Cisco网络黑客大曝光

Cisco网络黑客大曝光 内容提要

    在《Cisco网络黑客大曝光》撰写之时，只有我公开地演示了可以可靠地利用Cisco路由器的缓冲区溢出漏洞。鉴于我们知道其他人正在做同样的事情，所以我们的时间不太多了。我们希望当他们发现如何实现时，他们会像我这样开放技术并提供帮助，我们也要为最坏情况做好准备。毕竟，心中的希望不能作为防御策略。
恶意控制路由器或交换机比针对工作站或服务器实施的攻击更为严重，因为攻击者可以在网络中获得一个极佳的切入点。路由器负责转发穿过网络的流量，因此攻击者可以监听并修改穿过被攻陷设备的所有流量。这意味着一台路由器就可以成为攻陷整个网络的跳板，所有的攻击都可以从这一台设备发起。有些经验的攻击者可以利用的事实是，他/她现在处于流量的路径中间，可以在加密网络上执行攻击。黑客利用这些中间人攻击可以解密虚拟专用网（VPN）并访问VPN保护的数据。
这种漏洞利用成为了许多潜在攻击者的圣杯。Cisco的IOS的源码失窃至少有两个动机。窃取这种源码的唯一原因是寻找漏洞并创建漏洞利用工具攻击路由器和交换机。我花了6个多月的时间全力研究逆向工程以演示这种攻击，如果具有源码，花的时间和技巧就会少得多。我们知道源码窃贼也在进行攻击研究，毫无疑问，他们会继续向前，当他们成功时就会去做想做的事。
利用我们的路由器和交换机中的安全漏洞已经足够糟糕了，但那仅仅是开始。下一个威胁是攻击我们的网络基础设施的蠕虫。与攻击终端的蠕虫不同，网络基础设施攻击会以更难以恢复的方式破坏网络。当基础设施本身就出故障了，你如何打软件补丁呢？最糟糕的情况是攻击者控制了路由器，并从路由器的flash上删除了启动指令，这样就使得该设备从那时起就变得不可用了。这样造成的可怕后果是，恶意网络流量能够破坏网络硬件。想象一下，设备损坏和停机时间会给你的机构造成多大的经济损失？
几乎没有网络管理员会不利用防火墙提供保护就将重要的服务器或工作站直接放到Internet上。现在，大多数边界路由器（将内联网与Internet相连的设备）毫无保护地暴露

于恶意流量中。我们中的大多数人都没有针对这些新型攻击为保护我们的内联网网关做好准备，而且我们无法知道我们是否已经被攻击了。
即使通过防火墙对工作站和服务器进行了保护，但好的管理员仍会定期给它们打补丁。另一方面，路由器和交换机经常会被忽略了打补丁。尽管它们对网络基础设施而言更重要，但不少设备从安装之日起到退役之时一直都没打过补丁。
显然，暴风雨正在地平线上酝酿，但好消息是我们还有时间去准备我们的防御措施。我们可以做很多事情来确保网络的持续安全性和运转的连续性，解决方案就是从你购买《Cisco网络黑客大曝光》开始的。
我们先从质疑任何厂商关于安全性的声明开始。显然，现在没有计算机系统是绝对安全的，任何这种声明都应该遭受质疑。有时候厂商会说假话，不要害怕在安全性方面与你的厂商对质。主流网络设备厂商要花一年或更长时间发布关于安全问题的细节，而且当他们透露信息时，他们通常会轻描淡写地说明问题以至于没人会认为它很严重。当厂商在问题的严重性方面误导了你时，就会防碍你解决问题，还会彻底降低你保护网络的能力。
这是不可接受的。
厂商必须坦白地承认他们系统中的问题。如果我们无法确认被入侵了，就没办法进行任何修补。所有的系统都有缺陷，重要的是厂商如何处理其产品中的缺陷。如果厂商掩盖安全问题而不是公开地解决问题，这是不可接受的。作为客户，你的任务是迫使厂商采取正确的措施。
我们必须开始将路由器和交换机看作是联网的计算机。它们需要正确的补丁管理程序，问题一出现就要打补丁。我们需要像保护任何其他主机那样用防火墙保护我们的路由器，这是比较实用的。这要求厂商像网络管理员那样严肃地对待补丁管理过程。
合理的工程惯例规定，任何基于固件的带有可修改映像的系统都必须有可靠的方式在事故发生后可以恢复系统。如果路由器和交换机没有故障安全（fail-safe）、硬件增强的只读引导映像，就不应该再生产了。用额外50美分的ROM芯片确保你的20 000美元的路由器不会变成船锚，是值得的。
我们经受住了针对我们所有的Microsoft终端的攻击，但网络设备的风险更高。在网络化的长期生态环境中，为了生存，我们必须学习在基础设施级别抵制同质性。如果我们要对付网络破坏蠕虫和VPN侦察漏洞工具，就必须在我们的网络设备上运行更多样的代码。这意味着厂商的倡导，例如Cisco powered network（Cisco技术推动的网络）的设计目标就是增强网络的单一性，必须被抵制。传统观念认为路由器和交换机不会像我们的网络终端那样存在被攻击的漏洞。因此，大多数网络基础设施在安全方面受到的关注度就如同IT部门休息室里的不锈钢电烤箱。现在，人们发现无所不在的Cisco IOS操作系统像任何其他计算机一样也能被黑客攻击，这使得传统观念过时了。
如果不深入理解我们现在所面临的风险，网络管理员就不合格。《黑客大曝光》系列给您提供了自信地规划防范措施所需的所有信息。《Cisco网络黑客大曝光》延续了这种传统，逐步骤地展示了问题所在并深入说明了如何解决它们。《Cisco网络黑客大曝光》为你提供了防止基于Cisco设备的网络免遭现在和未来的攻击所需的知识和技术。

想一想：Roger Bannister花了一生的时间训练才第一个在4分钟内跑完一英里。其他的后来者只花了6个月。时钟在嘀哒地走着，你开始准备你的防范措施了吗？

Cisco网络黑客大曝光 目录

序言 xvii
案例研究：黑帽子论战 xx
前言 xxiii
第1部分  基础知识
案例研究：eBay奇事 2
第1章  Cisco网络设计模型及其安全概述 5
1.1  Cisco网络设计模型：安全观点 7
1.1.1  平地模型 7
1.1.2  星形模型 9
1.1.3  双层模型 10
1.1.4  环形模型 11
1.1.5  网状和部分网状模型 12
1.1.6  网络安全区 13
1.1.7  IDS传感器部署指南 17
1.2  Cisco层次化设计及网络安全 17
1.2.1  核心层 18
1.2.2  分发层 19
1.2.3  访问层 20
1.3  小结 22
第2章  Cisco网络安全要素 23
2.1  公共的Cisco设备安全特征 24
2.2  Cisco防火墙 26
2.2.1  包过滤防火墙 27
2.2.2  状态包过滤防火墙 28
2.2.3&n

· Acrobat PDF实用大全(万水计算机技术实用大全系列)

· 梦幻网页创意设计

· 入侵检测实用手册

· Cisco网络黑客大曝光