不嘟不嘟

      目前，人们对IDS最大的批评很可能就是误报。从技术层面上讲，误报就是指检测算法将正常的网络数据当成了攻击。但实际上用户所认为的误报却是误警。 　　　　　　IDS误报的典型情况　　　　　　典型的情况：用户第一次使用IDS时，打开（起用）了所有可能的算法和配置，就等于说：“告诉我网络上所发生的一切。”他们对所有的活动都感到惊喜。也许他们的确抓住了个把坏蛋。可是一两个星期之后，他们会说：“唉，我被这些信息淹没了，我无法对它们进行响应。”于是就产生了“误报”的说法，事实上，在很多情况下，它们仅仅是误警。用户往往会对IDS报有错误的期望，他们指望IDS会自动提供他们希望看到的东西。我们距离这一目标还有很长的路要走。 　　　　在这方面，误报是一个关键问题。很显然，如果IDS产品将正常的网络数据当成攻击，客户就不会再安装IDS产品，以免影响其正常业务。IDS厂商应当投入大量资源和时间使IDS的算法运作良好，这样一来，当客户使用我们的产品时不会有很多误报。 　　　　而且问题并不总是出在工具上面，也取决于如何配置工具。任何产品都是如此，如果配置得当，你会发现设备反映灵敏。如果你打开所有的（监控）功能，则会造成数据泛滥，难以正常监控。 　　　　但实际情况比这更加复杂。两个不同的机构由于站点配置不同，对同一产品的误报的评价也不同。当你在一个没有人使用IE的网络中发现了IE流量，（就说明误报的存在）你同时对一个开放研究网和一个校园网中进行观察，得出的结论是完全不同的。 　　　　造成误报与误警的认识误区的一个重要原因是IDS所能报告的不只是攻击，而是报告网络的一切情况。例如IDS能够报告TCP连接的建立，HTTP请求的URL，而这些都不一定是攻击。IDS为什么要报告这些可能不存在攻击的事件呢？因为通过对这些事件的统计和分析，有时是能够在这些网络事件发现攻击迹象的。这也多少反映IDS的局限性，即它不可能百分之百精确地报告攻击，“电脑”有时还需要人脑的经验。　　解决误报和误警问题的对策　　　　　　解决误报和误警的对策有很多，但离目标还有很长的路要走。主要方法如下： 　　　　1．将基于异常的技术和传统的基于特征的技术相结合 　　　　异常检测的一个问题在于当今最好的研究工具也只有大约75%的成功率。因此，几乎没有客户能清楚地了解其网络运作情况。如果你给他们的产品总是提供不可靠的数据，他们将完全放弃该产品。 　　　　2．将协议分析技术与和传统的基于特征的技术相结合 　　　　在检测攻击的大量模式和方法的基础上，我们将协议分析技术、模式匹配和其他一些技术相结合，通过异常检测和一些统计门限等指标来确定攻击的发生。面对不同的情况，供应商应当从客户那里了解哪种模式对哪种攻击最有效，并进行试验，然后确定采用的模式。 　　　　3．强化IDS的安全管理功能 　　　　前两种改进方法的目标是提高IDS检测的精度和速度。检测系统“诊断”的速度和精确性不断提高，渐渐具备了防御功能，进而又演进为一种集中式的决策支持系统。今后IDS将淡化防御职能，强化管理职能，淡化入侵防御，强化入侵管理。我们需要建立一个不断掌握企业总体安全漏洞状况的决策支持系统。 　　　　首先，为了强化IDS的安全管理功能，需要对各种报警信息进行集成。 　　　　这在技术上是完全可行的。我们看到入侵检测传感器技术在后台收集数据方面的改进。数据收集功能将和一个机构的入侵检测基础架构更紧密地集成。 　　　　而我们目前的情况则正相反，由于手头只有大量零散的数据，我们得花力气去理解数据的含义。如果，能够将来自不同类型传感器平台的数据收集起来，并通过智能化的手段集成这些数据，我们就可以将多个小型事件综合成一幅大型“图片”。 　　　　报警信息的集成对最终用户有何重要意义呢？ 　　　　这是非常重要的，这就是为什么你看到NetForensics、Intellitactics、Network Intelligence、e-Security这些报警监控供应商们急着对数据进行标准化，并允许用户交叉使用它们的数据。我们的问题在于每个企业网都具有自己特定形式的流量。将流量模式化并转换成适当的形式、减少误报等现象，这是很难做到的。 　　　　现在IDS已经发展到了一定的阶段，很显然，下一阶段的工作是全方位的管理。很多机构将注意力集中在管理事件并发掘其相关性上。这已不是单纯的IDS，它不仅关注入侵检测，而且着眼于漏洞评估。IDS需要确定系统是否存在漏洞，以及这些漏洞之间是否存在关联。在获取了评估所需的各组成部分（数据）之后，下一步将是产生漏洞信息。这涉及到与漏洞评估工具，如扫描器的集成。 　　　　现在，一个比较大的不利因素是缺乏标准。这完全可以理解，因为这一领域的发展太迅速了。现在有很多产品都可以产生报警，每种产品的实现方式都存在细微的差异，因而人们希望能够有一种集成的方式来解决：如何将NFR的数据格式（layout）映射成ISS的数据格式，如何将Snort的数据格式映射成Cisco的数据格式。而这本身就是一个棘手的问题。当然，供应商的问题在于是否有商业的驱动？我们是否看到了来自客户方面的解决此问题的压力？ 　　其次，为了强化IDS的安全管理功能，还需要与入侵防御形成互动。 　　　　入侵防御和入侵检测可以互为补充。当你在使用入侵防护系统时，如果一种功能失效，可以通过其他功能弥补。入侵防御将成为整个防御系统的另一个重要层面。 　　　　一个有用的举措是安全设备的集成。因此，你将看到IDS和防火墙之间的联系越来越紧密，就象VPN已经开始向防火墙靠拢。如果这些服务捆绑在一起，就意味着它们可以协同工作，当IDS检测到事件发生时，将自动通知防火墙实施相应策略。但是，要做到这一点，我们必须将误报降至最低。 　　　　在一年左右的时间里，我们将继续看到防火墙成为IDS的有力补充。它们将在高层次上发挥特定的作用，它们可以根据你的需要设置进出网络的策略。任何IDS都可以检测你预先设定的行为，并可能阻止攻击。同时，你也将看到越来越多的防火墙具备IDS的能力。 　　　　最后，为了强化IDS的安全管理功能，必须使安全信息易于管理，必须使IDS易于使用。 　　　　用户是需要大量有关网络运作的信息，但事实并非只是如此。他们需要了解当前发生事件的意义。人们购买IDS是为了知道自己遇到了什么种类的攻击，以及攻击对网络所造成的影响。 　　　　用户需要的是安全信息易于理解性。安全信息的易理解性表现在网络信息的人文化、可视化，安全信息的图表化和信息挖掘。 　　　　用户还会需要易用性好，需要安全易于管理。例如在IDS中引入企业资产的概念，多样实用的报表，将事件按风险分类，自定义事件，事件的二次分析，容易与其他安全产品联动，与网络管理系统的无缝衔接等等。 　　　　提高IDS的易用性，一个非常重要的方面就是提高报警事件描述的质量。几乎所有的IDS都会提供对报警事件的详细描述，报警事件的描述一般包括：事件名称、事件介绍、发布日期、影响的平台和解决的方法。但是，现在很多事件的描述都很简单，比方说在解决方法里面只是提到打什么Patch等，对于缺乏安全经验的网络管理员来说，非常不具备操作性。如果你能够提供网站的连接，告诉他操作的思路，就会好很多。很多IDS提供了防火墙联动的功能，但是在事件的描述中只字不提如何利用联动阻止攻击，这个例子是说明作为这么重要的事件描述功能，应该和IDS的其他功能结合起来，在事件描述中不仅告诉用户事件的起源、影响平台等，还需要告诉客户如何利用好IDS来一定程度的解决问题。这体现了IDS产品本身的内在耦合性存在问题。这也许和许多IDS厂商只是简单的将检测规则和报警事件从其他地方复制或翻译过来，不做深入分析有关。 　　　　如果你的工具易用了，用户就会懂得如何更好的配置，大大地减少误警。 　　　　总之，由于方法论的问题，IDS的误报和误警是不可能彻底解决的，这个问题对IDS的方向的影响就是它需要走强化安全管理功能的道路。它需要强化对多种安全信息的收集功能，它需要提高IDS的智能化分析和报告能力，它需要与多种安全产品形成配合。只有这样，IDS才有可能成为网络安全的重要基础设施。

