计算机技術文摘

如何阻止网络恶意攻击

   随着互联网带宽使用的骤增,在线的个人网络用户、小型网站甚至企业内网成为黑客的攻击目标。要怎么保卫自己的网络安全呢?首先我们要了解网络恶意攻击在线电脑的典型方式和现象。首先把大家可能会遇到的问题归个类。我们遇到的入侵方式大概包括了以下几种:被他人盗取密码;系统被木马攻击;浏览网页时被恶意的java scrpit程序攻击;QQ被攻击或泄漏信息;病毒感染;系统存在漏洞使他人攻击自己;黑客的恶意攻击;DDos攻击;ARP攻击;ICMP攻击等。
  被攻击后的计算机现象:被攻击主机上有大量等待的TCP连接,网络中充斥着大量的无用的数据包,源地址为假,制造高流量无用数据,造成网络拥塞,使受害主机无法正常和外界通讯,利用受害主机提供的服务或传输协议上的缺陷,反复高速地发出特定的服务请求,使受害主机无法及时处理所有正常请求,严重时会造成系统死机。
  如何对付恶意攻击?除了日常要正确安装和使用杀毒软件和及时升级防火墙外,我们还可以应用更多的方法来防御。
  
第一个方面:从共享和端口着手
  1、查看本地共享资源。运行CMD输入net share,如果看到有异常的共享,那么应该关闭。但是有时你关闭共享下次开机的时候又出现了,那么你应该考虑一下,你的机器是否已经被黑客所控制了,或者中了病毒。
  删除共享(每次输入一个)
  net share admin$/delete
  net share c$/delete
  net share d$/delete(如果有e,f,……可以继续删除)
  删除ipc$空连接,在运行内输入regedit,在注册表中找到HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA项里数值名称RestrictAnonymous的数值数据由0改为1。
  2、关闭自己的139端口,ipc和RPC漏洞存在于此。关闭139端口的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性,进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”,打勾就关闭了139端口。
  防止rpc漏洞,打开管理工具——服务——找到RPC(Remote Procedure Call (RPC)Locator)服务——将故障恢复中的第一次失败、第二次失败、后续失败,都设置为不操作。
  3、445端口的关闭。修改注册表,添加一个键值HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一个SMBDeviceEnabled为REG_DWORD类型键值为0,这样就可以了。
  4、4899的防范。网络上有许多关于3389和4899的入侵方法。4899其实是一个远程控制软件所开启的服务端端口,由于这些控制软件功能强大,所以经常被黑客用来控制自己的肉鸡,而且这类软件一般不会被杀毒软件查杀,比后门还要安全。4899不像3389那样,是系统自带的服务。需要自己安装,而且需要将服务端上传到入侵的电脑并运行服务,才能达到控制的目的。所以,只要你的电脑做了基本的安全配置,黑客是很难通过4899来控制的。
  
第二个方面:从系统服务入手。
 禁用网络攻击可能利用的服务。打开控制面板,进入管理工具——服务,关闭以下服务:Alerter[通知选定的用户和计算机管理警报];ClipBook[启用“剪贴簿查看器”储存信息并与远程计算机共享];Distributed File System[将分散的文件共享合并成一个逻辑名称,共享出去,关闭后远程计算机无法访问共享];Distributed Link Tracking Server[适用局域网分布式链接];Human Interface Device Access[启用对人体学接口设备(HID)的通用输入访问];IMAPI CD-Burning COM Service[管理CD 录制];Indexing Service[提供本地或远程计算机上文件的索引内容和属性,泄露信息];Kerberos Key Distribution Center[授权协议登录网络];License Logging[监视IIS和SQL如果你没安装IIS和SQL的话就停止];Messenger[警报];NetMeeting Remote Desktop Sharing[netmeeting公司留下的客户信息收集];Network DDE[为在同一台计算机或不同计算机上运行的程序提供动态数据交换];Network DDE DSDM[管理动态数据交换(DDE)网络共享];Print Spooler[打印机服务,没有打印机就禁止吧];Remote Desktop Help& nbsp;Session Manager[管理并控制远程协助];Remote Registry[使远程计算机用户修改本地注册表];Routing and Remote Access[在局域网和广域往提供路由服务,黑客理由路由服务刺探注册信息];Server[支持此计算机通过网络的文件、打印和命名管道共享];Special Administration Console Helper[允许管理员使用紧急管理服务远程访问命令行提示符];TCP/IPNetBIOS Helper[提供 TCP/IP服务上的NetBIOS和网络上客户端的NetBIOS名称解析的支持而使用户能够共享文件、打印和登录到网络];Telnet[允许远程用户登录到此计算机并运行程序];Terminal Services[允许用户以交互方式连接到远程计算机];Window s Image Acquisition(WIA)[照相服务,应用与数码摄像机]。
  如果发现机器开启了一些很奇怪的服务,如r_server这样的服务,必须马上停止该服务,因为这完全有可能是黑客使用控制程序的服务端。
  
第三个方面:从本地安全策略入手
  本地策略:这个很重要,可以帮助我们发现那些居心叵测人的一举一动,还可以帮助我们将来追查黑客。虽然一般黑客都会在走时会清除他在你电脑中留下的痕迹,不过也有例外的。
  打开管理工具,然后再到管理工具找到事件查看器:三个方面应用程序、安全性、系统的日志可同样设置:右键→属性→设置日志大小上限,一般设置了50MB,选择不覆盖事件。
  本地安全策略:打开管理工具,找到本地安全设置→本地策略→安全选项:
  1、交互式登陆:不需要按Ctrl+Alt+Del启用[根据个人需要]
  2、网络访问:不允许SAM账户的匿名枚举启用
  3、网络访问:可匿名的共享将后面的值删除
  4、网络访问:可匿名的命名管道将后面的值删除
  5、网络访问:可远程访问的注册表路径将后面的值删除
  6、网络访问:可远程访问的注册表的子路径将后面的值删除
  7、网络访问:限制匿名访问命名管道和共享
  还可以自己动手设置本地策略中的安全选项:当登陆时间用完时自动注销用户(本地)防止黑客密码渗透;登陆屏幕上不显示上次登录名(远程),如果开放3389服务,别人登陆时,就不会残留有你登陆的用户名,让他去猜你的用户名去吧;对匿名连接的额外限制;禁止按Alt+Crtl+Del;允许在未登陆前关机[防止远程关机/启动、强制关机/启动];只有本地登录用户才能访问cd-rom;只有本地登录用户才能访问软驱;取消关机原因的提示;禁止关机事件跟踪。开始“Start→”运行“Run→”输入“gpedit.msc”,在出现的窗口的左边部分,选择“计算机配置”(Computer Configuration)→“管理模板”(Administrative Templates)→“系统”(System),在右边窗口双击“Shutdown Event Tracker” ,在出现的对话框中选择“禁止”(Disabled)点击,然后“确定”(OK)保存后退出。
  没有绝对安全的网络系统,安全问题是多种多样,且随着时间技术的变化而变化,所以安全防护也是非常重要的,保持清醒正确的认识,同时掌握最新的安全问题情况,再加上完善有效的安全策略,是可以阻止大部分安全事件的发生,保持最小程度的损失。

posted on 2009-10-25 22:17 计算机技术博客 阅读(801) 评论(0)  编辑 收藏 引用 所属分类: 7 系統維護8 網絡技術1 Server技术

公告

http://www.nuanbb.com

导航

常用链接

随笔分类(255)

常用链接