如何防范计算机网络攻击
一、计算机网络攻击的常见手法
互联网发展至今，除了它表面的繁荣外，也出现了一些不良现象，其中黑客攻击是最令广大网民头痛的事情，它是计算机网络安全的主要威胁。下面着重分析黑客进行网络攻击的几种常见手法及其防范措施。
（一）利用网络系统漏洞进行攻击
许多网络系统都存在着这样那样的漏洞，这些漏洞有可能是系统本身所有的，如WindowsNT、UNIX等都有数量不等的漏洞，也有可能是由于网管的疏忽而造成的。黑客利用这些漏洞就能完成密码探测、系统入侵等攻击。
对于系统本身的漏洞，可以安装软件补丁；另外网管也需要仔细工作，尽量避免因疏忽而使他人有机可乘。
（二）通过电子邮件进行攻击
电子邮件是互联网上运用得十分广泛的一种通讯方式。黑客可以使用一些邮件炸弹软件或CGI程序向目的邮箱发送大量内容重复、无用的垃圾邮件，从而使目的邮箱被撑爆而无法使用。当垃圾邮件的发送流量特别大时，还有可能造成邮件系统对于正常的工作反映缓慢，甚至瘫痪，这一点和后面要讲到的“拒绝服务攻击（DDoS）比较相似。
对于遭受此类攻击的邮箱，可以使用一些垃圾邮件清除软件来解决，其中常见的有SpamEater、Spamkiller等，Outlook等收信软件同样也能达到此目的。
（三）解密攻击
在互联网上，使用密码是最常见并且最重要的安全保护方法，用户时时刻刻都需要输入密码进行身份校验。而现在的密码保护手段大都认密码不认人，只要有密码，系统就会认为你是经过授权的正常用户，因此，取得密码也是黑客进行攻击的一重要手法。
取得密码也还有好几种方法，一种是对网络上的数据进行监听。因为系统在进行密码校验时，用户输入的密码需要从用户端传送到服务器端，而黑客就能在两端之间进行数据监听。
但一般系统在传送密码时都进行了加密处理，即黑客所得到的数据中不会存在明文的密码，这给黑客进行破解又提了一道难题。这种手法一般运用于局域网，一旦成功攻击者将会得到很大的操作权益。
另一种解密方法就是使用穷举法对已知用户名的密码进行暴力解密。这种解密软件对尝试所有可能字符所组成的密码，但这项工作十分地费时，不过如果用户的密码设置得比较简单，如“12345”、“ABC”等那有可能只需一眨眼的功夫就可搞定。
为了防止受到这种攻击的危害，用户在进行密码设置时一定要将其设置得复杂，也可使用多层密码，或者变换思路使用中文密码，并且不要以自己的生日和电话甚至用户名作为密码，因为一些密码破解软件可以让破解者输入与被破解用户相关的信息，如生日等，然后对这些数据构成的密码进行优先尝试。另外应该经常更换密码，这样使其被破解的可能性又下降了不少。
（四）后门软件攻击
后门软件攻击是互联网上比较多的一种攻击手法。Back Orifice2000、冰河等都是比较著名的特洛伊木马，它们可以非法地取得用户电脑的超级用户级权利，可以对其进行完全的控制，除了可以进行文件操作外，同时也可以进行对方桌面抓图、取得密码等操作。
这些后门软件分为服务器端和用户端，当黑客进行攻击时，会使用用户端程序登陆上已安装好服务器端程序的电脑，这些服务器端程序都比较小，一般会随附带于某些软件上。有可能当用户下载了一个小游戏并运行时，后门软件的服务器端就安装完成了，而且大部分后门软件的重生能力比较强，给用户进行清除造成一定的麻烦。
当在网上下载数据时，一定要在其运行之前进行病毒扫描，并使用一定的反编译软件，查看来源数据是否有其他可疑的应用程序，从而杜绝这些后门软件。
（五）拒绝服务攻击
互联网上许多大网站都遭受过此类攻击。实施拒绝服务攻击（DDoS）的难度比较小，但它的破坏性却很大。它的具体手法就是向目的服务器发送大量的数据包，几乎占取该服务器所有的网络宽带，从而使其无法对正常的服务请求进行处理，而导致网站无法进入、网站响应速度大大降低或服务器瘫痪。