      僵尸网络（Botnet）是指多台被恶意代码感染、控制的与互联网相连接的计算机。Botnet正成为一种日益严重的威胁，不过，只要我们用好对付它的六把利剑，僵尸网络就难以造成严重的祸患。
　　第一剑：采用Web过滤服务
　　Web过滤服务是迎战僵尸网络的最有力武器。这些服务扫描Web站点发出的不正常的行为，或者扫描已知的恶意活动，并且阻止这些站点与用户接触。  
　　第二剑：转换浏览器
　　防止僵尸网络感染的另一种策略是浏览器的标准化，而不是仅仅依靠微软的Internet Explorer 或Mozilla 的Firefox。当然这两者确实是最流行的，不过正因为如此，恶意软件作者们通常也乐意为它们编写代码。同样的策略也适用于操作系统。据统计，Macs很少受到僵尸网络的侵扰，正如桌面Linux操作系统，因为大多数僵尸的罪魁祸首都把目标指向了流行的Windows。
　　第三剑：禁用脚本
　　另一个更加极端的措施是完全地禁用浏览器的脚本功能，虽然有时候这会不利于工作效率，特别是如果雇员们在其工作中使用了定制的、基于Web的应用程序时，更是这样。
　　第四剑：部署入侵检测和入侵防御系统
　　另一种方法是调整你的IDS（入侵检测系统）和IPS（入侵防御系统），使之查找有僵尸特征的活动。例如，重复性的与外部的IP地址连接或非法的DNS地址连接都是相当可疑的。虽然难于发现，不过，另一个可以揭示僵尸的征兆是在一个机器中SSL通信的突然上升，特别是在某些端口上更是这样。这就可能表明一个僵尸控制的通道已经被激活了。您需要找到那些将电子邮件路由到其它服务器而不是路由到您自己的电子邮件服务器的机器，它们也是可疑的。僵尸网络的专家Gadi Evron进一步建议，您应该学会监视在高层对Web进行访问的家伙。它们会激活位于一个Web页面上的所有的链接，而一个高层次的访问可能会指明一台机器正被一个恶意的Web站点所控制。
　　一个IPS或IDS系统可以监视不正常的行为，这些行为指明了难于发现的、基于HTTP的攻击和来自远程过程的攻击、Telnet和地址解析协议（即ARP）欺骗等等。然而，值得注意的是，许多IPS检测器使用基于特征的检测技术，也就是说，这些攻击被发现时的特征被添加到一个数据库中，如果数据库中没有有关的特征就无法检测出来。因此，IPS或IDS就必须经常性的更新其数据库以识别有关的攻击，对于犯罪活动的检测需要持续不断的努力。
　　第五剑：保护用户生成的内容
　　还应该保护你的WEB操作人员，使其避免成为“稀里糊涂”的恶意软件犯罪的帮凶。如果你并没有朝着WEB 2.0社会网络迈进，你公司的公共博客和论坛就应该限制为只能使用文本方式，这也是Web Crossing的副总裁Michael Krieg的观点。



　　Krieg 说，“我并不清楚我们成千上万的用户有哪一个在消息文本中允许了JavaScript，我也不清楚谁在其中嵌入了代码和其它的HTML标签。我们不允许人们这样做。我们的应用程序在默认情况下要将这些东西剥离出去。”
　　Dan Hubbard是Websense安全研究的副总裁，他补充说，“那是用户创建内容站点的一个严重问题，即Web 2.0现象。你怎么才能在允许人们上传内容的强大功能与不允许他们上传不良的东西之间寻求平衡呢？”
　　这个问题的答案是很明确的。如果你的站点需要让会员或用户交换文件，就应该进行设置，使其只允许有限的和相对安全的文件类型，如那些以.jpeg或MP3为扩展名的文件。（不过，恶意软件的作者们已经开始针对MP3等播放器类型，编写了若干蠕虫。而且随着其技术水平的发现，有可能原来安全的文件类型也会成为恶意软件的帮凶。）
　　第六剑：使用补救工具
　　如果你发现了一台被感染的计算机，那么一个临时应急的重要措施就是如何进行补救。反病毒厂商也都试图保护系统免受rootkit的危害。
　　用一句成语讲，这就叫做“亡羊补牢”。Evron相信，保持一台计算机绝对安全干净、免受僵尸感染的方法是对原有的系统彻底清楚，并从头开始安装系统。
　　不要让你的用户访问已知的恶意站点，并监视网络中的可疑行为，保护你的公共站点免受攻击，你的网络就基本上处于良好状态。这是安全专家们一致的观点。
　　可以注意到，如果一个网络工作人员对于网络安全百思不得其解，并会油然而生这样一种感觉,‘我应该怎么对付这些数以百万的僵尸呢?’。”其实，答案非常简单，“只需断开你的网络，使其免受感染─病毒、木马、间谍软件或广告软件等……。将它当作一台PC上的一个流氓文件来进行清除(不过，谁又能保证真正清除干净呢？)。这就是你需要做的全部事情。”

      通常用户访问某个Web站点的过程如下图所示： 　　
　　用户的访问过程包含以下环节：1.客户端通过ISP访问互联网，ISP指网通、电信的ADSL或长宽、歌华、铁通等互联网接入服务商 　　2.客户访问某站点的镜像服务器获取资料 　　3.部分站点没有配置镜像服务器，用户直接访问源服务器。攻击点：1.在客户端（网民）主机或网络中发送攻击代码，比如ARP攻击，插入恶意代码，诱使用户访问攻击者指定的站点，这时会影响该客户端或其所在的网络2.ISP服务商的网络，比如部分无良服务商强制插入广告。或者ISP服务商被攻击，用户访问了攻击者设定的内容。解决办法：用户到服务器之间的链路挂马，只能由用户端或ISP们解决。这种类型的挂马，表现为某用户或某地用户访问特定网站时发现挂马，而其它地区的客户未发现挂马。源服务器和镜像服务器之间的链路：1.服务器内容提供者管理源服务器的内容 　　2.源服务器和镜像服务器按某种机制同步内容 　　3.在用户访问镜像服务器上没有的内容时，镜像服务器从源服务器同步攻击点：1.源服务器被入侵，攻击者直接修改了源内容。这样，通过镜像同步后，所有客户端访问该站点都会发现挂马。通常这种现象被称“服务器被黑了” 　　2.镜像服务器或服务器所在机房的网络中某台主机被入侵，攻击者通过会话劫持把被修改的内容提供给用户。这个情况较常见，比如机房中总能找到容易被入侵的主机，攻击者在这台主机上安装攻击程序，然后利用ARP攻击手段影响整个机房局域网。3.在源和镜像同步的链路中间下手，劫持篡改了从源到镜像的数据，镜像得到的是被篡改后的源内容。解决方案：1.加固源服务器，恢复被篡改的内容2.查找机房的攻击源，隔离攻击源，机房各主机之间绑定MAC和IP地址，防止ARP攻击得手3.源服务器和镜像服务器之间采用加密通信，比如VPN，这样会消耗较多带宽，降低性能。最安全的作法：也最极端，从客户端到源服务器之间的通信全部加密，这样安全性会得到保证，但影响了用户体验。典型例子是网络银行客户端，全程加密所有数据。对普通网民来讲，本地安装的反病毒软件是保护电脑安全的最后一道防线，请及时升级，呼吁使用正版。

