[摘要]使用开放源漏洞分析工具， 可以帮助对云安全进行公开、全面审查。 而漏洞分析仅仅是确保服务器安全的一部分。 显而易见的是， 准确定义漏洞评估政策则是沿着正确方向迈出的一大步。 1、介绍 对... 使用开放源漏洞分析工具， 可以帮助对云安全进行公开、全面审查。 而漏洞分析仅仅是确保服务器安全的一部分。 显而易见的是， 准确定义漏洞评估政策则是沿着正确方向迈出的一大步。 1、介绍 对于任何一个安全政策来讲， 漏洞评估都是一个很重要的方面。 现在， 针对互联网主机攻击越来越多地是以利益为驱动的， 因此它们更狡猾分布也更广泛。 保护所有的网络服务器似乎有不少难度， 但是黑客发起的大部分攻击却可以避免。 服务器配置不符合要求或者所使用的工具没有经过更新， 容易导致大量的互联网服务器遭受攻击。 因为， 黑客们很容易找到并利用服务器漏洞。 确保服务器升级至最新而且没有配置错误， 这并不困难， 但是这些工作却会因为时间限制而被忽略。 漏洞评估有助于发现服务器安全配置中出现的错误， 也有助于挖掘出需要安装补丁的软件漏洞。 通过利用云中的远程漏洞评估， 可以帮助你的组织实现规模效益。 由于配置和管理评估工具不需要专业知识， 你也可以对自己的组织进行漏洞评估。 2、日益严重的威胁情形 攻击自动化和访问利用漏洞的简单化， 成为了服务器受到日益严重的威胁的主要原因。 事实上， 如果你想证明它有多么容易的话， 可以访问http://www.milw0rm.com， 选择最近的一个Web应用程序漏洞， 然后， 在Google中输入“Google Dork”——比如“powered by scriptname”， 在五分钟时间内， 看看所有网页上的服务器你能找到多少漏洞。 3、漏洞存在的共同载体 3.1配置不当的服务器 混乱的文件权限， 配置不当的Web或者Email服务器， 或者当时间在流逝你还停留在临时的补丁更新的时候——配置不当的服务器到处都是， 也常常因为时间限制没有过多考虑， 使得即使作为系统管理员也会有看走眼的时候。 3.2软件没有获得更新 服务器操作系统和应用程序都需要更新， 这不是可有可无的。 使用Windows更新、Yum和Apt工具， 可以帮助更新减少大量的主机漏洞， 但是， 仍然会有很多主机会被忽略。 这只是个时间问题， 当漏洞百出的服务被发现后， 系统就会遭受损害。 3.3网页脚本 PHP与ASP应用程序和脚本是实现网页动态效果的有效方法， 但是， 当有可用安全更新的时候， 像操作系统和软件这些都必须确保获得更新。 关于这方面的一个很好例子就是WordPress博客软件， 我们选择WordPress不是因为它特别不安全， 而是因为它代表了一种广泛流行的脚本——曾在过去暴露出一些危险的安全漏洞。 这些脚本需要持续不断地更新， 因为它们很容易被忽略——直到你的博客受到攻击， 并植入恶意页面攻击你的浏览用户。 3.4密码不够安全 在互联网上遨游必不可少的是使用强密码， 查看主机和互联网的记录是件很简单的事情， 也很容易发现系统大概会多久被蛮力攻击一次。 蛮力攻击会危害到很多服务项目， 包括ssh， rdp， ftp， web窗体和vnc。 3.5 密码重用 每次登录都使用不同的密码是不现实的， 但是， 处处使用同一个密码也是不明智的。 经过调查发现， 服务器用户总是会在配置不当的网上论坛上使用本该在Web邮件上使用的密码， 而且也会在网页主机系统上使用相同的密码。 4.非法使用服务器 4.1垃圾邮件 不法分子利用服务器发送成千上万的垃圾邮件， 对他们来讲是有利可图的事情。 只有当你阻止或者把他们列入黑名单的时候， 他们才会停止发送垃圾邮件， 但是， 他们可能会找到服务器的另外一种利用方式。 4.2广泛分布的恶意软件 使用Web服务器提供Web内容服务——只是提供内容本身， 要是网页中有恶意软件呢?进入你的客户或者用户系统中， 并且传播键盘记录等恶意软件， 并最终掏空用户银行帐户资金。 4.3钓鱼网站 我们见到过很多冒充Paypal或者银行页面的电子邮件， 万一这些虚假页面是来源于你的Web主机上， 那么问题就会很严重了。 4.4 Warez 文件存储 盗版软件、电影或者其他有价值的复制品可能会被存储起来， 并通过你的服务器实现网上传输。 5.系统安全 ●每次攻击都将会耽误服务器的正常工作， 如果你经营的是在线业务的话， 这种代价会更高。 ●把问题都解决好会花费不少时间， 形成应急响应机制并迅速解决问题。 ●受到侵害的系统应当重建一个干净的备份数据， 这本身就是个不小的任务。 ●你的声誉将遭受损失， 并且会失去已有的客户。 6.云安全 安全扫描工具的技术管理都包含在云中， 不断更新安全工具和优化扫描， 应该由技术专家来开展而不是一般的信息技术人员 云安全提供： ●非侵入性扫描网络和主机周边 ●针对你的网络环境模拟网络攻击 ●测试入侵检测和事件响应的系统和政策 ●为安全提供了额外一层保护。 安全其实是个需要各种层次保护的持续过程 ●为了便于作进一步调查， 通过邮件给你发送一份详细的技术报告 ●技术安全情报支持工作人员、顾问后续添加完善 ●帮助你减轻工作量， 可以集中精力做好自己业务上的事情 ●确保服务器安全的经济举措
上面是电脑上网安全的一些基础常识，学习了安全知识，几乎可以让你免费电脑中毒的烦扰。
|