如何選擇掃描工具和掃描安全漏洞？
對于安全漏洞管理藝術的新手來說，大量的掃描器和其它工具讓人不知所措。哪些工具最有效？哪些工具價格最適中？
在上個月舉行的“SANS波士頓2010”會議的培訓會議中，SANS Institute（系統網絡安全學會）總裁Stephen Northcutt介紹了一些基本工具以及這些工具的功能。
如何實施安全漏洞掃描
首先，Northcutt向聽眾介紹了這些掃描器的基本功能以及如何運行這些掃描器。在開始之前，他建議安全從業人員注意下列檢查清單：
◆首先，在運行掃描之前要得到高層領導的批準。你要解釋你將要做什么，在黑客攻擊之前，掃描對于發現公司的安全漏洞是非常重要的。
◆提前發出通知，公布你的電話號碼，并且記住人們討厭這種突如其來的掃描。
◆點擊你的目標選擇，選擇一個要跟蹤的系統并且告訴它擴展子網。從那里開始，保持這個窗口不要擴大，每次僅掃描一個子網。采取這種做法，你就不會阻塞系統，而且同時發現多個安全漏洞會讓你應接不暇。小批量地發現和修復安全漏洞避免心理壓力過大。
◆在進行一次大量掃描的時候，不要從外部實施拒絕服務攻擊掃描。
◆僅當你在辦公室的時候或者在電話旁邊的時候實施掃描。
◆首先修復紅色優先級的問題。
Northcutt說，還要記住，你只能掃描允許你實施掃描的網絡。超出允許的范圍和擴大掃描的領域很可能會啟動其他人的入侵檢測系統和讓你陷入麻煩之中。
Northcutt說，在選擇掃描器的時候，你必須考慮如下事情：
◆產品是如何授權的？
◆產品是否有足夠的靈活性承受公司計劃中的增長？
◆產品的兼容性如何？它支持給安全漏洞編目的CVE（通用安全漏洞與披露）標準嗎？
◆你能輕松地對比今天的掃描結果和四個星期前的掃描結果嗎？這種對比是不是一個完全人工操作的過程？
◆你的經理喜歡這種報告輸出嗎？
欺騙端口掃描器Hping
Northcutt接下來向學生們介紹了Hping 3.0版的工作原理。他解釋說，這個網絡分析工具比更知名的網絡工具Nmap更隱蔽。Hping能夠制作一種特殊的數據包，里面包含定制的目的端口以及源端口、窗口尺寸、身份識別字段、TCP標識等等。
同Nmap一樣，Hping最有價值的能力之一是假冒一個第三方的IP地址，讓這個掃描的真正來源很難被檢測到。但是，與Nmap不同, Hping首先尋找一個在互聯網上閑置的沉默的主機。在任意指定的時間內，許多互聯網主機是開機運行的，但是沒有進行任何通訊。沒有發送和接收任何數據包。Northcutt說，雖然無人看管，沉默的主機仍然在網絡上傾聽。如果客氣地提問，它會回答。通過利用多個沉默的主機，攻擊者能夠執行一個很難發現的隱蔽的掃描。
p0f：被動操作系統檢測
另一個值得了解的工具是p0f。這個工具被動地監視網絡通訊，能夠檢查TCP/IP棧的具體部分。它能非常準確地預測發送這個通訊的網絡的操作系統。這個工具對于觀察不會改變其TCP/IP棧實施的實施工具是最有效的。這個工具還能識別那些為了隱藏另一個操作系統而改變其TCP/IP指紋的系統。
Nmap和Nessus
目前最常用的兩個掃描器是Nmap和Nessus。對于不熟悉這兩個工具的人，Northcutt介紹了如下情況：
◆Nmap是一個端口掃描器，具有快速、高水平、開放端口和操作系統指紋鑒定等特點。
◆Nessus是世界上最流行的安全漏洞掃描器，不過，美國國防部使用eEye。這兩個掃描器都提供差不多的結果。
Northcutt警告稱，安全漏洞掃描器工作的速度較慢并且能夠引起一些誤報。用戶應該理解這個事情并且注意不要因為掃描器返回的報告指出有大量的安全漏洞而著急。管理員查看掃描結果的任務是要證實哪些安全漏洞是真正存在的以及這些安全漏洞的嚴重性如何，如果黑客利用這些安全漏洞會給軟件造成什么影響以及可能造成什么破壞。這正是攻擊代碼工具要利用的地方。
【編輯推薦】