        
【编者按：文中内容仅供参考，切勿用于不当之处！】
在网络蓬勃发展的几天，网络安全问题日益突出。网络上的黑、白两道在网络安全的各个领域都展开了激烈的竞争。黑帽社团不断推出躲避或者越过网络入侵检测系统(Network Intrusion Detection System,NIDS)的新技术，而NIDS的开发者不断地在自己的产品中加入对这些技术的检测。但是，由于NIDS本身的局限性，胜利的天平正在向黑帽子倾斜。本文将讨论一些基本的IDS躲避技术，以及如何识破这些技术。
1.字符串匹配的弱点
针对基本字符串匹配弱点的IDS躲避技术是最早被提出和实现的。一些基于特征码的入侵检测设备几乎完全依赖于字符串匹配算法，而对于一个编写很差的特征码，攻击者可以轻松地破坏对其的字符串匹配。虽然不是所有的入侵检测系统都是纯粹基于特征码检测的，但是绝大多数对字符串匹配算法有很大的依赖。这里，我们将使用开放源码工具snort的特征码来进行讨论。
在UNIX系统中，/etc/passwd是一个重要的文件，它包含用户名、组成员关系和为用户分配的shell等信息。我们就从监视对/etc/passwd文件的访问开始，下面是用于检测的snort检测规则：

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS 80 (msg:"WEB-MISC /etc/passwd";

flags: A ; content:"/etc/passwd"; nocase; classtype:attempted-recon; sid:1122;rev:1)
snort使用字符串匹配算法对包含特征码(/etc/passwd)的HTTP请求进行检测。但是，这个规则的特征码过于简单了，攻击者修改攻击字符串可以很轻松地逃过检测(我们暂时不考虑攻击请求是通过HTTP发出的)。例如，把攻击请求由GET /etc/passwd改为GET /etc/////passwd，或者GET /etc/rc.d/.././/passwd，修改方式简直不计其数。这是最基本的娶亲检测逃避技术，对这种技术的检测也相对容易一些，只要在编写特征码时能够仔细考虑一下攻击可能出现的变体。目前大多数流行入侵检测系统都有非常强大的字符串匹配能力，足以检测此类攻击的大多数变体。不过，仍然有些编写不太好的特征码可以给攻击者以可乘之机。
攻击者还可以在此基础上再加以变化，几乎不费吹灰之力就可以加大入侵检测系统的防御难度。例如在telnet之类的交互会话中，攻击者企图读取/etc/passwd文件。通常，入侵检测系统中存在很多特征码一些误用操作和后门等，但是这些特征码一般只包含黑客工具名、文件名和程序名。在获得/etc/passwd文件的内容时，我们不直接输入cat /etc/passwd等命令行，而是通过一个命令解释器(例如：perl)来实现我们的目的：

badguy@host$ perl -e

  ‘$foo=pack(“C11”,47,101,116,99,47,112,97,115,115,119,100);

  @bam=`/bin/cat/ $foo`; print”@bam/n”;’
从这个命令中，入侵检测系统根本就不会重组出/etc/passwd这些字符。显然，防御这种攻击就很困难了，因为这要求入侵检测系统必须能够理解这种解释器如何收到的命令，这恐怕不太现实。当然，入侵检测系统也可以对使用解释器的可疑行为进行报警，但是它很难对攻击行为进行精确的监视。


通过把字符串处理技术和字符替换技术结合到一起，我们可疑实现更复杂的字符串伪装。对于WEB请求，我们不必使用命令解释器，在我们的请求中使用16进制的URL即可，以下的请求可以被目标WEB服务器解释为/etc/passwd：

GET etc/passwd
或者

GET etc/passwd
为了捕获这一个字符串的所有变体，你可能需要1000个以上的特征码进行字符串匹配，这还没有考虑UNICODE。UNICODE提供了另一种字符表达方式。有关UNICODE的IDS欺骗技术细节，本文将不多做讨论。如果想了解更多细节请参考SecurityFocus的IDS Evasion with Unicode。除此之外，RainForestPuppy在他的HTTP扫描工具Whisker中采用了另外一些IDS欺骗技术：

-I 1 IDS-evasive mode 1 (URL编码)

-I 2 IDS-evasive mode 2 (/./目录插入)

-I 3 IDS-evasive mode 3 (过早结束URL)

-I 4 IDS-evasive mode 4 (长URL)

-I 5 IDS-evasive mode 5 (伪造参数)

-I 6 IDS-evasive mode 6 (TAB分割) (not NT/IIS)

-I 7 IDS-evasive mode 7 (大小写敏感)

-I 8 IDS-evasive mode 8 (Windows分割符)

-I 9 IDS-evasive mode 9 (会话拼接) (slow)

-I 0 IDS-evasive mode 0 (NULL方法)
如果想了解上面这些方法的技术细节，可以参考A Look At Whisker's Anti-IDS Tactics。需要特别说明的是，rfp把whisker采用的anti-ids技术单独放到了libwhisker(使用perl编写的)库中，为其它的程序采用这些技术提供了很大的便利。另外，nessus和babelweb等扫描工具都有自己的应用层入侵检测躲避技术。
现在，IDS开发人员对各种网络协议有了更深入的理解，并且入侵检测设备在对数据包的负载进行字符串匹配之前会进行必要的协议分析，因此现在的IDS已经能够很好地处理上述的欺骗技术了。但是多余的字符转换又提高了入侵检测系统的负载，有时是得不偿失。为了减小这个负面影响，开发人员可以使入侵检测系统只在特定的端口进行字符转换。
2.多变shell代码(polymorphic shell code)
多变shell代码(polymorphic shell code)技术由K2开发的，设计思想来源于病毒逃避(virus evasion)技术。使用这种技术重新构造的shell代码更为危险，入侵检测设备非常难以检测到。这种技术只用于缓冲区溢出攻击，对付基于特征码的检测系统非常有效，而对于智能化的或者基于协议分析的检测系统的效果要差很多。为了便于讨论，我们以SSH CRC32缓冲区为例。我们先看以下snort检测规则：

alert tcp $EXTERNAL_NET any -> $HOME_NET 22 (msg:"EXPLOIT ssh CRC32

overflow /bin/sh"; flags:A ; content:"/bin/sh"; reference:bugtraq,2347;

reference:cve,CVE-2001-0144; classtype:shellcode-detect; sid:1324; rev:1;)

alert tcp $EXTERNAL_NET any -> $HOME_NET 22 (msg:"EXPLOIT ssh CRC32

overflow NOOP"; flags:A ; content:"|90 90 90 90 90 90 90 90 90 90 90 90 90 90 90)
上面的第一条规则简单地检查从外部到$HOME_NET，目标端口是22的数据包，搜索里面是否包含字符串/bin/sh。第二条规则是检查是否包含x86空操作字符(0x90)。多变shell代码(polymorphic shell code)使用很多方法逃避字符串匹配系统的检测。首先(以x86架构为例)，使用其它的字符代替0x90执行无操作(no-op)指令。对于X86架构，有55种替代方式，其它的要少一些。这些替代方式以一种伪随机的方式结合到一块，建立缓冲区溢出shell代码包含无操作(no-op)指令的部分。除此之外，shell代码本身也采用XOR机制编码。通过这种方式建立的缓冲区溢出shell代码被重组后不会包含以上的特征码，从而能够逃过字符串匹配检测。


