入侵的艺术步步为营。这个本地账户仅仅是Web服务器上的管理员，它 不具有对整个域的访问权限。但是多亏了这个粗心懒惰的系统管理 员，他们通过恢复本地Web服务器账户上的口令，现在可以获得 域管理员账户了。域管理员的职责是管理或控制整个域，这跟一个 本地桌上计算机或膝上计算机的管理员（单机）不同。在Louis看来， 这个域管理员也不例外。
    
    这是我们始终都会看到的一个惯例。一个域管理员将在其机器 所在的网络上创建本地账户，他创建的具有域管理员权限的账户将 使用同样的口令。这就意味着本地系统中的每一个安全性信息都可 以用来获得整个域的安全性信息。
    
    达到目标又迈进了一步。Louis和Brock发现他们现在可以获得对应用 程序服务器和其中的存储数据的完全控制了。他们获得了连接到应 用程序服务器上的IP地址，这些连接从安全瞥卫的膝上计算机发 起。从这儿，他们发现应用程序服务器在同一个网络上，该网络可 能也是同一个域的一部分。最终，他们获得了对整个公司运作的完 全控制。
    
    现在我们已经到达了整个事情的正中心。我们可以改变应用程 序服务器上的指令，这样我们就可以让警卫将钱交付到我们所说的 地方。我们实际上可以向警卫发号施令，就像“从这单生意上拿 钱，向这个地址送钱”,然后你可以在那里，等着他们到来，最后拿上钱。
    
    或者“押上罪犯A,带他到这个地点，把他交给这个人监管”, 然后你就可以把你表兄的好朋友救出监狱。 或者是一个恐怖分子。
    
    他们手中拥有了一个致富工具，或者是一个破坏制造器。“要 是我们能让这些不引起他们注意的话，那将会是一种震惊，因为他 们丝毫不知道已经发生了什么”,Louis说。
    
    公司认为的“安全”,他相信，“实质上是不可信的安全。”第9章人在大陆启示和Brock没有利用他们手中的权力发财致富，他们也没 有发号施令，让任何罪犯释放或是转移。取而代之的是，他们向该 公司提供了 ?份关于他们所发现的详细报告。
    
    从这些分析来看，这个公司的相关人员严重地玩忽职守。他们 根本没有一步一步地履行风险分析--“如果第一台机器被入侵， 从这一点黑客可以做些什么？ ”等诸如此类的分析。他们认为自己 是安全的，因为通过一点配置上的更改，他们就可以堵上Louis和 Brock指出的漏洞。他们的假定基于以下情况：除了 Louis和Brock 能够发现和利用的漏洞之外没有其他漏洞。
    
    将这看成是商业部门里常见的自大倾向--个局外人不能在一旁向他们鼓吹安全。公司里的IT人士不介意被告知一些 需要修补的东西，但是他们无法接受任何人告诉他们该做什么，他 们认为他们知道该怎么做。当事与愿违时，他们会推托这只是一个 偶然事件罢了。
    
    对策就像本书中很多故事所讲的那样，这里的攻击者没有在其目标 公司身上发现太多的安全漏洞。但正是他们发现的一丁点漏洞，就 足以使他们获得对公司整个计算机系统域内的控制权，而计算机系 统对商业运作是至关重要的。以下是一些值得注意的教训。
    
    临时解决方案之前的某个时候，3COM设备曾经直接插到了 Cisco路由器的 串行端口上。虽然是为缓解突发需求的压力而釆用的临时技术捷 径，但是没有一个公司可以承担让“临时措施”变成“永久措施” 带来的后果。应当建立一个检查网关设备配置状况的时间安排，通入侵的艺术过物理或者逻辑方式进行检查，或者使用一个安全工具，对主机 或设备上任何打幵的端口是否与公司的安全策略相一致，进行持 续监控。
    
    使用高端口安全公司配置了一个Cisco路由器，允许通过一个高端口建立 远程连接，并自以为~个高端口就足够隐蔽，使得永远不会被攻击 者偶然发现--这是“通过隐蔽获取安全”方法的另一种版本。
    
    我们在本书的章节中，对于那些基于此种态度做出的愚蠢安全 决策，已经不止一次地讨论过。本书中的故事一遍又一遍地说明了 这样一个道理：如果你留下一个漏洞，某个攻击者早晚会发现它。 最好的安全实践就是确保所有系统和设备的接入点，不管隐蔽与 否，都应该屏蔽来自任何不信任网络的访问。
    
