qq3250845

随着DDoS攻击开始被有组织犯罪以发起网络攻击为威胁成为敲诈勒索小公司钱财的手段，这个技术肮脏的一面开始显现。这些罪行日益增长的共性与英国国家高科技犯罪中心的成立相吻合。虽然中心的任务是找到罪魁祸首的黑客，但是问题最终却是通过提升服务器来解决，让网络罪犯无法攻克性能更强的服务器。

　　DDoS攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式，通过使网络或应用过载来干扰甚至阻断正常的网络通讯。通过向服务器提交大量请求，使服务器超负荷。阻断某一用户访问服务器阻断某服务与特定系统或个人的通讯。而且攻击可以从更远的地方或者其他城市发起，攻击者的傀儡机位置可以在分布在更大的范围，选择起来更灵活了。毫不夸张地说，DDoS促使了大量僵尸网络的形成。

　　在RSA 2012大会展示的最新安全产品中，F5公司的访问策略管理器排名第一。此外，F5应用安全方面知名产品还有F5 BIG-IP应用安全管理器(ASM) ，是一个先进的Web应用防火墙，可显著减少和控制数据、知识产权和Web应用丢失或损坏的风险。F5 BIG-IP ASM提供了无与匹敌的应用和网站防护，例如防护7层DDoS等最新的Web威胁，提供了完整的攻击防御系统，并且可以满足关键的法规要求。

　　F5公司针对DDoS的安全解决方案是本文重点介绍的，F5 BIG-IP本地流量管理器(LTM)在11. 1版本中提供了ICSA网络防火墙认证。这一关键认证的重要意义在于，BIG-IP LTM、BIG-IP GTM广域网流量管理器和BIG-IP ASM应用安全管理器放置在数据中心的边界，能维持整个企业的安全状况与合规性。

　　你理解了DoS攻击的话，DDoS的原理就很简单。DDoS就是利用更多的傀儡机来发起进攻，以比从前更大的规模来进攻受害者。一旦遭受DDOS攻击，被攻击主机上有大量等待的TCP连接或应用访问连接、网络中充斥大量的无用数据包造成网络堵塞、受害主机没法正常响应服务请求甚至可能死机。

　　F5 BIG-IP LTM产品部署在主机前面，首当其冲接受正常客户端和非正常客户端的访问，那么通过在LTM上面加固参数，就可以很好地应对DDOS的攻击。也就是说，在保护后台服务器的同时，还能很好地提供服务。

　　由于BIG-IP LTM本身具有ICSA认证，因此可以将并行防火墙( 三明治中的肉) 折旧并淘汰掉，从而在维持相同的整体能力、合规性和攻击防御能力的同时，大幅减少设备的数量。BIG-IP LTM的本地防火墙服务可提供连接能力远远高于传统防火墙的网络层保护，因此使得这一些成为可能。BIG-IP LTM最多可处理4800万条连接，在受到攻击时可以通过不同的超时行为、缓冲区大小和其它安全性相关选项对其进行管理。

　　事实上，面对当前DDoS众多伪造出来的地址则很多企业显得没有办法，所以，在业界对于防范DDoS攻击来说，大家颇感无力，防御也变得更加困难，如何采取措施有效的应对呢？

　　F5 BIG-IP LTM作为一个安全代理，用于防止基于网络的SYN flood和其它网络拒绝服务 (DoS) 以及分布式拒绝服务 (DDoS) 攻击，而且它提供了控制功能，用于定义和执行基于L4的过滤规则，以提高网络防护能力。

　　凭借行业领先的加密能力，BIG-IP LTM还使您能够有选择地加密数据， 以保护并优化您企业的通信。通过使用最强大的安全套接层 (SSL) 加密、位加密和4096密钥长度而支持先进的加密标准算法，BIG-IP LTM作为您的关键业务资源的网关。BIG-IP LTM可用在灵活的多解决方案设备平台上，或者作为虚拟版本而运行。

　　F5 DDoS 防御的全局配置

　　为什么F5 BIG-IP LTM仅仅作为代理机制存在的设备，就能够扛住凶猛的DDoS攻击了呢？我们不妨看看下面的全局配置。这里为大家介绍一下F5在防御DDoS方面的全局参数配置，全局参数设定和配置包括动态删除连接表项、SYN Cookie启动阀值、最大拒绝包发送速率、最大ICMP请求回应速率，如下：

　　

　　1、动态删除连接表项

　　在BIG IP遭受DDOS攻击时，一个最常见的资源消耗就是内存。在默认配置下，当BIG IP的内存使用达到97%的时候，BIG IP就会自动进行重启，以恢复自身的正常运行。

　　在一个HA的组里，则此时由备机接管继续提供服务。当然，这是最糟糕的情况，在达到这个状态前，在BIG IP的全局配置中，有两个重要的和安全相关参数设置来避免内存耗尽。

