Slammer、SoBig、Blaster等蠕蟲(chóng)病毒的共同特點(diǎn)就是攻擊系統漏洞，造成大規模的網(wǎng)絡(luò )中斷。盡管在這些病毒爆發(fā)之前，阻擋它們的補丁程序已經(jīng)問(wèn)世，然而依然不能有效扼制病毒的蔓延，造成這一現象的主要原因在于修補系統不得力。
修補系統之所以艱巨，原因有兩點(diǎn)：一是從安全漏洞被披露到黑客利用漏洞發(fā)起攻擊，時(shí)間間隔越來(lái)越短，用戶(hù)沒(méi)有足夠的時(shí)間去修補系統；二是大量客戶(hù)機成為病毒攻擊的目標和幫兇，使病毒傳播得更廣泛、更迅速。除了Windows外，路由器、交換機、防火墻、Unix以及Linux也成為病毒攻擊的目標。專(zhuān)家們認為，修補系統是一項長(cháng)期工程，人們需要做好長(cháng)期戰斗的準備。
修補前的準備
International Network Services公司的高級系統咨詢(xún)師Nicastro認為，修補系統是一個(gè)控制過(guò)程，許多用戶(hù)忽略了這一點(diǎn)，沒(méi)有對補丁程序進(jìn)行持之以恒的監視、評估、測試、部署和驗證。同時(shí)，修補系統不是一個(gè)人就能完成的，而是需要安全小組、運營(yíng)小組和開(kāi)發(fā)人員的共同努力。
網(wǎng)絡(luò )的無(wú)序擴展是網(wǎng)絡(luò )安全的頭號大敵。用戶(hù)必須實(shí)時(shí)掌握網(wǎng)絡(luò )資產(chǎn)的現況，建立網(wǎng)絡(luò )資產(chǎn)清單，了解網(wǎng)絡(luò )資產(chǎn)的變化，認真整理各項記錄，計算修補成本，確立優(yōu)先修補計劃。以上環(huán)節缺少任何一環(huán)，系統修補工作就難以進(jìn)行。
編制資產(chǎn)清單即弄清什么機器運行什么應用，需要用戶(hù)進(jìn)行大量工作。編制資產(chǎn)清單常常需要花費一定的時(shí)間。資產(chǎn)清單與資產(chǎn)管理和配置管理緊密相連，需要專(zhuān)人負責。修補系統是一個(gè)物理過(guò)程，人們必須利用有效的組織結構來(lái)保障實(shí)施這一過(guò)程，成立安全事件響應小組就是最好的辦法。安全事件響應小組可以有組織地管理系統漏洞，針對每一漏洞迅速做出響應，對照資產(chǎn)清單中的每一種設備，查找安全漏洞的所在位置，每周更新一次資產(chǎn)清單。
如何修補
修補系統的流程可以歸納四步：密切跟蹤漏洞的變化；反復測試補丁程序；由點(diǎn)到面分發(fā)部署補丁程序；驗證修補后的設備是否完整和正常運行。
修補系統的過(guò)程開(kāi)始于監視安全漏洞和為資產(chǎn)清單中的設備尋找補丁程序。一旦某種安全漏洞被確定為威脅，安全小組應立即開(kāi)始著(zhù)手測試補丁程序。如果用戶(hù)缺少建立實(shí)驗環(huán)境的資金，用戶(hù)至少應當設法模擬關(guān)鍵業(yè)務(wù)系統的環(huán)境。測試補丁程序之后，用戶(hù)需要完成補丁的分發(fā)、部署、例外處理、跟蹤、報告等工作。修補系統與消防滅火有些類(lèi)似，在必要時(shí)用戶(hù)應該將蠕蟲(chóng)或病毒隔離在網(wǎng)段上，然后再啟動(dòng)修補流程。
Rackspace公司的CTO Engates先生認為，修補路由器和防火墻與升級軟件的版本非常相似。該公司由一名網(wǎng)絡(luò )工程師專(zhuān)職負責跟蹤防火墻和路由器的漏洞信息。在確定一個(gè)補丁程序后，該工程師通知IT主管，如果補丁是用于修補某個(gè)關(guān)鍵缺陷的，相關(guān)信息被直接發(fā)送給負責工程的副總裁，由副總裁親自組織實(shí)施修補系統。補丁程序在Rackspace公司的實(shí)驗室中進(jìn)行測試，實(shí)驗室設有一個(gè)按比例縮小的企業(yè)網(wǎng)絡(luò )模型。測試時(shí)間取決于補丁程序的大小。補丁程序在預先安排的維護窗口中進(jìn)行部署，安全小組評估修補過(guò)程?！?
