善于向漏洞掃描要安全

引言：無論多么成熟的系統(tǒng)或網(wǎng)絡(luò)，總會(huì)或多或少地存在一些安全漏洞，要是被惡意用戶利用，很容易造成整個(gè)系統(tǒng)或網(wǎng)絡(luò)的癱瘓。那么如何才能發(fā)現(xiàn)特定系統(tǒng)或網(wǎng)絡(luò)存在的安全漏洞呢？怎樣才能高效進(jìn)行漏洞掃描呢？

無論多么成熟的系統(tǒng)或網(wǎng)絡(luò)，總會(huì)或多或少地存在一些安全漏洞，要是被惡意用戶利用，很容易造成整個(gè)系統(tǒng)或網(wǎng)絡(luò)的癱瘓。對(duì)網(wǎng)絡(luò)管理員來說，要善于發(fā)現(xiàn)和查找各種漏洞，并關(guān)注和利用一些最新安全技術(shù)，來想方設(shè)法保護(hù)單位重要系統(tǒng)和網(wǎng)絡(luò)的運(yùn)行安全。那么如何才能發(fā)現(xiàn)特定系統(tǒng)或網(wǎng)絡(luò)存在的安全漏洞呢？怎樣才能高效進(jìn)行漏洞掃描呢？

掃描漏洞必要性

掃描漏洞操作，實(shí)際上就是借助外力工具，對(duì)單位重要系統(tǒng)平臺(tái)或網(wǎng)絡(luò)設(shè)備進(jìn)行一些安全性測(cè)試操作，來揪出潛藏起來的并容易被非法用戶偷偷利用的安全漏洞。加強(qiáng)系統(tǒng)平臺(tái)或網(wǎng)絡(luò)設(shè)備漏洞掃描操作，是確保它們安全運(yùn)行的必要措施，系統(tǒng)或網(wǎng)絡(luò)管理員一定要認(rèn)真審慎地予以研究和利用。

從主動(dòng)性角度來看，漏洞掃描操作可以分為主動(dòng)性掃描操作和被動(dòng)性掃描操作。主動(dòng)性掃描操作往往是基于網(wǎng)絡(luò)進(jìn)行的，掃描者通過執(zhí)行特定腳本程序，模擬惡意攻擊行為對(duì)重要目標(biāo)發(fā)動(dòng)入侵，同時(shí)自動(dòng)記錄系統(tǒng)的反應(yīng)，從而達(dá)到發(fā)現(xiàn)漏洞的目的，這種掃描操作經(jīng)常被稱為網(wǎng)絡(luò)安全掃描。被動(dòng)性掃描操作一般是基于終端主機(jī)進(jìn)行的，掃描者通過外力工具，對(duì)終端系統(tǒng)中的弱口令設(shè)置、各種不合適的設(shè)置以及其他一些與特定安全規(guī)則相違背的對(duì)象進(jìn)行檢查，根據(jù)掃描獲取的結(jié)果信息，掃描者也能很快知道終端系統(tǒng)究竟有沒有安全漏洞，如果存在安全漏洞的話，可以進(jìn)一步查找到存在安全漏洞的具體位置，這種掃描操作也被人稱為系統(tǒng)安全掃描。

無論進(jìn)行哪種類型的安全漏洞掃描操作，一旦發(fā)現(xiàn)重要系統(tǒng)或網(wǎng)絡(luò)設(shè)備存在具體的漏洞信息時(shí)，都可以在網(wǎng)絡(luò)上搜索有關(guān)應(yīng)對(duì)措施，來對(duì)其進(jìn)行及時(shí)修補(bǔ)操作，確保安全漏洞不被黑客非法利用。

合理進(jìn)行漏洞掃描

用戶不能保護(hù)自己不清楚的東西。這盡管不是網(wǎng)絡(luò)安全領(lǐng)域的“符咒”，不過當(dāng)網(wǎng)管員從合法用戶的角度搜索安全漏洞，或者簡(jiǎn)單一點(diǎn)地說，利用身份驗(yàn)證方式進(jìn)行漏洞掃描操作時(shí)，這句話的確是有道理的。從安全防護(hù)實(shí)踐來看，利用身份驗(yàn)證方式掃描特定系統(tǒng)或設(shè)備的漏洞，雖然需要耗費(fèi)更多的時(shí)間，但從識(shí)別到的安全漏洞數(shù)量來看，這種漏洞掃描操作要比沒有通過身份驗(yàn)證方式掃描的效果好若干倍。