多变shell代码检测对基于特征码检测的IDS是一个很大的挑战。Next Generation Security Technologie公司的技术白皮书Polymorphic Shellcodes vs. Application IDSs中提出了一些检测多变shell代码的设想。通过搜索无操作(no-op)字符的一个特定长度的正则表达式，可以实现对多变shell代码的精确检测。最近，Dragos Ruiu发布了一个用于检测多变shell代码的snort预处理插件spp_fnord，这个插件采用了和上面相似的检测技术。这个预处理插件有端口和长度两个配置选项。例如，如果某个人在配置时设置了80、21、23和53等端口，它就只对这几个端口的数据流量进行多变shell代码的检测，而不会对其它端口(例如：22)进行检测。
3.会话拼接(session splicing，叫会话分割更合适一些)
上面讨论的这些方法都是属于攻击数据在一个数据包中的情况，没有涉及攻击数据和会话通过多个数据包投递的情况。RFP在Whisker中实现了一种IDS逃避技术叫作会话拼接(session splicing)，就是把会话数据放到多个数据包中发出，例如：

-------------------------  

| packet number | content |

|--------------- ---------|

| 1 | G |

|--------------- ---------|

| 2 | E |

|--------------- ---------|

| 3 | T |

|--------------- ---------|

| 4 | 20 |

|--------------- ---------|

| 5 | / |

|--------------- ---------|

| 6 | H |

--------------- ---------
通过这种方式，每次只投递几个字节的数据，就可能避开字符串匹配入侵检测系统的监视。要监视这种攻击，需要入侵检测系统或者能够理解、监视网络会话(即使IDS有这种能力，攻击者也可以通过其它的凡是避开监视)，或者采用其它的技术监视这种攻击。snort使用以下规则来监视会话拼接：

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS 80 (msg:"WEB-MISC whisker

space splice attack"; content:"|20|"; flags:A ; dsize:1;

reference:arachnids,296; classtype:attempted-recon; reference)
这条规则使snort检测目标为$HTTP_SERVERS 80端口的ACK报文的负载长度是否等于1以及是否包含空格(16进制的20)。使用这条规则可以精确地检测出whisker，但是攻击者只要稍加修改就可以避开这个检测。为了能够检测可能出现的会话拼接攻击，可以对上面这条snort规则进行扩展，使其检查负载很短的HTTP请求。但是，这样做的副作用是提高了误报警数量，而且在某些情况下攻击者还是能够避开监视。为了真正有效地检测这种攻击，需要入侵检测系统能够完整地理解网络会话，不过这是非常困难的。应该注意的是目前大多数系统能够重组会话，在所有的会话数据到达之前，它们会等待一些时间。而等待时间的长短与程序有关。例如，Apache/RedHat的会话超时时间是6分钟，IIS/Win2K等待的时间非常长。因此，攻击者完全可以每15分钟发送一个字节的会话数据，而IIS还会认为是有效的会话。最新版本的snort能够监视长期的会话和网络层欺骗，例如：小TTL值。
4.碎片攻击
碎片攻击和会话拼接(session splicing)有点类似。直到最近，很多入侵检测系统在进行字符串匹配之前不能准确地重组碎片。现在这种情况有了改观，所有的入侵检测系统都能够进行某些重组。不过，还是有很多方法可以避开入侵检测系统的监视。碎片重组的问题是在进行字符串匹配以前，入侵检测系统必须在内存中缓存所有的碎片，然后进行重组。而且，他还需要直到、碎片在目的主机会如何重组。Thomas Ptacek and Timoth Newsham于1998年写的Insertion,Evasion and Denial of Service: Eluding Network Intrusion Detection描述了许多基于网络的碎片躲避和其它类型的躲避技术。碎片攻击包括：碎片覆盖、碎片重写、碎片超时和针对网络拓扑的碎片技术(例如使用小的TTL)等。下面，我们将详细讨论。


4.1.碎片覆盖
所谓碎片覆盖就是发送碎片覆盖先前碎片中的数据。例如：
碎片1 GET x.idd
碎片2 a.?(缓冲区溢出数据)
第二个碎片的第一个字符覆盖第一个碎片最后一个字符，这两个碎片被重组之后就变成了GET x.ida?(缓冲区溢出数据)。实际情况远非这么简单，更详细的细节请参考烂文IDS欺骗之Fragroute篇(上)。
4.2.碎片数据覆盖
这种方法和上面的碎片覆盖有些类似，只不过是覆盖全部的碎片数据，例如：
碎片1 GET x.id
碎片2 一些随机的字符
碎片3 a.?(缓冲区溢出数据)
这些碎片在经过目标系统的重组之后，碎片3将完全覆盖碎片2，重组之后的数据变成GET x.ida?(缓冲区溢出数据)。如果入侵检测系统的重组方式和目标系统不同，就无法重组出“GET x.ida?(缓冲区溢出数据)”，因此就检测不出这个攻击。
4.3.碎片超时
这种攻击依赖于入侵检测系统在丢弃碎片之前会保存多少时间。大多数系统会在60秒之后将丢弃不完整的碎片流(从收到第一个碎片开始计时)。如果入侵检测系统保存碎片的时间小于60秒，就会漏掉某些攻击。例如：
碎片1(设置了MF位)GET foo.id
碎片2(59秒之后发出) a?(缓冲区溢出数据)
如果IDS保存起始碎片的时间不到60秒，就会漏过攻击。幸运的是，如果配置没有错误，现在的网络入侵检测系统能够检测此类攻击。
这种技术结合其它的网络技术(例如：TTL值)将更有威胁。如果入侵检测系统和被监视的系统不在同一个网段，攻击者就可以在TTL上做手脚。有的单位由于经费的限制，不能在自己的每个子网都部署IDS节点，只在网络的出入口部署一套IDS，监视所有的网络流量。这种情况下，如果被攻击的主机在其它的子网，攻击数据包到目标系统的跳数就大于到IDS的跳数。攻击者可以伪造碎片的TTL，使某些碎片刚好能够到达，而无法到达目标系统，例如：
碎片序号负载TTL(假设攻击者到目标的跳数是5，到IDS的跳数是3)
1 GET foo.id 5
2 evasion.html 3
3 a?(缓冲区溢出数据) 5
从这些碎片中，IDS重组的数据是“GET foo.idevasion.html a?(缓冲区溢出数据)”或者“GET foo.idevasion.html”(如果IDS的超时时间小于60秒)。通过这种方式，攻击者成功地在IDS中插入了垃圾数据。
5.碎片和snort特征码
下面我们把上述攻击和某些snort特征码进行比较。对于.ida缓冲区溢出攻击，默认的snort特征码几乎无法捕获任何通过碎片发动的攻击(如果使用了frag2预处理模块，snort可以截获碎片超时攻击)。下面是针对.ida缓冲区溢出攻击的snort检测规则：



alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS 80 (msg:"WEB-IIS ISAPI

.ida attempt"; uricontent:".ida?"; nocase; dsize:>239; flags:A ;

reference:arachnids,552; classtype:web-application-attack;

reference:cve,CAN-2000-0071; sid:1243; rev:2;)
另外，snort还有一条检测小碎片的规则，一旦发现太小的碎片，就会触发这条规则：

alert ip $EXTERNAL_NET any -> $HOME_NET any (msg:"MISC Tiny

Fragments"; fragbits:M; dsize: < 25; classtype:bad-unknown; sid:522)
但是，这样还是不能检测某些攻击。还是以ida缓冲区溢出为例，这个攻击实际上和请求的URI无关，因此攻击者可以在前面加