Engates認為，修補服務(wù)器與修補防火墻略有不同。Linux是一種獨特的平臺，Rackspace公司沒(méi)有正規的Linux配置管理工具，更多地需要借助手工操作。好在Linux出現問(wèn)題的概率要小于Windows。當Engates確定Windows服務(wù)器上存在安全漏洞時(shí)，立即執行一個(gè)類(lèi)似修補防火墻的流程，補丁測試至少進(jìn)行48小時(shí)，以保證不出現問(wèn)題。如果出現問(wèn)題，Engates就會(huì )暫停部署補丁程序，請求微軟提供技術(shù)支持，盡管這項服務(wù)是收費服務(wù)，但Engates認為與微軟保持密切關(guān)系非常重要。
修補客戶(hù)機
確定修補范圍是許多用戶(hù)面臨的一個(gè)挑戰。在過(guò)去四個(gè)月里，攻擊不再僅限于服務(wù)器，而指向了客戶(hù)機。以前修補客戶(hù)機是一種周期性的自然升級，而現在這種作法不再有效。
蠕蟲(chóng)的傳播速度十分迅速，人們往往來(lái)不及關(guān)閉客戶(hù)機的網(wǎng)絡(luò )端口。在Blaster發(fā)作初期，微軟建議關(guān)閉135端口來(lái)阻止蠕蟲(chóng)傳播，但是Pitney Bowes公司安全經(jīng)理Giambruno先生認為關(guān)閉這個(gè)端口實(shí)際上是一種拒絕服務(wù)攻擊。目前，Pitney Bowes公司開(kāi)始將自動(dòng)修補服務(wù)器的過(guò)程擴展到客戶(hù)機。在Blaster爆發(fā)之后，Pitney Bowes公司部署了BigFix管理軟件，這種軟件可以全面觀(guān)察Pitney Bowes公司跨越18個(gè)國家的廣域網(wǎng)絡(luò )。如果有人關(guān)閉桌面系統上的防病毒軟件，BigFix就會(huì )重新啟動(dòng)防病毒軟件，如果客戶(hù)端沒(méi)有安裝防病毒軟件，BigFix就會(huì )自動(dòng)安裝它。
修補系統的“五必須”和“四不要”
必須建立補丁管理小組以跟蹤系統漏洞的變化。
必須建立評估、測試、部署補丁的流程。
必須選擇一套支持補丁管理的工具軟件。
必須制定檢驗補丁運行效果的流程。
必須在發(fā)生緊急情況時(shí)，首先將隱患或蠕蟲(chóng)隔離起來(lái)。
不要在沒(méi)有創(chuàng )建資產(chǎn)清單的情況下就開(kāi)始修補。
不要認為一種補丁管理工具就可以解決所有問(wèn)題。
不要推遲部署已被確認是十分重要的補丁程序。
不要認為攻擊只來(lái)自外部而不來(lái)自?xún)炔?，事?shí)上由受感染的內部客戶(hù)機發(fā)起的攻擊已經(jīng)普遍存在。
搜索更多相關(guān)主題的帖子: 攻略 系統
本文來(lái)自湖南陽(yáng)光電子技術(shù)學(xué)校，原文地址：
http://www.hnygpx.net