當(dāng)然，良好的身份驗(yàn)證漏洞掃描效果，需要采用合適的掃描方法才能獲得。首先明確要對(duì)什么樣的系統(tǒng)平臺(tái)或網(wǎng)絡(luò)設(shè)備執(zhí)行身份驗(yàn)證漏洞掃描，這或許會(huì)是基于Linux系統(tǒng)的平臺(tái)，也有可能是基于Windows系統(tǒng)的平臺(tái)，或者是少數(shù)終端主機(jī)和特定網(wǎng)絡(luò)設(shè)備。而且，請(qǐng)一定要考慮掃描數(shù)據(jù)庫、Web應(yīng)用，以及那些要求或允許使用SNMP、SSH、FTP、Telnet等 通 信協(xié)議，進(jìn)行身份認(rèn)證的所有系統(tǒng)平臺(tái)和網(wǎng)絡(luò)設(shè)備。類似LanGuard這樣的專業(yè)掃描工具提供了很多方法，來允許用戶靈活進(jìn)行掃描。要是單位外網(wǎng)非法用戶或者內(nèi)網(wǎng)惡意用戶都已經(jīng)進(jìn)行身份驗(yàn)證式漏洞掃描操作，那么我們自己也必須進(jìn)行這種掃描操作。

其次要嘗試不同用戶角色水平的漏洞掃描操作。為了盡可能多地識(shí)別到潛藏在暗處的安全漏洞，系統(tǒng)管理員或網(wǎng)絡(luò)管理員應(yīng)至少使用根級(jí)登錄憑證和超級(jí)用戶權(quán)限執(zhí)行掃描操作，這樣大部分漏洞都能被發(fā)現(xiàn)到。從某種意義上來說，網(wǎng)絡(luò)管理員使用的用戶角色越多，獲取到的掃描結(jié)果會(huì)越不同尋常。當(dāng)發(fā)現(xiàn)最后的掃描結(jié)果不再依照權(quán)限發(fā)生變化時(shí)，不同用戶角色的測(cè)試操作自然就適可而止了。

第三要保證漏洞掃描操作不會(huì)帶來安全麻煩。進(jìn)行漏洞掃描操作，本意是為了防護(hù)系統(tǒng)平臺(tái)或網(wǎng)絡(luò)設(shè)備運(yùn)行安全的，如果這種操作在帶來安全防護(hù)的同時(shí)，也產(chǎn)生其他一些安全麻煩，那就得不償失了。例如，嘗試對(duì)Web應(yīng)用或數(shù)據(jù)庫進(jìn)行漏洞掃描操作時(shí)，不管執(zhí)行什么內(nèi)容的掃描操作，都會(huì)對(duì)系統(tǒng)平臺(tái)或網(wǎng)絡(luò)設(shè)備的CPU資源、內(nèi)存資源甚至網(wǎng)絡(luò)資源進(jìn)行消耗，這種消耗占用現(xiàn)象一旦過度的話，就可能出現(xiàn)用戶賬號(hào)鎖定、系統(tǒng)或設(shè)備假死甚至臨時(shí)崩潰的問題，這樣漏洞掃描操作反而會(huì)引起系統(tǒng)或設(shè)備運(yùn)行不穩(wěn)定的麻煩。所以，在對(duì)重要系統(tǒng)平臺(tái)或網(wǎng)絡(luò)設(shè)備執(zhí)行身份驗(yàn)證漏洞掃描操作之前，應(yīng)先嘗試在一個(gè)或兩個(gè)普通系統(tǒng)平臺(tái)或設(shè)備上運(yùn)行身份驗(yàn)證掃描，檢查其有沒有什么可能的副作用出現(xiàn)，如果沒有遇到副作用，再擴(kuò)展到掃描重要系統(tǒng)平臺(tái)或其他多個(gè)系統(tǒng)和設(shè)備。