　　这两个参数就是Low Water Mark和High Water Mark。当系统的内存占用超过Low Water Mark的设定值的时候，BIGIP将开始删除在连接表中最"老"的连接表项，也就是最接近达到idel time out定义时间的表项，但此时BIGIP仍然接收新的连接建立。当系统内存占用超过HighWater Mark的时候，BIG IP将不再接收新的连接，并且删除老的连接，直到系统的内存占用达到Low Water Mark的设定值为止。

　　2、SYN Cookie启动阀值

　　在四层工作模式下，可以直接启动SYN Cookie对SYN 攻击进行防护，但在全代理工作模式下，如果对每一个SYN包都建立一个连接表项，在SYN攻击足够强烈的时候，BIGIP自身的内存也将会被迅速充满进入连接删除或者重启状态。

　　但如果系统在正常工作下，启用SYN Cookie会带来额外的CPU计算损耗。因此，在全代理模式下，可以通过设置SYN Thrash Hold的值来动态的启用SYN Cookie进行SYN攻击防护。

　　当系统中没有进入正常三次握手连接的表项的数量，也就是在SYN-RECEIVED状态的连接达到设定值，则对后续的新建连接进行SYN Cookie处理。这样，对新建的连接，就不再直接添加新的连接表项而只有通过SYN Cookie验证后，再建立连接表项进行处理。保证正常的客户访问可以持续。

　　3、最大拒绝包发送速率

　　在默认状态下，BIGIP将对发送到非VS端口的数据包、超时的连接、命中VS但没有对应连接表项的请求回应RST包进行拒绝。但如果在DDOS发生的时候，这种RST包的响应也会耗费很多的CPU资源。因此，在BIGIP中，可以通过DB 参数TM.MaxRejectRate来设置每秒钟回应的RST包的数量，以节省系统资源,保证系统可用性。

　　4、最大ICMP请求回应速率

　　在遭遇ICMP Flood的时候，BIGIP也是通过全局设定的DB参数TM.MaxICMPRate来限制整台设备可以响应的ICMP回应速率，以减小本身的性能损耗。需要注意的是，这个设定的默认值为250/秒，在一些网络设备执行高速ping检查的时候，由于该功能启用，会在对端发现有丢包现象。如果一定要进行验证，需要调高这个参数。

　　除了上述全局的参数设置外，TCP/UDP超时时间设定和TCP-Profile-延迟接收连接也非常重要。

　　TCP/UDP超时时间设定：TCP/UDP超时时间主要用于设定在一个连接中，有多长时间没有数据进行传输，则将该连接从连接表项中删除，并向客户端和服务器端分别发送RST包。减小超时时间设定，将有助于减小BIGIP的内存消耗。例如默认值为300秒，而针对大部分的HTTP应用，该值可以调整到90秒或者60秒以下，以使BIGIP可以更快的回收内存空间占用而不影响业务运行。但对一些长连接应用，则需要根据应用的实际需求进行设定。

　　TCP-Profile-延迟接收连接：在TCP Profile中，还有一个重要安全相关参数就是Defered Accept，默认为关闭状态，当该参数开启时，BIGIP对所有的请求在三次握手建立完成后，并不开启完整的连接表项，只是简单的记录该连接状态。只有在客户端或者Pool Member之间开始有数据传输的时候，才开始建立正式的连接表项。

　　有关更多F5防御DDoS的资料请访问：应用交付：灵捷、安全和稳定一个不能少

qq3250845

在我们所处的万兆时代，随着网络带宽的不断增长，攻击者可利用的网络资源、攻击的规模以及攻击所带来的危害也与日俱增。网络中承载的流量有正常流量也有很多非预期的流量，其中可能包括DDoS攻击、蠕虫病毒、端口扫描、SPAM等恶意攻击流量，也有可能是并非恶意但会影响到正常网络应用的数据流量，如P2P流量。为了提高网络的使用效率，提升信息系统的安全性，需要完善的技术手段对这些异常流量进行检测，并对其中的恶意攻击流量实现准确的清洗。因此在现有网络规模下，如何保证网络及其承载的业务得以正常使用是我们需要持续面对的问题。

　　专业设备化解DDoS攻击

　　启明星辰天清万兆ADM产品（异常流量管理与抗拒绝服务系统）是专为应对当前万兆网络环境中的DDoS攻击及异常流量所推出的完善的异常流量检测和清洗产品。天清ADM产品依托启明星辰公司在入侵检测和防御、威胁展示和处理等方面的深厚技术积累，为客户网络提供对各种类型（漏洞型、流量型、应用型）DDoS攻击的防护，实现对客户网络环境中各种异常流量的检测和清洗，同时为其他网络安全产品如防火墙、IDS、IPS等提供性能支撑。

　　天清ADM产品，包含三个硬件组成部分，如下图所示：

　　

　　·异常流量检测系统（ADM-Detector）：通过对不同网络节点的流量进行实时关联分析，发现异常流量和DDoS攻击，并及时通知Guard对这些流量进行处理。Detector可以单独部署和使用，为用户提供异常和攻击告警、全网流量可视化、路由分析、镜像流量的Flow转化等功能。