      今天我们所处的信息时代，也可以说也是病毒与黑客大行其道的时代，这样说确实有些悲观但今天的网络的确如此，从Internet到企业内网、从个人电脑到可上网的手机平台，没有地方是安全的。每一次网络病毒的攻击，都会让家庭用户、企业用户、800热线甚至是运营商头痛脑热。不过经历过了一次又一次的病毒危机后，人们已经开始思考网络的安全了。现在任何一个企业组建网络都会考虑到购买防火墙，且有越来越多的家庭用户在自己的电脑上甚至宽带接入端也加上了防火墙，相信不久的将来，我们可以看到在手机上也会出现防火墙。
　　就许多中小企业而言，防火墙的配置往往没有反映出企业的业务需求。如果对防火墙的防护执行设置没有结合企业内部的需求而进行认真充分的定义，添加到防火墙上的安全过滤规则就有可能允许不安全的服务和通信通过，从而给企业网络带来不必要的危险与麻烦。防火墙可以比做一道数据的过滤网，如果事先制定了合理的过滤规则，它将可以截住不合规则的数据报文，从而起到过滤的作用。相反，如果规则不正确，将适得其反。
中小企业防火墙应具有哪些功能
　　如何合理实施防火墙的配置呢？首先，让我们来看看中小企业防火墙一般都应具有哪些功能：
　　1． 动态包过滤技术，动态维护通过防火墙的所有通信的状态（连接），基于连接的过滤；
　　2． 可以作为部署NAT（Network Address Translation，网络地址变换）的地点，利用NAT技术，将有限的IP地址动态或静态地与内部的IP地址对应起来，用来缓解地址空间短缺的问题；
　　3． 可以设置信任域与不信任域之间数据出入的策略；
　　4． 可以定义规则计划，使得系统在某一时可以自动启用和关闭策略；
　　5． 具有详细的日志功能，提供防火墙符合规则报文的信息、系统管理信息、系统故障信息的记录，并支持日志服务器和日志导出；
　　6． 具有IPSec VPN功能，可以实现跨互联网安全的远程访问；
　　7． 具有邮件通知功能，可以将系统的告警通过发送邮件通知网络管理员；
　　8． 具有攻击防护功能对不规则的IP、TCP报或超过经验阀值的TCP半连接、UDP报文以及ICMP报文采取丢弃；
　　9． Web中的Java, ActiveX, Cookie、URL关键字、Proxy进行过滤。
　　以上是中小企业防火墙所应具备的一些防护特性，当然随着技术的发展中小企业防火墙的功能会变得越来越丰富；但有再多功能的防火墙如果没有合理的配置和管理，那么这只是一件IT摆设．


　　
如何实施防火墙配置
　　如何实施防火墙配置呢？我们分别从以下几方面来讨论：
　　规则实施
　　规则实施看似简单，其实需要经过详尽的信息统计才可以得以实施。在过程中我们需要了解公司对内对外的应用以及所对应的源地址、目的地址、TCP或UDP的端口，并根据不同应用的执行频繁程度对策率在规则表中的位置进行排序，然后才能实施配置。原因是防火墙进行规则查找时是顺序执行的，如果将常用的规则放在首位就可以提高防火墙的工作效率。另外，应该及时地从病毒监控部门得到病毒警告，并对防火墙的策略进行更新也是制定策略所必要的手段。
　　规则启用计划
　　通常有些策略需要在特殊时刻被启用和关闭，比如凌晨3：00。而对于网管员此时可能正在睡觉，为了保证策略的正常运作，可以通过规则启用计划来为该规则制定启用时间。另外，在一些企业中为了避开上网高峰和攻击高峰，往往将一些应用放到晚上或凌晨来实施，比如远程数据库的同步、远程信息采集等等，遇到这些需求网管员可以通过制定详细的规则和启用计划来自动维护系统的安全。
　　日志监控
　　日志监控是十分有效的安全管理手段，往往许多管理员认为只要可以做日志的信息，都去采集，比如说对所有的告警或所有与策略匹配或不匹配的流量等等，这样的做法看似日志信息十分完善，但可以想一下每天进出防火墙的数据报文有上百万甚至更多，你如何在这些密密麻麻的条目中分析你所需要的信息呢？虽然有一些软件可以通过分析日志来获得图形或统计数据，但这些软件往往需要去二次开发或制定，而且价格不菲。所以只有采集到最关键的日志才是真正有用的日志。
　　一般而言，系统的告警信息是有必要记录的，但对于流量信息是应该有选择的。有时候为了检查某个问题我们可以新建一条与该问题匹配的策略并对其进行观测。比如：内网发现蠕虫病毒，该病毒可能会针对主机系统某UDP端口进行攻击，网管员虽然已经将该病毒清除，但为了监控有没有其他的主机受感染，我们可以为该端口增加一条策略并进行日志来检测网内的流量。
　　另外，企业防火墙可以针对超出经验阀值的报文做出响应，如丢弃、告警、日志等动作，但是所有的告警或日志是需要认真分析的，系统的告警支持根据经验值来确定的，比如对于工作站和服务器来说所产生的会话数是完全不同的，所以有时会发现系统告知一台邮件服务器在某端口发出攻击,而很有可能是这台服务器在不断的重发一些没有响应的邮件造成的。
　　设备管理
　　对于企业防火墙而言，设备管理方面通常可以通过远程Web管理界面的访问以及Internet外网口被Ping来实现，但这种方式是不太安全的，因为有可能防火墙的内置Web服务器会成为攻击的对象。所以建议远程网管应该通过IPsec VPN的方式来实现对内端口网管地址的管理。