第四按需生成漏洞掃描報(bào)告。漏洞掃描操作結(jié)束后，可能會(huì)發(fā)現(xiàn)若干個(gè)安全漏洞，要將它們利用到后續(xù)的安全防護(hù)實(shí)踐中，必須要根據(jù)實(shí)際情況，選取一種最合理方式，生成漏洞掃描報(bào)告。例如，以電子表格或者HTML網(wǎng)頁形式排列掃描發(fā)現(xiàn)到的安全漏洞，有利于網(wǎng)管員或其他技術(shù)人員，可以更簡(jiǎn)單更直觀地看清漏洞產(chǎn)生的原因，從而能夠節(jié)省不少時(shí)間，同時(shí)提高工作效率。很明顯，合理進(jìn)行漏洞掃描，可以幫助我們?cè)诟虝r(shí)間內(nèi)，更好地發(fā)現(xiàn)和識(shí)別各種潛藏的安全漏洞，幫助單位網(wǎng)絡(luò)降低安全威脅，然后萬事大吉，何樂而不為呢？

正確選用掃描工具

除了注意掃描方法外，單位網(wǎng)管人員或其他技術(shù)人員，還要根據(jù)單位的資金預(yù)算和網(wǎng)絡(luò)部署實(shí)際，正確選用硬件類型的或軟件類型的漏洞掃描工具。

不少單位一邊在想方設(shè)法地尋找更合理地安全解決方案，一邊不斷地進(jìn)行著各種安全測(cè)試。這些頻繁測(cè)試，在改善系統(tǒng)平臺(tái)或網(wǎng)絡(luò)設(shè)備安全性能的同時(shí)，也會(huì)影響到單位對(duì)一些重要網(wǎng)絡(luò)設(shè)備和系統(tǒng)平臺(tái)的選用。但有一種問題常常會(huì)被忽視：安全測(cè)試操作，究竟是針對(duì)單臺(tái)設(shè)備的，還是針對(duì)整個(gè)網(wǎng)絡(luò)的，還是兩者皆而有之？要是安全測(cè)試操作針對(duì)的不是單臺(tái)設(shè)備，而是網(wǎng)絡(luò)的一部分，或者是整個(gè)單位網(wǎng)絡(luò)，那就需要對(duì)安全測(cè)試工具進(jìn)行合適的配置。例如，配置專門的漏洞測(cè)試工具，使用針對(duì)性模塊，強(qiáng)制其對(duì)特定區(qū)域執(zhí)行掃描測(cè)試操作，比方說對(duì)SMTP服務(wù)協(xié)議漏洞、Web服務(wù)器的漏洞進(jìn)行掃描測(cè)試，或者根據(jù)單位網(wǎng)絡(luò)中的設(shè)備類型和數(shù)量，同時(shí)配置多個(gè)模塊進(jìn)行協(xié)同測(cè)試操作。

在明確好安全測(cè)試目的后，單位用戶往往要面對(duì)選用什么工具進(jìn)行測(cè)試的問題。對(duì)漏洞掃描測(cè)試工具的合理選用，一般需要用戶確定好安全測(cè)試的目的和設(shè)備，而這些常常是和單位的資金預(yù)算有關(guān)系。對(duì)虛擬化設(shè)備和物理設(shè)備進(jìn)行掃描測(cè)試操作，需要采取不同的測(cè)試方法。例如，對(duì)路由器等設(shè)備進(jìn)行掃描測(cè)試時(shí)，往往要考慮選用一臺(tái)基于軟件的漏洞掃描客戶端程序，Retina Network Security Scanner就是一款這樣的程序，它能幫用戶掃描路由器等設(shè)備的安全性漏洞問題所在，只要輸入特定設(shè)備的IP地址，該IP地址的設(shè)備上哪些網(wǎng)絡(luò)端口被打開，有哪些安全上的顧慮便可一清二楚，如此也提醒用戶該做哪些修補(bǔ)事項(xiàng)，讓路由器后臺(tái)系統(tǒng)在網(wǎng)絡(luò)上獲取更理想的安全。