　　·异常流量清洗系统（ADM-Guard）：根据Detector提供的信息，完成后续对异常流量的牵引、DDoS流量清洗、P2P带宽控制、流量回注等功能。Guard也可以单独部署和使用，本身兼具对异常流量的检测功能。

　　·异常流量管理中心（ADM-Manager）：Guard和Detector均具备自管理的能力。另外，在规模部署的环境中，可以通过Manager对多台Guard和Detector设备进行统一管理，包括检测和清洗策略的下发、状态监控、系统升级、日志集中等功能。

　　三大技术构建清洗中心

　　天清ADM产品采用了启明星辰公司在检测与防御领域长期积累的多项技术，对网络及被保护的业务系统进行多层次的流量检测及防护，主要具备以下三大技术亮点：

　　1、精确识别：用最可靠的专利算法，准确识别各层异常流量。

　　2、超强清洗：提供对于各种类型DDoS攻击的强大清洗能力。

　　3、灵活的部署：Detector与Guard均可独立部署，配置简单，同时可使用Manager进行集群部署，构建更为强大的清洗中心。

　　从网络发展态势来看，DDoS 攻击不会在短时间内消除，随时可能会出现。从技术的角度看，传统的增加设备性能、优化网络控制列表、配置路由黑洞等解决方案均具有局限性。因此，对于用户来说，部署启明星辰天清ADM异常流量管理与抗拒绝服务系统是应对DDoS攻击的不二选择。

qq3250845

随着计算机网络技术的发展，无线局域网成为高速发展的无线通信技术在计算机网络中实现通信移动性、个性化和多媒体应用等。但是，由于无线通信的传播介质是毫无实体保护的空气，无线 发送的数据就有可能到达覆盖范围内的所有终端，或者是预期之外的接收设备，这为黑客等恶意用户提供了更多、更隐蔽的可攻击机会。在目前出现的各种针对无线网络的攻击方式中，分布式 拒绝服务DDoS（DistributedDenialofService）攻击以其隐蔽性好、破坏性强的特点成为了黑客攻击的首选方式。本文将对各种无线网络DDos攻击手段做一概述。

　　一、DDoS简介

　　DoS（DenialofService）拒绝服务攻击是一种拒绝用户或客户端对特定的系统和网络资源进行访问的技术。其实现可以是利用操作系统或软件的漏洞，也可以在使用非常大数量的合法请求，其 结果都会形成过多的资源消耗或使资源崩溃，以实现对资源的拒绝访问目的。DDoS全名是DistributedDenialofservice(分布式拒绝服务),很多DoS攻击源一起攻击某台服务器就组成了DDoS攻击 。DDoS最早可追溯到1996年初,在中国2002年开始频繁出现,2003年已经初具规模。

　　DDoS攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式。单一的DoS攻击一般是采用一对一方式的，当被攻击目标CPU速度低、内存小或者网络带宽小等各项性能指标不高时,它的效果更 明显。随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存大大增加，同时也出现了千兆级别的网络，这使得DoS攻击的困难程度加大了，由于目标对恶意攻击包的处理能力加强 了不少，假如攻击方每秒钟可以发送3,000个攻击包，但被攻击方的主机与网络带宽每秒钟可以处理10,000个攻击包，这样一来攻击就不会产生什么效果。这时候分布式的拒绝服务攻击手段（DDoS）就出现了。

　　总的来说，可以将一个典型的DDoS攻击的体系结构划分为四个部分：攻击者、主控机、攻击机、受害者。攻击者通过主控机控制大量的攻击机，拥有攻击机的控制权或者是部分的控制权，可以 把相应的DDoS程序上传到这些平台上，这些程序与正常的程序一样运行并等待来自攻击者的指令，通常它还会利用各种手段隐藏自己不被别人发现。在平时，这些机器并没有什么异常，一旦攻 击者连接到它们并发出指令的时候，攻击机就会发起攻击。这种攻击非常隐蔽，因为要想找出真正的攻击者就必须先查出攻击机，然后依据攻击机的日志等文件查找上一级的控制者，一级级直 到找出攻击者为止。攻击者想要快速干净地擦除大量攻击机上记录攻击痕迹的文件(如日志文件)很不容易，但他清除少量主控机的这些记录文件则非常简单，从而避免被发现。黑客利用现在的 高速网络，以及各种操作系统的漏洞和缺陷，同时控制大量的傀儡计算机，然后在同一时间利用傀儡计算机向攻击目标发起攻击，快速消耗目标的带宽和CPU时间，从而对合法用户造成拒绝服 务。由于攻击来自网络上不同地址的大量傀儡计算机，不仅攻击的破坏性很大，而且对攻击的防御和追踪带来了困难。特别是现在的无线网络，由于其固有的协议缺陷和接入点隐蔽等特点，更 容易受到恶意攻击。下面将对各种针对无线网络的DDoS攻击方法做一介绍。