      在已记录的恶意软件事件中，通过网络发动的攻击是最多的。通常，发动恶意软件攻击是为了利用网络外围防护中的漏洞允许恶意软件访问组织 IT 基础结构中的主机设备。这些设备可以是客户端、服务器、路由器，或者甚至是防火墙。在此层上进行病毒防护所面临的最困难问题之一是，平衡 IT 系统用户的功能要求与创建有效防护所需的限制。例如，与许多最近的攻击类似，MyDoom 蠕虫使用电子邮件附件复制自己。从 IT 基础结构的角度来看，阻止所有传入附件是最简单、最安全的选项。但是，组织中电子邮件用户的需求可能不允许这样做。必须进行折衷，在组织的需求和它可以接受的风险级别之间达到平衡。 　　许多组织已经采用多层方法来设计其网络同时使用内部网络结构和外部网络结构。Microsoft 建议使用此方法，因为它正好符合深层防护安全模型。 　 注意：存在一种日益增长的趋势：将内部网络分解为多个安全区域，以便为每个安全区域建立外围。Microsoft 也建议使用此方法，因为它可帮助降低试图访问内部网络的恶意软件攻击的总体风险。但是，本指南仅对单个网络防护进行说明。如果您计划使用一个外围网络和多个内部网络，则可以将此指导直接应用于每个网络。 　 组织的第一个网络防护指外围网络防护。这些防护旨在防止恶意软件通过外部攻击进入组织。如本章前面所述，典型的恶意软件攻击集中于将文件复制到目标计算机。因此，您的病毒防护应该使用组织的常规安全措施，以确保只有经过适当授权的人员才能以安全方式（如通过加密的虚拟专用网络 (VPN) 连接）访问组织的数据。 　　注意：您也应该将任何无线局域网 (LAN) 和 VPN 视为外围网络。如果您的组织已经采用这些技术，则对其进行保护是很重要的。如果无法提供此安全性，则可能允许攻击者直接访问您的内部网络（避开标准的外围防护）以发动攻击。 　　在本指南中，假定网络安全设计为组织提供了所需的标识、授权、加密和保护级别，以防止未经授权的攻击者直接侵入。但是，此时病毒防护是不完整的。下一步是将网络层防护配置为检测和筛选使用允许的网络通信（如电子邮件、Web 浏览和即时消息）的恶意软件攻击。 　　网络防病毒配置 　　有许多专门设计用于为组织提供网络安全的配置和技术。虽然这些是组织安全设计的重要部分，但是本节仅集中说明与病毒防护有直接关系的区域。您的网络安全和设计小组应该确定在组织中如何使用以下每种方法。 　　网络入侵检测系统 　　因为外围网络是网络中风险很大的部分，因此您的网络管理系统能够尽快检测和报告攻击是极其重要的。网络入侵检测 (NID) 系统的作用仅仅是提供：外部攻击的快速检测和报告。虽然 NID 系统是总体系统安全设计的一部分，而且不是特定的防病毒工具，但是系统攻击和恶意软件攻击的许多最初迹象是相同的。例如，一些恶意软件使用 IP 扫描来查找可进行感染的系统。由于此原因，应该将 NID 系统配置为与组织的网络管理系统一起工作，将任何不寻常的网络行为的警告直接传递给组织的安全人员。 　　要了解的一个关键问题是：对于任何 NID 实现，其保护仅相当于在检测到入侵之后遵循的过程。此过程应该触发可以用来阻止攻击的防护，而且防护应该得到连续不断的实时监视。只有在此时，才能认为该过程是防护策略的一部分。否则，NID 系统实际上更像一个在攻击发生之后提供审核记录的工具。 　　有许多可供网络设计人员使用的企业级网络入侵检测系统。它们可以是独立的设备，也可以是集成到其他网络服务（如组织的防火墙服务）中的其他系统。例如，Microsoft Internet Security and Acceleration (ISA) Server 2000 和 2004 产品包含 NID 系统功能以及防火墙和代理服务。 　　应用程序层筛选 　　组织意识到使用 Internet 筛选技术监视和屏蔽网络通信中的非法内容（如病毒）不仅是有用的，而且是必需的。在过去，曾经使用防火墙服务提供的数据包层筛选执行了此筛选，仅允许根据源或目标 IP 地址或者特定的 TCP 或 UDP 网络端口来筛选网络流量。应用程序层筛选 (ALF) 在 OSI 网络模型的应用程序层上工作，因此它允许根据数据的内容检查和筛选数据。如果除了使用标准数据包层筛选外还使用 ALF，则可以实现的安全性要高得多。例如，使用数据包筛选可能允许您筛选通过组织防火墙的端口 80 网络流量，以便它只能传递到 Web 服务器。但是，此方法可能不提供足够的安全性。通过将 ALF 添加到解决方案中，您可以检查端口 80 上传递到 Web 服务器的所有数据，以确保它是有效的且不包含任何可疑代码。 　　ISA Server 可以在数据包通过组织防火墙时提供对它们的 ALF。可以扫描 Web 浏览和电子邮件，以确保特定于每个 Web 浏览和电子邮件的内容不包含可疑数据，如垃圾邮件或恶意软件。ISA Server 中的 ALF 功能启用深层内容分析，包括使用任何端口和协议检测、检查和验证流量的功能。 　　内容扫描 　　内容扫描在更高级防火墙解决方案中作为一项功能提供，或者作为单独服务（如电子邮件）的组件提供。内容扫描询问允许通过有效数据通道进入或离开组织网络的数据。如果内容扫描是在电子邮件上执行的，则它通常与电子邮件服务器协同工作以检查电子邮件的特性（如附件）。此方法可以在数据通过服务时实时扫描和识别恶意软件内容。有许多与 Microsoft 协作为 Microsoft Exchange Server 和 ISA Server 提供增强安全功能（如实时防病毒内容扫描）的合作伙伴。 　　URL 筛选 　 对于网络管理员可能可用的另一个选项是 URL 筛选，您可以使用它阻止有问题的网站。例如，您可能使用 URL 筛选阻止已知的黑客网站、下载服务器和个人 HTTP 电子邮件服务。  　　注意：主要的 HTTP 电子邮件服务站点（如 Hotmail 和 Yahoo）提供防病毒扫描服务，但是有许多较小站点根本不提供防病毒扫描服务。对组织防护来说，这是严重的问题，因为这样的服务会提供直接从 Internet 到客户端的路由。 　　网络管理员可以使用两种基本的 URL 筛选方法： 　　• 阻止列表。防火墙先检查有问题站点的预定义列表，然后才允许连接。允许用户连接没有专门在阻止列表中列出的站点。 　　• 允许列表。此方法仅允许与在组织已批准网站的预定义列表中输入的网站进行通信。


　　第一种方法依赖于识别可能存在问题的网站并将它们添加到列表中的主动过程。由于 Internet 的大小和可变特性，此方法需要自动化解决方案或很大的管理开销，通常仅对阻止数目较小的已知有问题网站是有用的，无法提供综合性保护解决方案。第二种方法提供了更好的保护，因为它的限制特性允许控制可供系统用户访问的站点。但是，除非进行了正确调查以识别用户所需的所有站点，否则此方法可能对许多组织来说限制性太强。 　　仅当客户端处于组织防护内时，这两种方法才会提供保护。移动客户端在办公室外直接连接到 Internet 时，将不提供此保护，这意味着您的网络可能会受到攻击。如果组织中的移动客户端需要 URL 筛选解决方案，则您应该考虑使用基于客户端的防护系统。但是，此方法可能会带来很大的管理开销，尤其是在具有大量移动客户端的环境中。 　　隔离网络 　　为保护网络可以使用的另一种方法是：为不满足组织最低安全要求的计算机建立隔离网络。  　　注意：不应该将此方法与某些防病毒应用程序中提供的隔离功能相混淆，后者将感染文件移动到计算机上的安全区域中，直到可以将其清除。 　　隔离网络应该限制（或者甚至阻止）对组织资源的内部访问，但是提供一种连接级别（包括 Internet）允许临时访问者的计算机高效工作，而不会给内部网络的安全带来风险。如果访问者的便携式计算机感染了恶意软件并连接到网络，则隔离网络可以限制其感染内部网络上其他计算机的能力。  　　与此类似的方法成功应用于 VPN 类型的远程连接，已经有一段时间了。在执行系统测试的同时，将 VPN 客户端转移到临时隔离网络。如果客户端通过了测试（例如由于具有所需的安全更新和防病毒签名文件），则将授予它们访问组织内部网络的权限。如果客户端不满足这些要求，则将断开它们的连接或允许它们访问隔离网络，这可以用来获得通过测试所必需的更新。现在，网络设计人员正研究此技术以帮助改进内部网络的安全性。 　　ISA Server Feature Pack 　　如果您的组织使用 ISA Server 2000，则 Microsoft 还建议您使用在 ISA Server Feature Pack 1 中提供的其他功能。此免费附件提供其他安全功能，您可以使用这些功能提高网络防护中跨防火墙的通信（包括电子邮件）的安全性。您可以用来改进防病毒网络防护的功能包括： 　　• 增强的 SMTP 筛选器。此功能有助于以增强的可靠性和安全性筛选电子邮件。筛选基于附件的名称、大小或扩展名，以及发件人、域、关键字和任何 SMTP 命令及其长度。 　　• 增强的 Exchange 远程过程调用 (RPC) 筛选器。此功能保护通过不受信任的网络与 Exchange Server 计算机进行的 Outlook 电子邮件通信，而不要求您建立 VPN。为此，在 ISA Server Feature Pack 1 中还附带了以下额外功能： 　　• 管理员能够在 Outlook 和 Exchange Server 之间强制 RPC 加密。 　　• 出站 RPC 通信可以安全地通过 ISA Server，这又允许连接到 ISA Server 计算机的 Outlook 客户端访问外部 Exchange Server 计算机。 　　• UrlScan 2.5。此工具有助于在 ISA Server 计算机上的恶意 Web 请求能够进入网络和访问 Web 服务器之前，阻止这些请求。 　　• Outlook Web Access (OWA) 向导。您可以使用此向导快速而轻松地配置 ISA Server 以帮助保护 OWA 部署。 　　• RPC 筛选器配置向导。您可以使用此向导仅允许对内部网络上的 RPC 服务进行精确级别的访问，而不是访问所有的 RPC 通信。 　　物理安全性 　　与其说物理安全性是特定的恶意软件问题，不如说它是一般的安全问题，但是如果没有用于组织基础结构中所有客户端、服务器和网络设备的有效物理防护计划，则无法避免恶意软件的攻击。在有效的物理防护计划中有许多关键元素，其中包括： 　　• 建立安全性  　　• 人员安全性 　　• 网络接入点 　　• 服务器计算机 　　• 工作站计算机  　　• 移动计算机和设备 　　在组织的安全风险评估中，应该评估其中的每个元素。如果攻击者损害其中的任一元素，则风险级别增加，恶意软件可以绕过外部和内部网络防护边界感染网络上的主机。 　　保护对您的工具和计算系统的访问应该是组织总体安全策略的基本元素。其实，这些注意事项的详细说明已经超出了此解决方案的范围，希望对您有用。