现在常见的蠕虫病毒或与其同类的病毒都可以对服务器进行拒绝服务攻击的进攻。它们的繁殖能力极强，一般通过Microsoft的Outlook软件向众多邮箱发出带有病毒的邮件，而使邮件服务器无法承担如此庞大的数据处理量而瘫痪。
对于个人上网用户而言，也有可能遭到大量数据包的攻击使其无法进行正常的网络操作，所以大家在上网时一定要安装好防火墙软件，同时也可以安装一些可以隐藏IP地址的程序，怎样能大大降低受到攻击的可能性。
-----------------------------------------------------------------------------
二、计算机网络安全的防火墙技术
计算机网络安全是指利用网络管理控制和技术措施，保证在一个网络环境里，信息数据的保密性、完整性和可使用性受到保护。网络安全防护的根本目的，就是防止计算机网络存储、传输的信息被非法使用、破坏和篡改。防火墙技术正是实现上述目的一种常用的计算机网络安全技术。
（一）防火墙的含义
所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，防止他们更改、拷贝、毁坏你的重要信息。
（二）防火墙的安全性分析
防火墙对网络的安全起到了一定的保护作用，但并非万无一失。通过对防火墙的基本原理和实现方式进行分析和研究，作者对防火墙的安全性有如下几点认识：
1．只有正确选用、合理配置防火墙，才能有效发挥其安全防护作用
防火墙作为网络安全的一种防护手段，有多种实现方式。建立合理的防护系统，配置有效的防火墙应遵循这样四个基本步骤：
a.风险分析；
b.需求分析；
c.确立安全政策；
d.选择准确的防护手段，并使之与安全政策保持一致。
然而，多数防火墙的设立没有或很少进行充分的风险分析和需求分析，而只是根据不很完备的安全政策选择了一种似乎能“满足”需要的防火墙，这样的防火墙能否“防火”还是个问题。
2．应正确评估防火墙的失效状态
评价防火墙性能如何，及能否起到安全防护作用，不仅要看它工作是否正常，能否阻挡或捕捉到恶意攻击和非法访问的蛛丝马迹，而且要看到一旦防火墙被攻破，它的状态如何? 按级别来分，它应有这样四种状态：
a.未受伤害能够继续正常工作；
b.关闭并重新启动，同时恢复到正常工作状态；
c.关闭并禁止所有的数据通行；
d. 关闭并允许所有的数据通行。
前两种状态比较理想，而第四种最不安全。但是许多防火墙由于没有条件进行失效状态测试和验证，无法确定其失效状态等级，因此网络必然存在安全隐患。
3.防火墙必须进行动态维护
防火墙安装和投入使用后，并非万事大吉。要想充分发挥它的安全防护作用，必须对它进行跟踪和维护，要与商家保持密切的联系，时刻注视商家的动态。因为商家一旦发现其产品存在安全漏洞，就会尽快发布补救(Patch) 产品，此时应尽快确认真伪(防止特洛伊木马等病毒)，并对防火墙软件进行更新。
4.目前很难对防火墙进行测试验证
防火墙能否起到防护作用，最根本、最有效的证明方法是对其进行测试，甚至站在“黑客”的角度采用各种手段对防火墙进行攻击。然而具体执行时难度较大，主要原因是：
a.防火墙性能测试目前还是一种很新的技术，尚无正式出版刊物，可用的工具和软件更是寥寥无几。据了解目前只有美国ISS公司提供有防火墙性能测试的工具软件。
b.防火墙测试技术尚不先进，与防火墙设计并非完全吻合，使得测试工作难以达到既定的效果。
c.选择“谁”进行公正的测试也是一个问题。
可见，防火墙的性能测试决不是一件简单的事情，但这种测试又相当必要，进而提出这样一个问题：不进行测试，何以证明防火墙安全？