　　二、无线网络DDoS攻击

　　1、概述

　　随着信息技术的发展，各种网络安全问题也是层出不穷。无线局域网虽然具有易于扩展、使用灵活、经济节约等优点，但是由于其采用射频工作方式，使得WLAN在安全方面显得尤为脆弱。基于 IEEE802.1l的无线网络得到了广泛的应用，但也成为极有吸引力的攻击目标。由于IEEE802.11的WEP加密机制和认证协议存在严重的缺陷，经过大量的研究，产生了一系列的扩展协议，以加强 无线网络的访问控制和机密性。但无线网络由于其开放特性，还是很容易受到攻击，其中，分布式拒绝服务攻击是最难检测和控制的。无线局域网的各个层面都有可能受到DDoS的攻击。

　　2、物理层的DDoS攻击

　　IEEE802.1l协议定义了两种媒体访问控制协议用来实现对无线信道的访问控制。一种采用基于分布式协调功能(DCF：DistributedCoordinationFunction)的竞争模式来实现异步通信方式；另一 种采用基于点协调功能(PCF：PointCo-ordinationFunction)的非竞争模式来实现同步通信方式。目前的802.1l无线设备基本上都是采用DCF方式进行通信。

　　在DCF中802.11采用载波侦听／冲突避免(CSMA/CA：Car-rierSenseMultipleAccesswithCollisionAvoidance)机制进行无线介质共享，它的基本思想是让发送方激发接收方发出一个短帧，使得 接收方附近的站点可以监听到将要进行的传输，从而避免它们在这个期间内向接收站点发送数据。而这一机制的实现是通过物理层的空闲信道评估(CCA：ClearChannelAssessment)程序来完成 的。它通过接收信号能量的强弱来确定信道是否空闲，每当信道由空闲转为忙或由忙转为空闲时，物理层的子层PLCP(PhysicalLayerConvergenceProcedure)都产生一种基元：PHY-CCA。 Indicate(STATE)，

　　STATE为状态变量，当PLCP检测到信道忙时，其值为BUSY，反之，为IDLE。该攻击方法简单但效率很高，不需要特殊的设备与技术。另外，所使用的攻击设备无需高的发射功率，要发现并定位攻击者相当困难。澳大利亚电脑危机紧急响应小组就宣布了一种DDoS攻击，这种攻击就是利用CCA工作机理和802.1l物理层管理实体(PLME：PhysicalLayerManagementEntity)提供的一种测试模式(PLMEDSSSTESMODE)来实施的。它攻击的对象是物理层采用直接序列扩频(DSSS：DirectSequenceSpreadSpectnlm)工作方式的无线设备，包括采用IEEE802.1l、802.1lb和低速(低于 20Mbps)802.11g标准的DSSS无线设备。

　　3、MAC的DDoS攻击

　　在802．1l网络中，为了解决站点隐藏及报文碰撞等问题，采用了RTS／CTS等通讯控制机制。在WPA中采用消息完整性校验(MIC：MessageIntegrityCode)机制来防范伪造报文，这些机制在提高 网络性能的同时，也带来了新的安全隐患。

　　802.1l协议中，使用CSMA／CA技术来实现多路访问。

　　为了避免一个节点长时间占用信道从而导致其他的节点无法传送数据，要求每个节点在发送完一个MAC层的协议数据单元(MPDU：MACProtocolDataUnit)之后都必须等待一个SIFS(SIFS： ShortInterFrameSpace)时间。基于MAC的拒绝服务攻击其核心思想就是通过修改攻击设备上的通信模块程序，将它的SIFS设得更短，那么在同等发包速率的情况下，攻击者将以很高的概率占有 信道，从而使合法节点的通信推迟进行。