      Windows系统目录是Windows操作系统的重要目录，当我们访问这个目录时，系统会提示你这个目录的重要性，如果需要进入，只需要单击“显示文件”就可以大摇大摆地走进去了。如果我们给Windows目录增加一个进入口令，只有那些口令输入正确的人才能进入，这样，你的Windows目录不是安全多了，而且一些不愿让别人看到的文档也可以放到里面。 　　给Windows目录加口令，我们需要借助Windows目录中一个特殊文件：超文本模板文件folder.htt。另外我们再编写一个HTML文档用来进行口令输入错误时的提示。 　　下面，我们先来修改一下folder.htt，用记事本打开Windows目录中的folder.htt文档（注意它是一个隐藏文件，如果你在Windows目录中找不到它，可以在我的电脑窗口中单击“查看”菜单中的“文件夹选项...”，再单击“查看”标签，在高级设置中选中“显示所有文件”就可以了。），在文档内容最后的语句前面加入如下VBSCRIPT代码： ＜Script language="vbscript"＞ function kouling() 　　dim pass
   　　pass=Prompt("对不起，这是重要的系统目录，请您正确输入管理口令才能进入：","") 　　if pass="abc" then dedecms.com 　　else
　　Alert "对不起，您的口令错误！" 　　Navigate "file://C:\Program Files\error.html" 　　end if 　　end function 　　kouling() ＜/script＞　　然后保存一下文件。 　　先不要测试，各位看到代码中的Navigate "file://C:\Program Files\error.html"一句了吗，我们还需要建立一个error.html文档，用以进行错误提示。下面是这个文档最简单的代码，其核心内容是放置一个可以返回C盘根目录的按钮： ＜html＞ 对不起，您无权访问Windows系统目录! ＜a href=http://www.＊＊＊＊.com target="_blank"＞***之家 　　将这段代码保存为error.html文档，并存放于C:\Program Files\下。 　　好了，让我们测试一下吧！当你打开C盘欲进入Windows目录时，首先会弹出一个让你输入口令的对话框，输入口令abc（你也可以在folder.htt中将pass变量改为其他密码），才可以进入。如果不输入或输入错误，则直接打开页面“error.html”给以提示，单击页面中的返回按钮又会返回到C盘根目录了

          

          

            

          

          

      传统的网络安全技术侧重于系统入侵检测，反病毒软件或防火墙。内部安全如何？在网络安全构造中，交换机和路由器是非常重要的， 在七层网络中每一层都必须是安全的。 很多交换机和路由器都有丰富的安全功能，要了解有些什么，如何工作，如何部署，一层有问题时不会影响整个网络。交换机和路由器被设计成缺省安全的，出厂时就处于安全设置的状态，特别操作的设置在用户要求时才会被激活，所有其他选项都是关闭的，以减少危险，网管员也无需了解哪些选项应该关闭。
在初始登录时会被强制要求更改密码，也有密码的期限选项及登录尝试的次数限制，而且以加密方式存储。限期的账号（维护账号或后门）是不会存在的。交换机及路由器在掉电，热启动、冷启动，升级IOS、硬件或一个模块失败的情况下都必须是安全的，而且在这些事件发生后应该不会危及安全并恢复运作，因为日志的原因，网络设备应该通过网络时间协议保持安全精确的时间。通过SNMP协议连接管理的名称也应该被改变。
抵挡DoS攻击
从可用性出发，交换机和路由器需要能抵挡拒绝服务式Dos攻击，并在攻击期间保持可用性。理想状态是他们在受到攻击时应该能够做出反应，屏蔽攻击IP及端口。每件事件都会立即反应并记录在日志中，同时他们也能识别并对蠕虫攻击做出反应。
交换机及路由器中使用FTP，HTTP，TELNET或SSH都有可以有代码漏洞，在漏洞被发现报告后，厂商可以开发、创建、测试、发布升级包或补丁。
基于角色的管理给予管理员最低程序的许可来完成任务，允许分派任务，提供检查及平衡，只有受信任的连接才能管理倔们。管理权限可赋予设备或其他主机，例如管理权限可授予一定IP地址及特定的TCP/UDP端口。
控制管理权限的最好办法是在授权进入前分权限，可以通过认证和账户服务器，例如远程接入服务，终端服务，或LDAP服务。
远程连接的加密
很多情况下，管理员需要远程管理交换机及路由器，通常只能从公共网络上访问。为了保证管理传输的安全，需要加密协议，SSH是所有远程命令行设置和文件传输的标准协，基于WEB的则用SSL或TLS协议，LDAP通常是通讯的协议，而SSL/TLS则加密此通讯。
SNMP用来发现、监控、配置网络设备，SNMP 3是足够安全的版本，可以保证授权的通信。
建立登录控制可以减轻受攻击的可能性，设定尝试登录的次数，在遇到这种扫描时能做出反应。详细的日志在发现尝试破解密码及端口扫描时是非常有效的。
交换机及路由器的配置文件的安全也是不容忽视的，通常配置文件保存在安全的位置，在混乱的情况下，可以取出备份文件，安装并激活系统，恢复到已知状态。有些交换机结合了入侵检测的功能，一些通过端口映射支持，允许管理员选择监控端口。虚拟网络的角色虚拟的本地网络VLAN是第二层上的有限广播域，由一组计算机设备组成，通常位一多个LAN上，可能跨越一个或多个LAN交换机，而与它们的物理位置无关，设备之间好像在同一个网络间通信一样，允许管理员将网络分为多个可管理运行良好的小块，将啬、移动、更改设备、用户及权限的任务简化。
VLAN可在各种形式上形成，如交换口，MAC地址，IP地址，协议类型，DHCP，802.1Q标志或用户自定义。这些可以单独或组合部署。
VLAN认证技术在用户通过认证过程后授权给用户进入一个或多个VLAN，该授权不是给予设备。
防火墙可以控制网络之间的访问，最广泛应用的是嵌在传统路由器和多层交换机上的，也称作ACLS，防火墙的不同主要在于他们扫描包的深度，是端到端的直接通讯还是通过代理，是否有Session。
在网络之间的访问控制中，路由过滤措施可以基于源/目标交换槽或端口，源/目标VLAN，源/目标IP，或TCP/UDP端口，ICMP类型，或MAC地址。对于某些交换机和路由器，动态ACL标准可以用户通过认证过程后被创建，就像是认证的VLAN，不过是在第三层上。当未知的源地址要求连入已知的内部目标时是有用的。
现在的网络要求设计成各层次都是安全的，通过部署交换机和路由器的安全设置，企业可以传统的安全技术创建强壮、各层都安全的系统。

