还能够查出试图建立外部连接的特洛伊木马程序和间谍软件程序。用心的安全管理员在病毒传播者作出反应之前能够查出“红色代码”和“Nimda”病毒的攻击。

此外，一般来说，路由器位于你的网络的边缘，并且允许你看到进出你的网络全部通信的状况。

今年的网络游戏可谓是一枝独秀，人气旺盛。网络游戏已经成为很多人另外一个生活的世界，网络游戏中的很多装备甚至级别高的账号本身也成为了玩家的财产，在现实世界中用现金来进行交易。于是，在这样的诱惑下，黑客已经开始瞄上了网络游戏。

　　近日，某公司截获了首例能感染网络游戏的木马病毒，该病毒专门针对国内第二大棋牌类网络游戏：“边锋”游戏。该病毒通过电子邮件进行传播，如果“边锋”游戏的用户收到了病毒邮件，并打开附件，就感染了该木马病毒。

　　据介绍：用户感染了这种木马病毒后，不仅会将自己的用户名、密码外泄，而且在游戏中辛辛苦苦赚来的虚拟货币也将被他人窃取；该木马同时还会将中招的电脑共享到互联网上，被黑客远程控制。目前这种木马还没有进行广泛传播，但是，已经有很多恶意的玩家已经在利用这种木马盗取别人的账号了，请“边锋”游戏的玩家慎重对待别人发送的电子邮件。

　　业内人士分析，随着网络游戏用户不断增多，针对网络游戏的病毒与黑客行为也会越来越多，广大游戏玩家一定要提高警惕，并随时升级您的病毒库！

　　该木马的病毒名称为：Trojan.Benfgame.214310，如果您没有安装杀毒软件，而怀疑自己中了此种木马病毒，可以进行手工清除：

　　(1)先打开注册表编辑器；

　　(2)编辑注册表，恢复注册表中被病毒程序修改的文件关联，并记住被修改的默认关联(病毒程序的名字)。如exe文件的默认关联为"%1"%*，chm文件的默认关联为hh"%1"，txt文件的默认关联为Notepad %1,scr文件的默认关联为"%1" /S；

　　(3)然后打开进程管理器，用进程管理器关掉正在运行的病毒程序(被修改的默认关联病毒程序和MSCVT2.EXE)；

　　(4)编辑注册表中的HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun，找到键值MSBenCheck，并将其删除；

　　(5)删除掉病毒生成的文件，但不要删除系统目录下的那个控件Mswinsck.ocx；

　　(6)修改Windows目录下的win.ini文件，删除[windows]栏中“run=C:WINDOWSMSCVT2.EXE”。

思科公司日前宣布了对全球IT决策者的最终调查结果。结果显示，许多决策者都承认信息安全方面的求助数量不断攀升。此外，为了将安全保护扩展到越来越多的移动工作人员，大多数决策人都表示将在2007年增加安全开支 ，且有2/5的决策者表示2007年的安全开支将会增加10% 以上。


今年夏天，独立的第三方市场调研公司在全球范围内针对移动工作人员开展了一系列深入调查，得到了10个国家1,000多名远程工作人员和1,000多名 IT 决策者的反馈，包括美国、英国、法国、德国、意大利、日本、中国、印度、澳大利亚和巴西，思科日前宣布的正是这些调查的最终结果。最新调查结果肯定了10月份调查结果的准确性，证明远程工作人员在安全意识与实际行为之间存在矛盾，并且未能正确理解 IT 部门在控制员工使用笔记本电脑、个人数字助理（PDA）和智能电话等设备上所起的作用。


总体来说，有 38% 的 IT 决策人称，与安全相关的求助呼叫有所增加。主要包括用户及其设备无法抵御病毒攻击、网页仿冒扫描、身份盗用、黑客及其他恶意行为等问题。在印度，超过一半（55%）的IT 受调查者报告说与安全相关的呼叫有所增加，大多数问题与病毒（70%）、基于垃圾邮件的网页仿冒攻击（61%）和间谍软件（55%）相关。总体而言，垃圾邮件和网页仿冒是协助中心遇到的最常见的问题——在所有的 IT 受调查者中，一半以上（52%）都报告说求助呼叫增加与此类问题有关。


因此，每三名IT受调查者中就有两人（67%）声称将在2007年增加与安全相关的 IT 开支。2/5的受调查者（41%） 预计明年将增加10%以上的安全投资。其中尤以中国、印度和巴西为甚 - 这三个国家是相对较新的互联网市场，也是全球网络经济增长速度最快的三个国家。以下是计划在2007年增长安全投资的IT受调查者的百分比：


1. 中国：90%；52% 的公司计划将安全开支增加 10% 以上


2. 印度：82%；66% 的公司计划将安全开支增加 10% 以上


3. 巴西：81%；65% 的公司计划将安全开支增加 10% 以上


4. 美国：66%；44% 的公司计划将安全开支增加 10% 以上


5. 意大利：66%；34% 的公司计划将安全开支增加 10% 以上


6. 德国：63%；27% 的公司计划将安全开支增加 10% 以上


7. 英国：61%；33% 的公司计划将安全开支增加 10% 以上


8. 澳大利亚：55%；36% 的公司计划将安全开支增加 10% 以上


9. 日本：54%；24% 的公司计划将安全开支增加 10% 以上


10. 法国：51%；29% 的公司计划将安全开支增加 10% 以上上


平均值：67%；41% 的公司计划将安全开支增加 10% 以上


思科安全解决方案营销副总裁 Jeff Platon 说：“这些调查结果与上个月的调查结果惊人的相似。”先前的调查显示，全世界约2/3（67%）的远程工作人员声称自己在远程工作时能够认识到安全的重要性。然而，他们中间有许多人都曾使用办公计算机搭用邻居的无线网络，打开来源不明的电子邮件，将商业文件下载到个人电脑上，并与非员工用户共享工作设备。此外，在谈到公司设备的使用控制权时，大多数的远程工作人员都认为部门经理比IT人员权利更高，有些人甚至认为他们如何使用公司设备根本与 IT无关。