　　CSMA／CA为了解决隐藏节点问题引入了RST／CTS控制机制，它能够为一个节点保留一定时间的信道。想要发送数据的节点首先必须向目的节点发送一个RTS帧，这个RTS帧中包含该节点的ID以及 一个Duration域。Duration域用于告知需要为该节点保留随后数据传输所需要的时间，每个节点上都使用NAV(NAV：NetworkAllocationvector)来度量保留时间值，它的最大值为215-1。只有当 NAV=0时该节点才可以发送数据，而这个值的更新是通过Duration值进行的。目的节点一旦收到某个节点发来的RTS帧，就立即响应一个CTS帧，其中也包含ID、Duration域。在信号覆盖范围内的其他节点通过CTS帧来更新NAV值，这样可以解决由于隐藏节点造成的冲突问题。这种RST／CTS策略很容易引发拒绝服务攻击。如果攻击者不断发送包含较大Duration值的RTS帧，那么，根据CSMA／CA，收到RTS帧的合法节点会以CTS帧进行响应，响应后很快就会放弃对信道的控制。又因为合法节点要等待一个SIFS甚至一个DIFS后才能再次发送数据帧，而攻击者又不断发 送RTS，这样合法节点就很难抢到时隙，再加上这些节点对CTS的传播带来的影响，整个信道基本**只会被攻击者占用。因此这种攻击会严重降低被攻击WLAN内节点的通信效率。另外，802.11 中的完整性校验值(ICV)的目的是为了保证数据在传输途中不会因为噪声等物理因素导致报文出错，因此采用了相对简单高效的CRC算法。但是攻击者可以通过修改ICV来使之和被篡改过的报文 相吻合，可以说没有任何安全功能。而WPA中的MIC则是为了防止攻击者的篡改而定制的，它利用Michael密钥并通过Michael算法求出一个8字节的消息完整性校验值(MIC)，加在每个数据分组后面。当一个无线客户或AP在一秒钟内收到两个或两个以上的MIC值有误的数据包，WPA认为网络正在受到攻击，随后将采取一系列保护措施，包括中断通信一分钟，更换密钥等，从而给拒绝服 务攻击带来机会。因为，攻击者只需要每秒向目的节点发送至少两个这种MIC值有误的报文，就会使该节点触发MIC错误保护措施，中断通信一分钟。只要网络一恢复正常，攻击者就重复这样的 攻击过程，最终将导致网络陷入瘫痪。

　　4、网络层的DDoS攻击

　　针对网络层的攻击也是一种很有威胁的攻击手段，下面列出几种常见的攻击方法：

　　(1）非法节点成为路由节点。它们丢失一定数量的数据包，使得连接质量下降。如果在传输层采用TCP协议将产生更大的影响。例如：黑洞攻击(偷偷地将所有到达信息全部丢弃)；灰洞攻击(有 选择地丢弃其中一部分信息，如转发路由协议包而丢失数据包)。针对这两种攻击，斯坦福大学的Mani等人提出了一种看门狗和选路人算法。看门狗是指数据包的发送者将数据包发出去之后还 要监视他的下一跳节点，如果下一跳节点没有对包进行了转发，这说明那个节点可能存在问题。而选路人作为一种响应办法，它评定每一条路的信任等级，使数据包尽量避免经过那些可能存在 非法节点的路径。结合看门狗和选路人算法能够很好地避免非法节点成为路由节点。此外，为了鼓励空闲的正常节点多转发数据包，Buttyan和Hubaux将经济学中的思想引入了无线局域网中， 他们提出了虚拟货币的概念，并把它作为转发数据包的报酬。

　　(2）非法节点传输虚假的路由信息或者重播过时的路由信息，这样将导致路由失败从而影响传输的性能。虫洞攻击(WormholeAttack)和回路攻击是这种类型攻击的典型代表。虫洞攻击的原理是 在无线局域网中通过有线或者长距离的无线手段建立一条不正常的链路。通过链路的建立来欺骗路由协议，从而造成虚假的路由信息。

　　(3)通过IP欺骗来隐藏攻击者的真实位置以及利用节点可移动性使攻击源迅速转移，从而使得攻击源的追踪变得异常困难。对于在无线局域网中的DDoS攻击源追踪的研究在一定的程度上可以借 鉴有线网络的DDoS攻击源追踪技术,但是两者之间还是有很多的区别。我们可以将有线网络中的攻击源追踪技术PPM(采样标记法)、ITrace(ICMP报文定位法)移植到无线局域网中，并且已经有人 通过实验证明攻击源追踪技术的使用效果与攻击源追踪技术、网络的路由协议以及无线局域网的规模都有一定的联系。

　　5、传输层、应用层等上层网络结构的DDoS攻击

　　在无线局域网中的传输层、应用层等上层结构与有线网络同等网络层次具有相同的特征，因此在无线局域中针对上层网络的DDoS攻击与有线网络中的DDoS攻击基本上一样。其中，TCPSYN洪泛、 TCPRST洪泛攻击就是典型的针对上层网络攻击。此外，有线网络中抵御DDoS攻击的防御方法同样适用于无线局域网。研究表明，在有线网络中DDoS攻击的攻击对象主要集中在网络层以及传输层 等上层协议。但是无线局域网中节点的物理层、MAC层、网络层、传输层等上层网络都成为DDoS攻击的攻击对象。因此，针对无线局域网中DDoS攻击的防御显得尤为重要。

　　6、不完善的认证机制引发的DDoS攻击

　　IEEE802.11标准提供两种类型的认证：开放系统认证和共享密钥认证。开放系统认证就本质而言是一个空的认证过程，共享密钥认证给予一个预先共享的密钥，用WEP协议对客户进行认证：AP 发送一个质问串，并要求客户对其进行加密后返回，如果客户的响应被验证成功，则该客户通过验证。这一认证协议有着诸多公开化的缺陷，攻击者可以利用这些缺陷对网络实施攻击。

