对于现代计算机网络安全缺陷的思考及建议

孙红

[摘要]在当今社会人们的生活和工作因为有了计算机而发生了惊人的变化。很多商业机构和个人都普遍开始使用计算机网络来进行电子商务、购物、炒股和办公，这给人们的生活带来了前所未有的方便，而这一切都得益于网络的开放性和匿名性，但是很多不法分子也正是利用了这些特点，利用计算机网络的自身缺陷来对用户进行攻击。因此，本文将针对此现象，作出相应的解决措施，仅供业内人士参考。

[关键词]计算机网络；安全缺陷；攻击方式；防范措施

[中图分类号]TD393 [文献标识码]A [文章编号]1672-5158（2013）05-0061-02

一、计算机网络安全缺陷

1、计算机网络一般采用的是TCP/IP协议，在制定该协议时，设计人员主要考虑的是方便性，对安全性的考虑不多，因而该协议本身具有很多安全漏洞。

2、计算机的操作系统在进行结构设计和代码设计时，也是主要考虑到用户使用的方便性，但是在安全性上，比如计算机的远程控制、权限控制等方面，存在缺陷。

3、计算机在数据库管理上也存在一定的缺陷，不法分子可以在数据库或者应用程序中安装各种破坏程序来进行情报数据的收集。

二、计算机网络攻击的方式

1、漏洞攻击。由于计算机在系统、程序、硬件、软件等方面都存在一定的缺陷和漏洞，而不法分子可以利用这些漏洞进行攻击。计算机网络常见的安全漏洞主要有：盗取远程、本地管理权限，远程、本地拒绝服务，服务器信息的泄露等等。不法分子会利用漏洞探测工具来对用户的系统进行检测，然后在不经授权的情况下针对这些漏洞来进行攻击。

2、病毒攻击。病毒攻击是计算机网络攻击中最为普遍，也是最难处理的一种，它可以对计算机造成巨大的损坏。许多病毒会和木马结合在一起，杀毒软件不仅很难删除，还可以迅速进行传播。

3、电子邮件攻击。由于电子邮箱已经成为很多人进行沟通交流的方式，很多商务交际和公司贸易中，都采用了电子邮件的方式。不法分子会利用CGI等软件向用户邮箱发送大量的垃圾邮件，导致邮箱被撑爆而无法使用。此外，不法分子还会用邮箱来对用户发送带有病毒的邮件。

4、DOS攻击。DOS攻击又称拒绝服务攻击，这种系统漏洞在全世界都普遍存在，不法分子利用系统和设备的缺陷不断地进行攻击。不法分子采用这种攻击手段，让用户的系统因为负荷过多而无法正常工作。攻击者采用的方式—般是对计算机之间的链接或服务器进行破环，使其无法进行正常的网络通讯。

5、缓冲区溢出攻击。不法分子利用软件自身的缺陷，向程序的缓冲区写入过长的内容，发生缓冲区溢出，对程序的堆栈进行破坏，达到执行其他指令的目的。或者攻击者在缓冲区内写入自己的代码，将这个代码的的地址覆盖原函数的返回地址，当程序返回时，程序就开始执行攻击者的代码。

6、TCP/IP欺骗攻击。这种攻击方式是通过伪造假冒的地址，冒充真实的身份来和其他主机来进行合法通讯，或者是向被攻击者发送了错误的报文，让被攻击者执行错误的指令。

7、ARP欺骗攻击。ARP攻击，是攻击者通过对路由器的ARP表进行欺骗，或者是对网关进行欺骗的方式达成攻击的目的。其中，针对路由器的ARP欺骗方式是，攻击者截获网关数据，伪造MAC地址，并向网关频繁发送，造成路由器的ARP缓存信息得到修改，导致真正的IP地址无法与路由器进行通讯，这种攻击的结果是导致用户的网络受到中断。而对网关进行欺骗的方式是攻击者通过伪造网关，使得被攻击者向攻击者的网关发送数据，这样，攻击者可以截获用户的网络信息。