一些單位在資金許可的情況下，也會(huì)選用硬件類的掃描測(cè)試工具。這類掃描工具的成本往往比較高，但它們有及時(shí)的安全升級(jí)，有良好的售貨服務(wù)，還有一些意想不到的技術(shù)支持。使用硬件工具進(jìn)行掃描測(cè)試，可以在最大程度上預(yù)防甚至避免鏈接庫文件、系統(tǒng)驅(qū)動(dòng)問題、程序包依賴等操作系統(tǒng)的影響。而且硬件類掃描工具不受環(huán)境的影響，支持即插即用，在特定場(chǎng)合下能發(fā)揮相當(dāng)重要作用，最終獲得的掃描測(cè)試效果自然也不一般。

總之，軟件類漏洞掃描工具在操作效率方面，要比硬件類漏洞掃描工具要低。要是單位已經(jīng)選用和部署了軟件類漏洞測(cè)試工具，實(shí)際上就是掃描效率要慢一點(diǎn)，其他方面的區(qū)別應(yīng)該不是很大。要是單位準(zhǔn)備掃描測(cè)試涉及Internet業(yè)務(wù)和網(wǎng)絡(luò)，系統(tǒng)平臺(tái)或網(wǎng)絡(luò)設(shè)備較多的，建議大家在經(jīng)濟(jì)許可情況下，還是選用硬件類掃描工具，以獲得更優(yōu)質(zhì)的掃描效果。

安裝使用N-Stalker

N-Stalker Web漏洞掃描器，是來自N-Stalker公司的一款安全測(cè)試工具，它具有特別攻擊控制臺(tái)監(jiān)察漏洞、自動(dòng)假陽性預(yù)防引擎、政策驅(qū)動(dòng)的Web應(yīng)用安全掃描、自定義腳本語言的目的是建立自己的安全檢查、自定義網(wǎng)站導(dǎo)航腳本記錄、強(qiáng)大的嵌入式HTTP調(diào)試等多個(gè)特點(diǎn)，善于使用這款漏洞掃描測(cè)試工具，可以為單位的Web應(yīng)用程序徹底消除大量普遍的安全隱患，包括跨站點(diǎn)的腳本和SQL injection，緩沖溢出，篡改參數(shù)攻擊等等。為了方便掃描用戶按照不同形式查看已經(jīng)發(fā)現(xiàn)到的安全漏洞，這款工具支持以RTF、HTML、PDF等不同格式靈活生成掃描報(bào)告，甚至還自帶有掃描對(duì)比報(bào)表生成增強(qiáng)功能，來快速幫助用戶分析不同的掃描結(jié)果。

下載安裝好N-Stalker Web漏洞掃描器，開啟它的運(yùn)行狀態(tài)，進(jìn)入掃描主界面。點(diǎn)擊主界面工具欄中的“Policy Editor”按鈕，切換到策略編輯器界面，在這里按需定義好一些掃描規(guī)則，確保漏洞掃描操作既快速又高效。例如，選擇“Choose url&Policy”標(biāo)簽，在對(duì)應(yīng)標(biāo)簽頁面的“Choose Scan Policy:”位置處，選擇使用“OWASP”掃描規(guī)則或者“XSS”掃描規(guī)則，在“Enter Web Application URL”位置處輸入需要進(jìn)行漏洞掃描的目標(biāo)站點(diǎn)地址，如果之前已經(jīng)對(duì)目標(biāo)站點(diǎn)執(zhí)行過漏洞掃描操作，也可以在“Load Scan Session:”位置處，快速導(dǎo)入以前存儲(chǔ)的掃描會(huì)話。之后，進(jìn)入設(shè)置界面，進(jìn)一步定義身份認(rèn)證方面的信息。最后單擊“Start”按鈕，開始進(jìn)行漏洞掃描測(cè)試操作。等到掃描測(cè)試任務(wù)結(jié)束后，執(zhí)行保存操作，再按下工具欄中的“Report manager”按鈕，就能查看到詳細(xì)的漏洞掃描結(jié)果，還能按需生成PDF格式的掃描文件，以方便日后隨時(shí)調(diào)閱訪問。