　　三、结束语

　　本文主要介绍了DDoS在无线局域网中各层的攻击方式，对各种攻击方式的原理和攻击方法均做了较为详细的描述。DDoS攻击对于无线网络来说比有线网络更难防御，所以对各种无线网 络DDoS攻击手段的研究是很有意义的。

qq3250845

“社会工程学”这个概念可能让广大的互联网用户匪夷所思，“社会工程学”和黑客有什么关系呢？莫非是黑客们都弃暗投明转去做工程了？其实所谓"黑客社会工程学"，是著名黑客Kevin Mitnick在上世纪90年代所提出的并使其流行的，不过这个简单的概念本身(引诱某人去做某事，或者泄露敏感信息)却早有年头了。专家们认为，如今的黑客仍在继续采用黑客社会工程学的新老伎俩盗窃密码、安装恶意软件或者攫取利益。

　　此处所列的是一些最流行的利用电话、email和网络的社会工程学攻击伎俩。

　　1. 十度分隔法

　　利用电话进行欺诈的一位社会工程学黑客的首要任务，就是要让他的攻击对象相信，他要么是1)一位同事，要么是2)一位可信赖的专家(比如执法人员或者审核人员)。但如果他的目标是要从员工X处获取信息的话，那么他的第一个电话或者第一封邮件并不会直接打给或发给X。

　　在社会心理学中，六度分隔的古老游戏是由很多分隔层的。纽约市警察局的一位老资格探员Sal Lifrieri，如今正定期举办一个叫做"防范性运营"的企业培训课程，教授如何识别黑客穿透某个组织的社会工程学攻击手段。他说，黑客在一个组织中开始接触的人可能会与他所瞄准的目标或人隔着十层之远。

　　"我讲课时不断地在告诫人们，多少得具备一些放人之心，因为你不知道某人到底想从你这儿获得什么，"Lifrieri说。渗透进入组织的起点"可能是前台或门卫。所以企业必须培训员工彼此相识。而作为犯罪起点的秘书或者前台距离犯罪分子真正想接近的目标有可能隔着十层之远。"

　　Lifrieri说，犯罪分子所用的方法很简单，就是奉承某个组织里更多可以接近的人，以便从职务更高的人那里获得他们所需的信息。

　　"他们常用的技巧就是伪装友好，"Lifrieri说。"其言辞有曰：‘我很想跟您认识一下。我很想知道在您的生活中哪些东西是最有用的。'然后他们很快就会从你那里获得很多你原本根本不会透露的信息。"

　　2. 学会说行话

　　每个行业都有自己的缩写术语。而社会工程学黑客就会研究你所在行业的术语，以便能够在与你接触时卖弄这些术语，以博得好感。

　　"这其实就是一种环境提示，"Lifrieri说，"假如我跟你讲话，用你熟悉的话语来讲，你当然就会信任我。要是我还能用你经常在使用的缩写词汇和术语的话，那你就会更愿意向我透露更多的我想要的信息。"

　　3. 借用目标企业的"等待音乐"

　　Lifrieri说，成功的骗子需要的是时间、坚持不懈和耐心。攻击常常是缓慢而讲究方法地进行的。这不仅需要收集目标对象的各种轶事，还要收集其他的"社交线索"以建立信任感，他甚至可能会哄骗得你以为他是你还未到这家企业之前的一位同事。

　　另外一种成功的技巧是记录某家公司所播放的"等待音乐"，也就是接电话的人尚未接通时播放的等待乐曲。

　　"犯罪分子会有意拨通电话，录下你的等待音乐，然后加以利用。比如当他打给某个目标对象时，他会跟你谈上一分钟然后说：‘抱歉，我的另一部电话响了，请别挂断，'这时，受害人就会听到很熟悉的公司定制的等待音乐，然后会想：‘哦。此人肯定就在本公司工作。这是我们的音乐。'这不过是又一种心理暗示而已。"

　　4. 电话号码欺诈

　　但最分子常常会利用电话号码欺诈术，也就是在目标被叫者的来电显示屏上显示一个和主叫号码不一样的号码。

　　"犯罪分子可能是从某个公寓给你打的电话，但是显示在你的电话上的来电号码却可能会让你觉得好像是来自同一家公司的号码，"Lifrieri说。

　　于是，你就有可能轻而易举地上当，把一些私人信息，比如口令等告诉对方。而且，犯罪分子还不容易被发现，因为如果你回拨过去，可能拨的是企业自己的一个号码。

　　5. 利用坏消息作案

　　"只要报纸上已刊登什么坏消息，坏分子们就会利用其来发送社会工程学式的垃圾邮件、网络钓鱼或其它类型的邮件，"McAfee Avert实验室的安全研究主任Dave Marcus说。

　　Marcus说，他们的实验室在这次的美国总统大选和经济危机中看到了此类活动的增多趋势。

　　"有大量的网络钓鱼攻击是和银行间的并购有关的，"Marcus说。"钓鱼邮件会告诉你说，‘你的存款银行已被他们的银行并购了。请你点击此处以确保能够在该银行关张之前修改你的信息。'这是诱骗你泄露自己的信息，他们便能够进入你的账户窃取钱财，或者倒卖储户的信息。"

