保护SSH的利器——sshguard

保护SSH的利器——sshguard

由于服务器开放着SSH协议，经常在互联网上会有一些莫名的“骇客”在扫描我服务器的22端口并试图登录，这给服务器安全带来了很多的隐患。如何保障SSH的安全，自然成为了我们管理员工作的重中之重。 -

BSD 的Ports系统收录了N多的 SSH保护软件，其中有denyhosts,sshit,sshguard,file2ban(ports中无此项)等，起初，我用denyhosts来 阻挡SSH的恶意登录，发现它是调用TCP wrapper来实现的，感觉上并不是太好。后来，无意间发现了SSHguard,它可以结合BSD系统内置的防火墙(IPFW、PF、IPFILTER)来过滤SSH登录，非常不错。实现过程如下： -

1）安装SSHguard -

# cd /usr/ports/security/sshguard-pf
# make install distclean

2)删除syslogd里的注释，启动SSHguard -

auth.info;authpriv.info |exec /usr/local/sbin/sshguard

3）重新加载syslogd -

# /etc/rc.d/syslogd reload

如看到以下信息，证明成功启动 -

Nov 20 08:00:01 test sshguard[54247]: Started successfully [(a,p,s)=(4, 420, 1200)], now ready to scan.

详细内容请访问：http://v.securepub.com/read-htm-tid-1164.html

Hyper-V安全威胁靠边站 安全配置不难办

Hyper-V安全威胁靠边站 安全配置不难办

谈到IT安全，很多人觉得厂商对此最感兴趣，还有一些人则非常谨慎。IT专业人士已经意识到虚拟化又给他们增加了一个潜在的攻击面。不过，虽然总会发现新的攻击源，但虚拟环境还是建立在安全的基础之上。

　　在这种情况下，我们最大的敌人可能就是我们自己。虽然恶意软件的共同特征仍然是依靠已知攻击，而最常见的恶意攻击通常是利用用户的行为危及他们自己的安全。作为虚拟化管理员，我们需要更多安全配置来减少这种情况的发生。

　　真实世界的虚拟层攻击

　　如果你认为虚拟机攻击只不过是一个概念，那让我们看一下VMware的漏洞（CVE - 2009- 1244），这个漏洞在2009年首次公布。黑客可以通过攻击一个虚拟机进而摆脱内置的虚拟安全限制，并取得虚拟主机的控制权。虽然这个漏洞迅速被修补，但它仍然是一种可用攻击。

　　另外一个有名的攻击是通过虚拟机的虚拟总线对没有打过补丁的Windows Server 2008或者R2的Hyper-V主机进行服务攻击。微软通过MS10-102修复了这个漏洞。

　　对Hyper-V影响重大的配置考量

　　虽然许多IT部门都很注重服务器的 补丁管理，但是给虚拟主机打补丁却很痛苦。让所有虚拟机离线，或甚至是将它们转移到另一个Hyper-V的群集成员中，这都非常耗时， 而且我经常发现，它们在资源过量使用时会无法完成。把虚拟层看作是硬件虽然可以取得短期的稳定，但实际上它却产生了一个潜在的安全漏洞，所以虚拟层的补丁 管理是至关重要的。

　　攻击和最新的补丁是明显要关心的事，但是此刻也许是你最不需要担心的，因为真正针对虚拟层的代码攻击相对来说并不 常见。管理员们经常假设一些可能不存在的某种级别的安全或隔离，并且为了减轻虚拟机的日常管理负担而忽略了一些警告和最佳实践。这些错误的选择往往很快便 被忘记。但是，当你的系统受到攻击时，你就会意识到了。

　　让我们把关注的焦点放在微软的Hyper-V上，为了减少攻击面，我们需要在 系统初始安装时就采取一些关键的步骤。首先是虚拟网络设置。虚拟层上承载了很多虚拟交换机，使用虚拟主机上的网卡可以让这些虚拟交换机用各种方式连接到物 理层。一旦配置错误，这些虚拟连接就可能导致严重的问题。

　　如果你把你的管理网络分给来宾虚拟机，攻击向量会允许一台虚拟机访问 Hyper-V管理操作系统，如果得到正确的授权，还可以访问Hyper-V主机和设置或其它虚拟机。默认情况下，该选项是关闭的。但是为了解决多台机器 管理或是网络接口卡（NIC）可用性有限的问题，很多管理员又启用了该选项。启用这个设置会是个安全隐患，因为你可以从它群集的任一台虚拟机来攻击这个管 理系统。因此，对专有的管理网络要使用物理网络适配器，千万不要把这些NIC分给虚拟机流量。

　　你也可以配置Hyper-V来识别 VLAN，以便在逻辑上隔离来自不同虚拟机的流量。虽然这个方法很妙，可以将不同的VLAN混合并匹配到一台物理机或集群主机上的单个物理网卡上，但这并 不能真正地提高安全性。从表面上看，如果不从网络层配置访问规则和路由的话，不同VLAN的虚拟机之间是无法通讯的。但实际上，通往每个虚拟机的所有数据 都经过这块物理网卡，这让黑客攻击VLAN成为可能。因此，适用于物理环境的规则也适用于虚拟环境......