    □令需要再一次指出，在系统和设备将要运作之前，任何设备的 所有默认口令都应该更改。即使技术上的外行人士都知道这个常 见的疏忽，知道该如何利用它（Web上的一些网址，如 www.phenoelit.de/dpl/dpl.html,提供了默认用户名和口令的列表）。
    
    确保个人膝上计算机的安全公司的外地职员使用的系统连接到公司的整个网络上，而这个 网络几乎没有任何安全措施，这种状况再常见不过了。一个客户端 程序仅仅需要配置一下PC Anywhere,甚至都不需要口令，就可以 建立远程连接。即使计算机通过拨号连接到Internet,连接仅仅只 是在很有限的一段时间里，每一个连接都会创建一个暴露给黑客的 时间窗口。攻击者通过运行PC Anywhere连接到膝上计算机，就 能够远程控制这台机器。同时由于建立远程连接不需要口令，攻击 者只要知道用户的IP地址，就可以控制用户的桌面程序了。
    
    策略的设计者应该考虑到这样一个需求：客户端系统在被 允许连接到组织的网络之前，应该维持一定级别的安全性。某些可第9章人在大陆用的软件产品，在客户端系统上安装代理，确保用户对计算机安全 控制与公司安全策略相一致；否则，如果与公司的安全策略不一致， 这样的客户端程序对组织计算资源的访问将被拒绝。不怀好心的人 将通过研究整个网络布局来分析他们的目标。这意味着你要尝试确 定是否有用户远程连接过来，如果有，还要确定这些连接的源头在 哪。攻击者知道，如果他或她能够捕获一台被信任的计算机，并且 这台计算机常常连接到组织的网络上，那么很可能对该计算机的信 任将被滥用，以获得对组织信息资源的访问权。
    
    即使当安全问题在公司内部处理得很好，通常还是会存有忽略 雇员的膝上计算机和家庭计算机这样的倾向。雇员们通过这些膝上 计算机和家庭计算机访问公司的网络，就留下了一个可供攻击者利 用的漏洞，就像本章故事里描述的那样。雇员的膝上计算机和家庭 计算机，只要连接到了内部网上，就一定要确保安全；否则，雇员 的计算机系统将可能成为被利用的安全缺口。
    
    认证这个案例中，攻击者能够从客户端系统中提取认证信息，同时 被攻击者还亳无察觉。正如在之前的几个章节里反复强调的那样， 很严格的认证将及时阻断黑客的入侵，并且公司应当考虑使用动态 变化的口令、智能卡、标记或数字证书等措施，来作为对VPN或 其他敏感系统远程访问的认证。
    
    过滤不必要的服务职员应当考虑创建一个过滤规则集合，来实现对接入和接 出连接的控制，这些连接大多发自不可信任的网络，如Internet, 还有发自公司内部的半信任（DMZ）网络，要求连接到特定的主机或 服务。
    
    加强措施这个故事对某些IT职员还是一个提醒，他们不愿花费功夫加 强对连入内部网的计算机系统的管理，也不愿意保持安全补丁的实入侵的艺术时更新，抱着被攻击的风险很小的侥幸心理。这种做法让坏人有机 可乘。一旦攻击者发现一种访问某个安全措施不牢的内部网上系统 的方法，他就能够成功捕获它，这样就可以开启扩大非法访问权的 门，攻击者可以对被捕获计算机信任的其他系统进行非法访问。另 外，仅仅依赖于边界防火墙就想把黑客们拒之门外，而不愿花费功 夫在加强连入内部网的系统管理上，这就好像你将你的所有家当换 成100元的钞票，堆在饭厅的桌上，然后你认为这很安全，因为你 家的前门是锁着的。
    
    小结既然这是有关基于技术的攻击故事的最后一章，那此处就是一 个进行扼要重述的好地方。
    
    如果你被要求列出一些重要措施，来防范使得攻击者获得入口 的最常见漏洞，基于本书的故事，你的选择会是什么？
    
    在阅读下去之前请你大概考虑一下你的答案，然后再进入下 一页。
    
    本书描述的那些最常见的漏洞，不论你会想起哪些，我都希望 你记住的至少含有下面的几条：
    
    形成一个补丁管理的规程，确保所有必要的安全修补及时进行。

　　请记住本书首发域名：www.llskw.org。来奇网电子书手机版阅读网址：m.llskw.org