　　6. 滥用网民对社交网站的信任

　　Facebook、MySpace和LinkedIn都是非常受欢迎的社交网站。很多人对这些网站十分信任。而最近的一次钓鱼欺诈事件就瞄上了LinkedIn的用户，这次攻击让很多人感到震惊。Marcus说，已经有越来越多的社交网站迷们收到了自称是Facebook网站的假冒邮件，结果上了当。

　　"用户们会收到一封邮件称：‘本站正在进行维护，请在此输入信息以便升级之用。'只要你点进去，就会被链接到钓鱼网站上去。"Marcus因此建议人恩最好手工输入网址以避免被恶意链接。并应该记住，很少有某个网站会寄发要求输入更改口令或进行账户升级的邮件，这不过是黑客社会工程学的伪装。

　　7. 输入错误捕获法

　　犯罪分子还常常会利用人们在输入网址时的错误来作案，Marcus说。比如当你输入一个网址时，常常会敲错一两个字母，结果转眼间你就会被链接到其他网站上去，产生了意想不到的结果。

　　"坏分子们早就研究透了各种常见的拼写错误，而他们的网站地址就常常使用这些可能拼错的字母来做域名。"

　　8. 利用FUD操纵股市

　　一些产品的安全漏洞，甚至整个企业的一些漏洞都会被利用来影响股市。根据Avert的最新研究报告，例如微软产品的一些关键性漏洞就会对其股价产生影响，每一次有重要的漏洞信息被公布，微软的股价就会出现反复的波动。

　　"公开披露信息肯定会对股价产生影响，"Marcus说。"另有一个例子表明，还有人故意传播斯蒂夫·乔布斯的死讯，结果导致苹果的股价大跌。这是一个利用了FUD(恐慌、不确定、怀疑)，从而对股价产生作用的明显事例。"

　　当然，反向操纵的手法也会发生，这很像以前的所谓"哄抬股价"的伎俩。垃圾邮件的发送者会购买大量的垃圾股，然后利用社会工程学伪装成投资顾问疯狂发送邮件，兜售所谓的"潜力股"。如果有足够多的邮件接收者相信了这一骗局并购买了这种垃圾股，其股价就会被哄抬起来。而始作俑者便会迅速卖空获利。

qq3250845

根据中国国家信息安全漏洞库（CNNVD）、国家互联网应急中心（CNCERT）的实时抽样监测数据，2013年3月份，新增信息安全漏洞数量比上个月增加了33.9%;境内被挂马网站数量比上月增加17.9%;境内被黑网站数量为7909个，境内被篡改网站数量为9215个，境内被木马或僵尸程序控制主机数量为129万台。面对我国网络信息安全问题日益严重的现状，国家层面在陆续出台相关专门保护的网络信息安全法律法规，各个行业也在不断完善自己的安全建设。

    下一代防火墙注重主动防御

    新的安全防护时代究竟需要怎样的防火墙？在工业和信息化部编制的《信息安全产业“十二五”发展规划》中，“信息安全技术”“信息安全产品”“信息安全服务”被列为重点发展方向，并着重指出“下一代防火墙”为首要发展产品类型。正如规划中对信息安全发展趋势的判断中指出的那样：“信息安全保障逐步由传统的被动防护转向‘检测—响应式’的主动防御，信息安全技术正朝着构建完整、联动、可信、快速响应的综合防御防护系统方向发展。”

    一高级市场经理认为，主动防御是下一代防火墙的灵魂，下一代防火墙技术与以往技术的不同区别在于使日常的风险管理由被动管理向主动的流程化管理转变。在新的网络威胁背景下，对防火墙技术提出了新的要求，不再仅仅追求速度更快，而是要从简单的串接变成深度集成，由功能组合变为数据整合，从基于特征的分析变为基于行为的分析，从防御外部应用为主向保护内部应用为主过渡，从网关位置的防护转为数据中心的防护。他还表示，总之，在新的环境下，网络安全的威胁也发生了诸多的变化，目前来看，下一代的主要安全问题是：僵尸网络、钓鱼网站、APT攻击和数据泄漏，由此对下一代防火墙技术提出了新的要求，下一代防火墙技术应具备应用识别、可视化、数据挖掘、云安全、行为分析等特征。

    云查杀成安全厂家的新选择

    目前基于云的安全技术已经成为越来越多安全厂家的选择，这是因为云安全技术确实有他的独到之处。从性能角度来看，云安全的安全扫描发生在云端，这样就减轻了本地的处理开销，达到了提升网络吞吐，降低安全扫描对性能影响的目的。因此，云端不会出现性能方面的瓶颈，随着样本库的增长安全厂商只需调整云中心的硬件配置就可以了。