详细链接请访问：http://v.securepub.com/read-htm-tid-1165.html

以牙还牙是对付网络攻击的解决之道吗？

以牙还牙是对付网络攻击的解决之道吗？

执法部门对于网络攻击表示不满，但出席黑帽大会的几位发言人主张利用攻击工具和僵尸网络存在的漏洞，对攻击者予以还击。报复性攻击应该成为大企业IT部门用来对付网络攻击的另一种安全工具吗？

这是个颇有争议的想法，执法部门对于网络攻击通常表示不满；但是近日在美国首都华盛顿举办的黑帽大会上，几位发言人探讨了这个话题：敌人显然在利用攻击工具闯入企业网络，恶意破坏企业数据安全，那么企业要不要予以还击？如何还击？

在会上备受关注的一个想法是，有人提出利用攻击工具和僵尸网络存在的漏洞，设法确定攻击者在找什么目标下手或者设法提供虚假数据，或者甚至是潜入攻击者的网络大本营。

TEHTRI-Security是一家总部设在法国的道德黑客行 为和漏洞研究公司，该公司创办人兼首席执行官Laurent Oudot在黑帽大会上发言时表示，要是结果查明攻击者已接管了企业系统，你自然而然想要"予以还击"，查清楚攻击者在搞什么名堂，采用的手段有可能是找 到对方所用的攻击工具存在的漏洞，然后植下你自己的后门，悄悄监视攻击者。

Oudot说："我们想要奋力还击。我们想要钻对方网络的空 子。"你需要与攻击者有关的统计数字和日志，有可能借助这个想法：攻击Zeus或SpyEye，甚至攻击由某个国家在背后资助的攻击者。Oudot特别指 出，要找到便于破坏攻击工具的零日漏洞并不是很复杂。他公司在识别漏洞方面有着丰富的经验，包括与移动设备有关的几个漏洞。他表示，还击像 Eleonore这样的攻击工具包，或者有意将虚假信息提供给攻击者，其实相当简单。他说："你能奋力还击。你的敌人又不是什么道德黑客。"

安全研究人员Matthew Weeks最近加入了美国空军，他也谈论了对显然利用攻击工具闯入网络的黑客要不要还以颜色的问题，承认执法部门可能会认为大多数予以还击的想法是违法的。

但是作为开源版Metasploit的开发者之一（这个工具用来测试和探测网络漏洞，既可以用在正道上，也可以用在歪道上），Weeks表示，诸如此类的工具存在自己的漏洞，就像任何一种软件一样，攻击者可能没有注意到要给自己的攻击工具打上补丁。

详细请访问：http://v.securepub.com/read-htm-tid-979.html

2010年扬名的十大WEB黑客技术

2010年扬名的十大WEB黑客技术

在由一个专家小组公开投票选出的2010年网络黑客技术名单中，在线网上银行交易威胁成为黑客技术中的年度头号杀手。该技术被称之为Padding Oracle加密技术，黑客则是利用了微软的网络架构ASP.NET保护AES加密cookie的原理。



如果在cookie中的加密数据已经被改变，那么ASP.NET处理它的方式就会导致应用程序留下一些关于解密信息的蛛丝马迹。这样一来，黑客们就可以推断出从加密密钥中被淘汰出来的可能的字节，从而减少了未知字节，让解密范围缩小到足够可以被猜测出来。

黑客的开发商――Juliano Rizzo和Thai Duong已经开发了一种执行该袭击的黑客工具。

Padding Oracle在投票过程中被评为第一。参与该投票的评审团成员包括InGuardians的创始人Ed Skoudis，NoScript的作者Girogio Maone ，Armorize的总裁Celeb Sima，Veracode的首席技术官Chris Wysopal，OWASP的董事长兼总裁Jeff Williams，独立安全评估公司的安全顾问Charlie Miller，Mitre的Steven Christey和White Hat Security副总裁Arian Evans。

该排名由Black Hat、OWASP和White Hat Security联合发起，有关黑客的细节将在下个月于德国举行的2011年IT安全主题展示大会上逐一透露。