8、电磁辐射攻击。电磁辐射攻击主要是应用在现代战争中，攻击者通过电磁辐射干扰对方的通讯，同时将对方的通讯信息进行截取，是获取军事情报的方式。

三、网络攻击的防范技术

1、拒绝服务攻击防范

1）用户可以对不必要的服务进行关闭，对同时打开的SYN半连接数目进行限制，并且对SYN的半连接的timeout时间进行缩短，并注意及时对系统更新补丁。

2）在防火墙的设置上，严禁对计算机的非开放项目进行访问，对同时打开的SYN最大连接数进行限制。对特定的IP设置访问限制，并且将防火墙的DDOS的属性启动。

3）在路由器的设置上，对访问控制列表要进行过滤，同时对SYN的数据包的流量速率进行设置，对版本过低的ISO进行升级，并为路由器建立logserver。

2、缓冲区溢出攻击防范

1）程序指针完整性检测。即用户需要对程序指针进行检测，防止被攻击者进行改变并被引用。

2）堆砌保护。这是一种编译器技术，用来对程序指针完整性进行检测，其检测方式是通过对函数活动记录中的返回地址进行检测来实现的。即，首先将一些附加的字节添加在堆栈中函数返回地址后，当函数返回时，会先对这些附加字节进行检查，看是否被改动过，查看是否发生了缓冲区溢出攻击。

3）数组边界检查。即对所有的数组操作进行检查，确保数组操作在正确的范围内。

3、扫描型攻击的防范

1）地址扫描的防护。用户可以采用Ping程序进行探索，如果存在地址扫描攻击，则其会对此程序作出反映，此时就可以在防火墙中将ICMP应笞消息过滤掉。

2）端口扫描的防护。用户需要将闲置的端口或者存在风险的端口关闭，用户还可以通过防火墙来检测其是否被扫描，因此，良好的防护墙是预防端口扫描的关键因素。

3）畸形消息攻击。由于计算机的操作系统本身存在漏洞，系统在处理信息时，如果不能进行错误校验，在接受到畸形攻击时就可能会导致系统崩溃。要预防畸形消息攻击就需要及时更新安装补丁。

4、IP地址欺骗防范

1）抛弃基于地址的信任策略：用户为了实现对此类攻击的阻止，需要抛弃以地址为基础的验证。比如，禁用r类远程调用命令，或者删除rhosts文件，对/etc/hosts.equjy文件进行清空。

2）使用加密方法：用户可以采用对将要发送的数据包进行加密，在加密的过程中需要对当前的网络环境进行改变，通过加密可以保证数据的真实性和完整性。

3）进行包过滤。通过对路由器进行设置，如果发现网外的链接请求的IP地址与本网内IP地址相同，则对其进行禁止。如果数据包的IP地址并不在本网内，则禁止将本网主机的数据包发送出去。包过滤技术只能过滤声称来自内部网络的外来包，所以最好关闭网络中的外部可信任主机，避免不法分子冒充这些主机进行IP欺骗。

5、ARP攻击防范

1）将网关MAC地址和对应的IP地址进行绑定；在交换机上将计算机端口和MAc地址进行绑定，同时对ACL进行配置，对非法IP或MAc地址进行过滤。

2）通过使用ARP服务器，查找自己的ARP转换表，从而对其他设备的ARP广播进行响应。在一些特殊的网络环境中，可以考虑使用ARP代理或者是对网络接口的ARP解析禁止执行。

3）使用反ARP软件、防火墙等监控网络，应当避免使用集线器等设备，并且定期检查ARP的缓存列表。

4）因为ARP攻击一般发生在园区内，因此，网络管理员可以根据在局域网中制定出一个网络拓扑图，划出VLAN区域，如果有用户感染了ARP病毒，为了防止ARP病毒的扩散，就需要立即找到感染病毒用户的交换机端口，将这个端口列进VLAN区，并且可以运用端口中的disable对其进行屏蔽。

四、结束语

因此需要用户和技术人员提高网络安全防范的意识，提高应对攻击的处理能力，同时要不断加强学习和研究，从而更好地应对现在复杂多变的网络环境。

参考文献

[1]宋开旭.网络攻击与网络安全分析[J]电脑编程技巧与维护，2009（10）：25-28

[2]王永健.网络攻击行为与安全防御[J]硅谷，2009（09）：37-39