    有专家提出，随着云落地和大数据的升温，信息安全形势越来越复杂，2013年不但要关注现有攻击的演进，也要注意过去不曾处理过的新型攻击、技术问题。

    目前，云端的病毒和木马库的总特征数已达到5000万之多，而一般的网络安全设备的本地特征库都只在几十万的级别上，几百倍的特征数保证了检查的准确性。此外，木马的危害性远远超过病毒和蠕虫，它是僵尸网络、数据泄露的重要途径，是对企业安全的巨大威胁，而云安全技术是应对木马的有力武器。

    网络安全：防范于未然

    如今，网络安全威胁是现代企业面临的信息安全隐患之一，其中“僵尸网络”是当前网络最主要的威胁之一，企业内部的主机一旦被僵尸网络所控制，轻则引起网络阻塞，重则发生数据泄露，是许多企业安全负责人十分头疼的问题。

    曾对一些企业做了大量的BETA测试，在测试中，很多客户被企业内大量的僵尸主机所震撼，之后通过定位和清理，这一现状有了大大的改善。僵尸网络素有“养兵千日，用兵一时”的特点，因此需要通过早期诊断，使僵尸网络在发作之前将其铲除，这也是下一代防火墙‘主动防御’理念的体现。

    此外，随着大数据时代的来临，数据已成为企业的核心资产，数据泄露无疑将给企业带来巨大损失。所以，下一代安全技术中必须有针对数据泄露的防范措施。当前的许多数据检测都是发生在协议层的，例如FTP、HTTP等。而实际上，数据泄露却有着很多的渠道，许多网络应用都可以进行数据传输，例如网盘、P2P、IM等等，这些应用都有自己独特的数据传输机制，这不是从协议层可以检测出来的。所以要进行有效的数据泄露检测，必须能够针对具体应用来进行。

    传统防火墙在这个层面上无法实现下一代防火墙的功能。

qq3250845

虽然金山毒霸、瑞星等，以及国外的一些安全软件都可以帮助我们查找漏洞，但用十六进制编辑器实现有着它自身的优越性。

　　十六进制编辑器可以用来检查和修复各种文件、恢复删除文件、硬盘损坏造成的数据丢失等。它一直是计算机专业人员非常喜欢的工具。其实，如果将它用在一个恰当的环境中，十六进制编辑器能够发现Windows以及一些应用程序的漏洞，这些漏洞可能还没有引起你的注意，但绝对不可忽视。在病毒、木马等横行的今天，我们应该充分这种工具。实际上，笔者认为，它是最被忽视的安全检查、测试工具之一。

　　下载链接：

　　更多安全工具>>进入专题

　　更多网管软件>>进入专题

　　总体而言，你可以通过WinHex等十六进制编辑器执行如下的操作，从而找出Windows环境中的安全漏洞。

　　1、检查仍保存于Windows、浏览器和其它应用程序中的口令。口令等机密信息保存在内存中可以导致的风险是不言而喻的，这种方法能够向我们显示登录账户和其它的私密信息是多么的脆弱不堪，这在那些公共访问的计算机上更是如此。
　　

　　

　　图：用WinHex查找FireFox的内存区域搜寻敏感信息

　　如果这还不足以证明漏洞的存在，你还可以搜寻计算机的整个内存，进一步查找Windows应用程序的口令或其它的敏感信息。笔者曾多次在应用程序关闭之后，仍能找到由Web浏览器保存在内存中的敏感信息。通过WinHex等十六进制编辑程序在全部的内存中搜寻这种类型的敏感信息是相当简易、快捷的。

　　2、在本地系统文件中（如pagefile.sys和hiberfil.sys）或整个物理磁盘中，搜寻敏感信息。笔者每次使用这个功能是总是有所收获。这对于检查计算机硬盘上的数据资料确实是大有帮助的。下图2显示了Winhex查找本地文件的界面。

　　

　　
　　图：使用WinHex查找C盘上的敏感信息
　　
　　3、查找在内存中的恶意软件或磁盘上的敏感数据，这些位置对于我们来说正是难于搜寻的地方。
　　
　　4、查找机密文档，例如查找可以揭示一些敏感信息的doc（word文档）文件，因此这些文件绝对不能离开我们的网络。这包括文件作者、草稿措词、评论或应该删除的第三方的信息等。例如，在Word中有这样一个隐私选项“保存时从文件属性中删除个人信息（R）”

    勾选隐私选项
　　我们在发布和传送一些机密doc文件时应该钩选此属性，因此利用WinHex的此功能有助于我们查找忘掉选中这个功能的那些文件。
　　
　　十六进制编辑器种类很多。除了WinHex之外，还有Hex Workshop，XVI32等工具。这些功能强大的十六进制编辑工具可以修改内存中或存储于磁盘上的任何数据。不过，强大的工具有可能是一把双刃剑：其结果有可能是有益的，也有可能是破坏性的。因此使用时应该格外小心。

qq3250845

33333333333333333333333333333333333333

qq3250845

1111111111111111111111

qq3250845

111111111111111111

qq3250845

................................