以下列出位于前十位的其它Web黑客技术：

详细：http://v.securepub.com/read-htm-tid-949.html

预计前往RSA2011美国大会的中国厂商名单

预计前往RSA2011美国大会的中国厂商名单

飞天诚信

天融信

启明星辰

山石网科

华为赛门铁克

绿盟科技

安氏领信

中关村管委会

（如有遗漏欢迎补完）

http://v.securepub.com/read-htm-tid-947.html

主动出击 企业级Web安全不能够被动防御

主动出击 企业级Web安全不能够被动防御

Web服务器现在已经成为了病毒、木马的重灾区。不但企业的门户网站被篡改、资料被窃取，而且还成为了病毒与木马的传播者。有些Web管理员采取了一些措 施，虽然可以保证门户网站的主页不被篡改，但是却很难避免自己的网站被当作肉鸡，来传播病毒、恶意插件、木马等等。笔者认为，这很大一部分原因是管理员在 Web安全防护上太被动。他们只是被动的防御。为了彻底提高Web服务器的安全，笔者认为，Web安全要主动出击。具体的来说，需要做到如下几点。

主动出击 企业级Web安全不能够被动防御

　　一、在代码编写时就要进行漏洞测试

　 　现在的企业网站做的越来越复杂、功能越来越强。不过这些都不是凭空而来的，是通过代码堆积起来的。如果这个代码只供企业内部使用，那么不会带来多大的安 全隐患。但是如果放在互联网上使用的话，则这些为实现特定功能的代码就有可能成为攻击者的目标。笔者举一个简单的例子。在网页中可以嵌入SQL代码。而攻 击者就可以利用这些SQL代码来发动攻击，来获取管理员的密码等等破坏性的动作。有时候访问某些网站还需要有某些特定的控件。用户在安装这些控件时，其实 就有可能在安装一个木马(这可能访问者与被访问者都没有意识到)。

　　为此在为网站某个特定功能编写代码时，就要主动出击。从编码的设计 到编写、到测试，都需要认识到是否存在着安全的漏洞。笔者在日常过程中，在这方面对于员工提出了很高的要求。各个员工必须对自己所开发的功能负责。至少现 在已知的病毒、木马不能够在你所开发的插件中有机可乘。通过这层层把关，就可以提高代码编写的安全性。

　　二、对Web服务器进行持续的监控

　 　冰冻三尺、非一日之寒。这就好像人生病一样，都有一个过程。病毒、木马等等在攻击Web服务器时，也需要一个过程。或者说，在攻击取得成功之前，他们会 有一些试探性的动作。如对于一个采取了一定安全措施的Web服务器，从攻击开始到取得成果，至少要有半天的时间。如果Web管理员对服务器进行了全天候的 监控。在发现有异常行为时，及早的采取措施，将病毒与木马阻挡在门户之外。这种主动出击的方式，就可以大大的提高Web服务器的安全性。

　 　笔者现在维护的Web服务器有好几十个。现在专门有一个小组，来全天候的监控服务器的访问。平均每分钟都可以监测到一些试探性的攻击行为。其中99%以 上的攻击行为，由于服务器已经采取了对应的安全措施，都无功而返。不过每天仍然会遇到一些攻击行为。这些攻击行为可能是针对新的漏洞，或者采取了新的攻击 方式。在服务器上原先没有采取对应的安全措施。如果没有及时的发现这种行为，那么他们就很有可能最终实现他们的非法目的。相反，现在及早的发现了他们的攻 击手段，那么我们就可以在他们采取进一步行动之前，就在服务器上关掉这扇门，补上这个漏洞。

　　笔者在这里也建议，企业用户在选择互联网Web服务器提供商的时候，除了考虑性能等因素之外，还要评估服务提供商能否提供全天候的监控机制。在Web安全上主动出击，及时发现攻击者的攻击行为。在他们采取进一步攻击措施之前，就他们消除在萌芽状态。

详细链接请访问：http://v.securepub.com/read-htm-tid-817-page-e.html#a

腾讯、百度、金山共建最大反欺诈网址库

腾讯、百度、金山共建最大反欺诈网址库

1月10日，面对日益严峻的网购安全威胁，腾讯、百度、金山联合宣布将共建中国最大的反欺诈网址库，建立打击虚假网购信息的联动机制，为广大网民提供及时、快速的网购安全解决方案。

据金山网络刚刚发布的《2010年网购安全报告》显示，在2010年有超过1亿用户曾遭遇过至少一种针对网络购物的安全威胁，带来直接经济损失将突破150亿元， 网购用户的人均经济损失也由2009年的80元上升至150元左右，网购安全刻不容缓。

对 于反欺诈网址库的运行机制，金山网络副总裁陈勇表示，反欺诈网址库对恶意欺诈网址的处理流程大体分为三步：首先，百度、腾讯将收集的可疑网址提交给金山； 然后，由金山的云安全服务中心对这些网址进行分析鉴定，并将鉴定后的结果输入到反欺诈网址库中；最后百度、腾讯通过使用金山云安全接口，共享反欺诈网址 库，将结果应用到各自的产品中。

详细链接：http://v.securepub.com/read-htm-tid-812.html