5.非法攻击防火墙的基本“招数”
a. IP地址欺骗攻击。许多防火墙软件无法识别数据包到底来自哪个网络接口，因此攻击者无需表明进攻数据包的真正来源，只需伪装IP地址，取得目标的信任，使其认为来自网络内部即可。IP地址欺骗攻击正是基于这类防火墙对IP地址缺乏识别和验证的机制而得成的。
b.破坏防火墙的另一种方式是攻击与干扰相结合。也就是在攻击期间使防火墙始终处于繁忙的状态。防火墙过分的繁忙有时会导致它忘记履行安全防护的职能，处于失效状态。
c.防火墙也可能被内部攻击。因为安装了防火墙后，随意访问被严格禁止了， 这样内部人员无法在闲暇的时间通过Telnet浏览邮件或使用FTP向外发送信息，个别人会对防火墙不满进而可能攻击它、破坏它，期望回到从前的状态。这里，攻击的目标常常是防火墙或防火墙运行的操作系统，因此不仅涉及网络安全，还涉及主机安全问题。
----------------------------------------------------------------------------
（三）防火墙的基本类型
实现防火墙的技术包括四大类：网络级防火墙（也叫包过滤型防火墙）、应用级网关、电路级网关和规则检查防火墙。
1.网络级防火墙
一般是基于源地址和目的地址、应用或协议以及每个IP包的端口来作出通过与否的判断。一个路由器便是一个“传统”的网络级防火墙，大多数的路由器都能通过检查这些信息来决定是否将所收到的包转发，但它不能判断出一个IP包来自何方，去向何处。
先进的网络级防火墙可以判断这一点，它可以提供内部信息以说明所通过的连接状态和一些数据流的内容，把判断的信息同规则表进行比较，在规则表中定义了各种规则来表明是否同意或拒绝包的通过。包过滤防火墙检查每一条规则直至发现包中的信息与某规则相符。
如果没有一条规则能符合，防火墙就会使用默认规则，一般情况下，默认规则就是要求防火墙丢弃该包。其次，通过定义基于TCP或UDP数据包的端口号，防火墙能够判断是否允许建立特定的连接，如Telnet、FTP连接。
下面是某一网络级防火墙的访问控制规则：
(1)允许网络123.1.0使用FTP(21口)访问主机 ；
(2)允许IP地址为 和 的用户Telnet (23口)到主机 上；
(3)允许任何地址的E-mail(25口)进入主机 ；
(4)允许任何WWW数据（80口）通过；
(5)不允许其他数据包进入。
网络级防火墙简洁、速度快、费用低，并且对用户透明，但是对网络的保护很有限，因为它只检查地址和端口，对网络更高协议层的信息无理解能力。
2.规则检查防火墙
该防火墙结合了包过滤防火墙、电路级网关和应用级网关的特点。它同包过滤防火墙一样， 规则检查防火墙能够在OSI网络层上通过IP地址和端口号，过滤进出的数据包。它也象电路级网关一样，能够检查SYN和ACK标记和序列数字是否逻辑有序。
当然它也象应用级网关一样， 可以在OSI应用层上检查数据包的内容，查看这些内容是否能符合公司网络的安全规则。规则检查防火墙虽然集成前三者的特点，但是不同于一个应用级网关的是，它并不打破客户机/服务机模式来分析应用层的数据， 它允许受信任的客户机和不受信任的主机建立直接连接。
规则检查防火墙不依靠与应用层有关的代理，而是依靠某种算法来识别进出的应用层数据，这些算法通过已知合法数据包的模式来比较进出数据包，这样从理论上就能比应用级代理在过滤数据包上更有效。
目前在市场上流行的防火墙大多属于规则检查防火墙，因为该防火墙对于用户透明，在OSI最高层上加密数据，不需要你去修改客户端的程序，也不需对每个需要在防火墙上运行的服务额外增加一个代理。