      传统带宽管理作为现在社会网络管理员的必备技能之一，在对公司网络进行控管时必不可少的应用手段。带宽管理功能，也就是是利用互联网网络包的特性，针对来源、目的、应用或是特殊的格式，进行阻挡或允许。可是，随着近年来带宽管理功能的日趋固定化，以前占用带宽的人员通常比较固定，一旦发现占用带宽再设定相关管制，就可发挥管制的作用。过去，网管发现占用带宽的是少数人，所以人为、被动的传统带宽管理方式是足够的。
侠诺科技为了让大多数网管解救于繁琐的网络管理上，而无暇顾及其他。动态智能Qos带宽管理功能，是侠诺科技独创的一个全新网络管理理念。现在我们就将二者的功能和使用方法一一进行比较。让用户了解透，心明眼亮，才能更好的使用先进的网络管理工具。
一、传统带宽管理失效
但是，随着宽带互联网的发展，各种应用越来越多，传统的带宽管理显得越来越不能发挥有效的作用。这是因为现在占用带宽的来源，己经变成动态的，而不是固定的。因此用有限的带宽管理原则，对于突发的带宽占用现象，经常显得力不从心，无法保证带宽利用的优化。
会造成这类现象的原因是由于宽带应用发生了下面的情况：
视频的应用越来越发达，很多用户会临时起意，观看视频影片。很多视频串流影片播放软件，背后其实是以大量占用带宽的方式进行。用户在无意之中，大量占用带宽。
越来越多占用带宽的攻击，是通过浏览网页的方式，从IE的漏洞传到用户计算机上。很多用户在不知情的情况下，成为占用带宽的元凶。
越来越多的外挂程序，其实内部含有不同的功能，例如前段时间发生的灰鸽子软件，在背景持续工作，占用带宽，把内部的带宽提供给外部用户使用。
在这种情况下，网管再作带宽管理，就显得被动，效果也不大，甚至没有办法进行预防，因此需要一个既能主动管理，又能让网管省时省心的机制。
二、Qno动态智能带宽管理
Qno侠诺推出的SmartQoS功能，就是一个针对前述的需求而研发的新功能。“动态智能QoS”主要配置参数为整体对外带宽大小及单一用户最多可占用带宽大小，路由器就可进行动态的智能管理，突发的带宽需要会被允许，只有真的持续占用带宽的用户会被限制，同时又能提高路由器效能。
虽然配置简单，但“动态智能带宽管理”结合了联机数限制、SPI包检测、二次惩罚机制等多种先进技术来完成。其中二次惩罚机制也为Qno侠诺首先提出的概念，它容许内网用户短期间占用大带宽，但是若是持续占用，路由器会不断缩小其可使用的带宽，直至无法上网为止。这个机制对于新式攻击软件，可以起到有效管制的作用。
“动态智能带宽管理”简化的配置，可以减少很多路由器管理的时间，动态智能QoS只要一个画面即可完成配置。而且只要进行一次配置，日后只要针对大的政策进行调整，不用要为单一用户占用带宽，进行配置。




动态智能带宽管理和传统带宽管理配置的比较：传统的带宽管理是以规则的方式，网管需要作许多工作，才能进行被动性的配置。而下面的动能智能带宽管理，网管可以整体性的进行政策配置，日后不用再针对细节进行调整，就可达到内网管理的效果。
动态智能带宽管理，可以代替网管的大部份工作，只要进行一次配置即可。否则，每次网管发现有占用带宽的情况，就必须人工进行配置，费时效果又不大。
三、传统QoS作法
我们来看看传统QOS的做法：网管发现网络卡了，例如有用户提出不满或是上网页慢了。就必须到系统状态实时监控页，看广域网端口的带宽是否快被吃光了，例如90%。



系统状态实时监控页：可以显示各个广域网端口的带宽使用率。
如果发现带宽的确是快要要爆了，就要找出是谁占用带宽的。这时必须找出大量占用带宽的IP，这时可用“网络流量统计页”，找出前二十位占用带宽的排行榜。若是较小心的网管，还需隔个五分钟再看一次，确定是否真的长期占用带宽。


网络流量统计页：可提供不同IP及应用的带宽使用情况。在占用带宽的列表中，可列出前二十位占用带宽排行榜。
在找出占用带宽的IP后，再回到前面介绍的带宽管理页面，增加一条规则，对该IP加以管制。可是一小时后，又有其它人占用带宽了，网管又得回来重作这个动作。但是如果配置的太严格，又会影响临时需要的应用。网管的头于是越来越大。
四、侠诺适时推动智能化路由器功能
由以上的介绍可知，智能化的功能不但可以简化网管日常工作，还可发挥一次配置、多次省事的效果。只有能事先防范于未然，才能协助用户解决越来越复杂的宽带接入问题。

      传统的网络安全技术侧重于系统入侵检测，反病毒软件或防火墙。内部安全如何？在网络安全构造中，交换机和路由器是非常重要的， 在七层网络中每一层都必须是安全的。 很多交换机和路由器都有丰富的安全功能，要了解有些什么，如何工作，如何部署，一层有问题时不会影响整个网络。交换机和路由器被设计成缺省安全的，出厂时就处于安全设置的状态，特别操作的设置在用户要求时才会被激活，所有其他选项都是关闭的，以减少危险，网管员也无需了解哪些选项应该关闭。在初始登录时会被强制要求更改密码，也有密码的期限选项及登录尝试的次数限制，而且以加密方式存储。限期的帐号（维护帐号或后门）是不会存在的。交换机及路由器在掉电，热启动、冷启动，升级IOS、硬件或一个模块失败的情况下都必须是安全的，而且在这些事件发生后应该不会危及安全并恢复运作，因为日志的原因，网络设备应该通过网络时间协议保持安全精确的时间。通过SNMP协议连接管理的名称也应该被改变。抵挡DoS攻击从可用性出发，交换机和路由器需要能抵挡拒绝服务式Dos攻击，并在攻击期间保持可用性。理想状态是他们在受到攻击时应该能够做出反应，屏蔽攻击IP及端口。每件事件都会立即反应并记录在日志中，同时他们也能识别并对蠕虫攻击做出反应。交换机及路由器中使用FTP，HTTP，TELNET或SSH都有可以有代码漏洞，在漏洞被发现报告后，厂商可以开发、创建、测试、发布升级包或补丁。基于角色的管理给予管理员最低程序的许可来完成任务，允许分派任务，提供检查及平衡，只有受信任的连接才能管理倔们。管理权限可赋予设备或其他主机，例如管理权限可授予一定IP地址及特定的TCP/UDP端口。控制管理权限的最好办法是在授权进入前分权限，可以通过认证和帐户服务器，例如远程接入服务，终端服务，或LDAP服务。远程连接的加密很多情况下，管理员需要远程管理交换机及路由器，通常只能从公共网络上访问。为了保证管理传输的安全，需要加密协议，SSH是所有远程命令行设置和文件传输的标准协，基于WEB的则用SSL或TLS协议，LDAP通常是通讯的协议，而SSL/TLS则加密此通讯。SNMP用来发现、监控、配置网络设备，SNMP 3是足够安全的版本，可以保证授权的通信。建立登录控制可以减轻受攻击的可能性，设定尝试登录的次数，在遇到这种扫描时能做出反应。详细的日志在发现尝试破解密码及端口扫描时是非常有效的。交换机及路由器的配置文件的安全也是不容忽视的，通常配置文件保存在安全的位置，在混乱的情况下，可以取出备份文件，安装并激活系统，恢复到已知状态。有些交换机结合了入侵检测的功能，一些通过端口映射支持，允许管理员选择监控端口。虚拟网络的角色虚拟的本地网络VLAN是第二层上的有限广播域，由一组计算机设备组成，通常位一多个LAN上，可能跨越一个或多个LAN交换机，而与它们的物理位置无关，设备之间好像在同一个网络间通信一样，允许管理员将网络分为多个可管理运行良好的小块，将啬、移动、更改设备、用户及权限的任务简化。VLAN可在各种形式上形成，如交换口，MAC地址，IP地址，协议类型，DHCP，802.1Q标志或用户自定义。这些可以单独或组合部署。VLAN认证技术在用户通过认证过程后授权给用户进入一个或多个VLAN，该授权不是给予设备。防火墙可以控制网络之间的访问，最广泛应用的是嵌在传统路由器和多层交换机上的，也称作ACLS，防火墙的不同主要在于他们扫描包的深度，是端到端的直接通讯还是通过代理，是否有Session.在网络之间的访问控制中，路由过滤措施可以基于源/目标交换槽或端口，源/目标VLAN，源/目标IP，或TCP/UDP端口，ICMP类型，或MAC地址。对于某些交换机和路由器，动态ACL标准可以用户通过认证过程后被创建，就像是认证的VLAN，不过是在第三层上。当未知的源地址要求连入已知的内部目标时是有用的。现在的网络要求设计成各层次都是安全的，通过部署交换机和路由器的安全设置，企业可以传统的安全技术创建强壮、各层都安全的系统。