Platon 说：“这些调查结果给 IT 和安全团队敲响了警钟。结果明确显示，用户具有安全意识并不一定代表他们拥有安全行为。此外，由于许多用户都忽视了 IT 部门的作用，因此不愿与 IT 部门自由交流，从而未能采用最佳业务实践，难怪 IT 要被动应对越来越多的求助呼叫并增加安全开支。了解到这个现象的幕后原因，将敦促IT 部门采取更先进的低成本方法来保护公司数据和员工。”


据思科首席安全官 John N. Stewart 称，此类方法需要领导层一致地推行“安全意识文化”。Stewart 建议公司针对不同的用户和企业文化定制培训项目，在整个公司和各级组织级别都任命安全先进代表，并加大奖励和表彰力度。他说：“通过生动的安全事故教育可帮助员工提高对安全重要性的认识。”


Stewart 补充说：“技术对安全至关重要，但不是唯一的决定因素。保护安全性是以人为核心的，涉及到沟通以及坚定不移地实施教育、培训和奖励计划等问题。如果将IT和用户的关系与技术解决方案紧密关联在一起，IT 部门自然会发挥战略顾问的作用，推动形成注重安全的企业文化。这时，CIO 和CSO （首席安全官）将能够共同优化安全解决方案的回报，同时防止出现影响生产率的风险。简而言之，就是能够帮助企业取得成功。

间谍软件（spyware）的一个共同特点是，能够附着在共享文件、可执行图像以及各种免费软件当中，并趁机潜入用户的系统，而用户对此毫不知情。间谍软件的主要用途是跟踪用户的上网习惯，有些间谍软件还可以记录用户的键盘操作，捕捉并传送屏幕图像。间谍程序总是与其他程序捆绑在一起，用户很难发现它们是什么时候安装的。一旦间谍软件进入计算机系统，要想彻底清除它们就会十分困难，而且间谍软件往往成为不法分子手中的危险工具。

Gartner的分析专家认为，间谍软件就目前来说还是良性的，不过间谍软件在未来将会变得更具威胁性，不仅可以窃取口令、信用卡号，而且还可以偷走各种类型的身份信息，用于一些更加险恶的目的，如捕捉和传送Word和Excel文档，窃取企业秘密等。如果间谍软件打开通向用户桌面系统的通道，那么用户面临的危险将是不可想象的。

如何避免间谍软件　

强制使用安全策略是防止间谍软件的第一道防线，具体措施包括：使用微软的域名安全策略来配置桌面浏览器和Outlook；阻断ActiveX和其他可执行文件；管理脚本文件；通过HTTP代理来过滤Web内容。

如果员工不需要使用Internet来完成自己的工作，还可以断开他们的网络连接。此外，对员工进行培训，使他们知道如何在Web上安全冲浪，在培训中需要注意以下几点：不要下载对等程序或任何无法确定其安全性的程序；不要点击诸如跳舞的小熊等有趣的图片；在咨询IT部门之前，不要下载免费软件；最关键的原则是，如果工作不需要，就不要点击无关内容。

如何探测间谍软件

即使用户已经实施了上述策略，间谍软件仍有可能乘虚而入。过滤软件厂商Websense推出了一种被称为客户端应用模块（Client Application Module，CAM ）的产品，并在其中增加了一些全新的反间谍软件功能。该组件可以作为插件安装到Websense的Websense Enterprise集中管理器当中，能够在间谍软件进入网络中的计算机之前拦截它们。如果一些间谍软件通过了这道屏障，CAM也可以利用内核中的过滤驱动程序阻止其执行。这一驱动程序可以对间谍程序进行分类查找，并阻止间谍软件离开。通过这种方式，Websense可以找到那些穿过防线的间谍软件。Websense还可以通过报告机制通知管理员应当对哪些计算机采取措施。

除了Websense　CAM外，利用商业工具和一些免费软件，人们也能减小计算机感染间谍软件的概率。杀毒软件能够阻止部分间谍软件发作，桌面工具也可以清除受害机器上的间谍软件。可以肯定的是，Web过滤是最有效的办法，它可以将大部分的间谍软件拒之门外。

如何清除间谍软件

对于那些穿过Web过滤器的间谍软件，如果不使用自动化的间谍软件清除工具，人们将很难将它们清除干净。根据CDT关于间谍软件的一份报告，多数间谍软件都具有抗删除的能力。间谍软件会在系统注册表中遗留下许多后门，并且很难清除干净。要想彻底消除，就必须分解注册表的每一项，并且需要知道查找哪些文件。Lavasoft公司专门推出了一种Ad-Aware间谍软件消除软件。除了Ad-Aware外，还有一种称为Spy Bot的免费软件产品，Spy Bot可以清除更多的间谍软件，而且不需要进行太多的自定义配置。