如现在最流行的防火墙之一OnTechnology软件公司生产的OnGuard和CheckPoint软件公司生产的FireWall-1防火墙都是一种规则检查防火墙。
从趋势上看，未来的防火墙将位于网络级防火墙和应用级防火墙之间，也就是说，网络级防火墙将变得更加能够识别通过的信息，而应用级防火墙在目前的功能上则向“透明”、“低级”方面发展。最终防火墙将成为一个快速注册稽查系统，可保护数据以加密方式通过，使所有组织可以放心地在节点间传送数据。
（四）防火墙的配置
防火墙配置有三种：Dual-homed方式、Screened-host方式和Screened-subnet方式。Dual-homed方式最简单。 Dual-homedGateway放置在两个网络之间，这个Dual-omedGateway又称为bastionhost。
这种结构成本低，但是它有单点失败的问题。这种结构没有增加网络安全的自我防卫能力，而它往往是受“黑客”攻击的首选目标，它自己一旦被攻破，整个网络也就暴露了。
Screened-host方式中的Screeningrouter为保护Bastionhost的安全建立了一道屏障。它将所有进入的信息先送往Bastionhost，并且只接受来自Bastionhost的数据作为出去的数据。
这种结构依赖Screeningrouter和Bastionhost，只要有一个失败，整个网络就暴露了。Screened-subnet包含两个Screeningrouter和两个Bastionhost。 在公共网络和私有网络之间构成了一个隔离网，称之为”停火区”（DMZ，即DemilitarizedZone）,Bastionhost放置在”停火区”内。这种结构安全性好，只有当两个安全单元被破坏后，网络才被暴露，但是成本也很昂贵。
----------------------------------------------------------------------------
（四）防火墙的安全措施
各种防火墙的安全性能不尽相同。这里仅介绍一些一般防火墙的常用安全措施：
1.防电子欺骗术
防电子欺骗术功能是保证数据包的IP地址与网关接口相符，防止通过修改IP地址的方法进行非授权访问。还应对可疑信息进行鉴别，并向网络管理员报警。
2.网络地址转移
地址转移是对Internet隐藏内部地址，防止内部地址公开。这一功能可以克服IP寻址方式的诸多限制，完善内部寻址模式。把未注册IP地址映射成合法地址，就可以对Internet进行访问。
3.开放式结构设计
开放式结构设计使得防火墙与相关应用程序和外部用户数据库的连接相当容易，典型的应用程序连接如财务软件包、病毒扫描、登录分析等。
4.路由器安全管理程序
它为Bay和Cisco的路由器提供集中管理和访问列表控制。
（六）传统防火墙的五大不足
1．无法检测加密的Web流量
如果你正在部署一个光键的门户网站，希望所有的网络层和应用层的漏洞都被屏蔽在应用程序之外。这个需求，对于传统的网络防火墙而言，是个大问题。
由于网络防火墙对于加密的SSL流中的数据是不可见的，防火墙无法迅速截获SSL数据流并对其解密，因此无法阻止应用程序的攻击，甚至有些网络防火墙，根本就不提供数据解密的功能。
2、普通应用程序加密后，也能轻易躲过防火墙的检测
网络防火墙无法看到的，不仅仅是SSL加密的数据。对于应用程序加密的数据，同样也不可见。在如今大多数网络防火墙中，依赖的是静态的特征库，与入侵监测系统（IDS，Intrusion Detect System）的原理类似。只有当应用层攻击行为的特征与防火墙中的数据库中已有的特征完全匹配时，防火墙才能识别和截获攻击数据。
