cops是一個(gè)由系統(tǒng)管理員運(yùn)行，檢查系統(tǒng)內(nèi)部設(shè)置的程序 。它針對(duì)已知的Unix存在問(wèn)題進(jìn)行檢查，如檢查系統(tǒng)中是否存在沒(méi)有口令的帳戶，是否有非法SetUID程序，以及是否存在Internet上已經(jīng)報(bào)告過(guò)的系統(tǒng)漏洞，是否存在有問(wèn)題的軟件等等 。系統(tǒng)管理員能使用cops來(lái)檢查系統(tǒng)的配置有無(wú)問(wèn)題 。
Satan則與cops不同，Satan是從系統(tǒng)外部進(jìn)行檢查系統(tǒng)是否存在安全問(wèn)題的程序，它能對(duì)網(wǎng)絡(luò)存在的脆弱性自動(dòng)進(jìn)行搜索、分析并提供安全報(bào)告 。這種從外部分析系統(tǒng)的軟件一般稱為掃描器，由于Satan功能強(qiáng)大并提供了可擴(kuò)展的框架，因此在Internet上十分流行 。它的另一個(gè)特點(diǎn)就是它通過(guò)Web瀏覽器工作，使用者只需指明要搜索的主機(jī)以及搜索深度和相近規(guī)則的級(jí)別，Satan就能自動(dòng)收集盡可能多的目標(biāo)信息 。
由于Santa是一個(gè)安全工具，因此它對(duì)掃描目標(biāo)計(jì)算機(jī)并沒(méi)有刻意隱藏，這樣就在目標(biāo)計(jì)算機(jī)的系統(tǒng)日志中留下了大量的掃描連接記錄，尤其是當(dāng)目標(biāo)計(jì)算機(jī)使用了tcpwrapper的時(shí)候 。這些日志能用于標(biāo)識(shí)是否遭到掃描攻擊 。一些更隱蔽的軟件工具能通過(guò)不進(jìn)行完全連接等方式隱藏掃描記錄，要發(fā)現(xiàn)它們就更為困難，因而對(duì)系統(tǒng)安全更為危險(xiǎn) 。
加密數(shù)據(jù)傳輸
一般情況下，用戶需要從客戶機(jī)上訪問(wèn)服務(wù)器，數(shù)據(jù)是以透明的方式通過(guò)網(wǎng)絡(luò)傳輸?shù)?，這樣數(shù)據(jù)包經(jīng)過(guò)的網(wǎng)絡(luò)中的計(jì)算機(jī)都有可能截取傳送的信息 。由于這個(gè)問(wèn)題來(lái)源于低層網(wǎng)絡(luò)的結(jié)構(gòu)，只能通過(guò)協(xié)議的加密來(lái)防止信息泄露 。然而當(dāng)前大部分網(wǎng)絡(luò)協(xié)議并不支持加密傳送，因此使用窺探的方式獲取網(wǎng)絡(luò)上的信息，雖然是一種被動(dòng)的方式，卻是對(duì)網(wǎng)絡(luò)安全的重要威脅 。
Tcpdump
任何事情都具有兩面性，事實(shí)上能夠獲得網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)的工具對(duì)于維護(hù)網(wǎng)絡(luò)運(yùn)行也非常重要，網(wǎng)絡(luò)需要這些工具軟件來(lái)幫助分析網(wǎng)絡(luò)狀態(tài)、解決各種網(wǎng)絡(luò)故障，它們是網(wǎng)絡(luò)工程師的好幫手 。在市場(chǎng)上銷售的有好幾種專用的網(wǎng)絡(luò)分析設(shè)備，來(lái)實(shí)現(xiàn)截獲數(shù)據(jù)并進(jìn)行分析的目的 。雖然這些硬件實(shí)現(xiàn)的設(shè)備雖然功能強(qiáng)大，但價(jià)格昂貴，而使用軟件通過(guò)標(biāo)準(zhǔn)計(jì)算機(jī)的網(wǎng)絡(luò)接口來(lái)實(shí)現(xiàn)這種功能，相對(duì)來(lái)講對(duì)于一般使用者還是可以承受的 。
tcpdump就是一種免費(fèi)的網(wǎng)絡(luò)分析工具，尤其其提供了源代碼，公開(kāi)了接口，因此具備很強(qiáng)的可擴(kuò)展性，對(duì)于網(wǎng)絡(luò)維護(hù)和入侵者都是非常有用的工具 。tcpdump存在于基本的FreeBSD系統(tǒng)中，由于它需要將網(wǎng)絡(luò)界面設(shè)置為混雜模式，普通用戶不能正常執(zhí)行，但具備root權(quán)限的用戶可以直接執(zhí)行它來(lái)獲取網(wǎng)絡(luò)上的信息 。因此系統(tǒng)中存在網(wǎng)絡(luò)分析工具主要不是對(duì)本機(jī)安全的威脅，而是對(duì)網(wǎng)絡(luò)上的其他計(jì)算機(jī)的安全存在威脅 。
普通情況下，直接啟動(dòng)tcpdump將監(jiān)視第一個(gè)網(wǎng)絡(luò)界面上所有流過(guò)的數(shù)據(jù)包 。
bash-2.02# tcpdump tcpdump: listening on fxp011:58:47.873028 202.102.245.40.netbios-ns > 202.102.245.127.netbios-ns: udp 5011:58:47.974331 0:10:7b:8:3a:56 > 1:80:c2:0:0:0 802.1d ui/C len=430000 0000 0080 0000 1007 cf08 0900 00000e80 0000 902b 4695 0980 8701 0014 0002000f 0000 902b 4695 0008 0011:58:48.373134 0:0:e8:5b:6d:85 > Broadcast sap e0 ui/C len=97ffff 0060 0004 ffff ffff ffff ffff ffff0452 ffff ffff 0000 e85b 6d85 4008 00020640 4d41 5354 4552 5f57 4542 0000 00000000 00^Ctcpdump支持相當(dāng)多的不同參數(shù)，如使用-i參數(shù)指定tcpdump監(jiān)聽(tīng)的網(wǎng)絡(luò)界面，這在計(jì)算機(jī)具有多個(gè)網(wǎng)絡(luò)界面時(shí)非常有用，使用-c參數(shù)指定要監(jiān)聽(tīng)的數(shù)據(jù)包數(shù)量，使用-w參數(shù)指定將監(jiān)聽(tīng)到的數(shù)據(jù)包寫入文件中保存，等等 。
然而更復(fù)雜的tcpdump參數(shù)是用于過(guò)濾目的，這是因?yàn)榫W(wǎng)絡(luò)中流量很大，如果不加分辨將所有的數(shù)據(jù)包都截留下來(lái)，數(shù)據(jù)量太大，反而不容易發(fā)現(xiàn)需要的數(shù)據(jù)包 。使用這些參數(shù)定義的過(guò)濾規(guī)則可以截留特定的數(shù)據(jù)包，以縮小目標(biāo)，才能更好的分析網(wǎng)絡(luò)中存在的問(wèn)題 。tcpdump使用參數(shù)指定要監(jiān)視數(shù)據(jù)包的類型、地址、端口等，根據(jù)具體的網(wǎng)絡(luò)問(wèn)題，充分利用這些過(guò)濾規(guī)則就能達(dá)到迅速定位故障的目的 。請(qǐng)使用man tcpdump查看這些過(guò)濾規(guī)則的具體用法 。
推薦閱讀
- 65 FreeBSD連載：SMB/CIFS協(xié)議
- 登入 FreeBSD 系統(tǒng)
- FreeBSD echoping 命令介紹
- 讓蘑菇安全度過(guò)霧霾天
- freebsd的PW命令用法詳解
- FreeBSD ISC BIND 安全公告
- 88 FreeBSD連載：安全連接方式SSL
- 87 FreeBSD連載：基于用戶的訪問(wèn)控制
- 交通安全有哪些
- 31 FreeBSD連載：系統(tǒng)日志