但如今，采用常见的编码技术，就能够地将恶意代码和其他攻击命令隐藏起来，转换成某种形式，既能欺骗前端的网络安全系统，又能够在后台服务器中执行。这种加密后的攻击代码，只要与防火墙规则库中的规则不一样，就能够躲过网络防火墙，成功避开特征匹配。
3、对于Web应用程序，防范能力不足
网络防火墙于1990年发明，而商用的Web服务器，则在一年以后才面世。基于状态检测的防火墙，其设计原理，是基于网络层TCP和IP地址，来设置与加强状态访问控制列表（ACLs，Access Control Lists）。在这一方面，网络防火墙表现确实十分出色。
近年来，实际应用过程中，HTTP是主要的传输协议。主流的平台供应商和大的应用程序供应商，均已转移到基于Web的体系结构，安全防护的目标，不再只是重要的业务数据。网络防火墙的防护范围，发生了变化。
对于常规的企业局域网的防范，通用的网络防火墙仍占有很高的市场份额，继续发挥重要作用，但对于新近出现的上层协议，如XML和SOAP等应用的防范，网络防火墙就显得有些力不从心。
由于体系结构的原因，即使是最先进的网络防火墙，在防范Web应用程序时，由于无法全面控制网络、应用程序和数据流，也无法截获应用层的攻击。由于对于整体的应用数据流，缺乏完整的、基于会话（Session）级别的监控能力，因此很难预防新的未知的攻击。
4、应用防护特性，只适用于简单情况
目前的数据中心服务器，时常会发生变动，比如：
★ 定期需要部署新的应用程序；
★ 经常需要增加或更新软件模块；
★ QA们经常会发现代码中的bug，已部署的系统需要定期打补丁。
在这样动态复杂的环境中，安全专家们需要采用灵活的、粗粒度的方法，实施有效的防护策略。
虽然一些先进的网络防火墙供应商，提出了应用防护的特性，但只适用于简单的环境中。细看就会发现，对于实际的企业应用来说，这些特征存在着局限性。在多数情况下，弹性概念（proof-of-concept）的特征无法应用于现实生活中的数据中心上。
比如，有些防火墙供应商，曾经声称能够阻止缓存溢出：当黑客在浏览器的URL中输入太长数据，试图使后台服务崩溃或使试图非法访问的时候，网络防火墙能够检测并制止这种情况。
细看就会发现，这些供应商采用对80端口数据流中，针对URL长度进行控制的方法，来实现这个功能的。
如果使用这个规则，将对所有的应用程序生效。如果一个程序或者是一个简单的Web网页，确实需要涉及到很长的URL时，就要屏蔽该规则。
网络防火墙的体系结构，决定了网络防火墙是针对网络端口和网络层进行操作的，因此很难对应用层进行防护，除非是一些很简单的应用程序。
5、无法扩展带深度检测功能
基于状态检测的网络防火墙，如果希望只扩展深度检测（deep inspection）功能，而没有相应增加网络性能，这是不行的。
真正的针对所有网络和应用程序流量的深度检测功能，需要空前的处理能力，来完成大量的计算任务，包括以下几个方面：
★ SSL加密/解密功能；
★ 完全的双向有效负载检测；
★ 确保所有合法流量的正常化；
★ 广泛的协议性能；
这些任务，在基于标准PC硬件上，是无法高效运行的，虽然一些网络防火墙供应商采用的是基于ASIC的平台，但进一步研究，就能发现：旧的基于网络的ASIC平台对于新的深度检测功能是无法支持的。
三、结束语
由于互联网络的开放性和通信协议的安全缺陷，以及在网络环境中数据信息存储和对其访问与处理的分布性特点，网上传输的数据信息很容易泄露和被破坏，网络受到的安全攻击非常严重，因此建立有效的网。
杭州一公司遭黑客入侵，险些损失1500万，遇到此类状况该怎么办呢？
当我们的电脑遭受攻击之后，第一时间我们可以对整个系统进行扫描和查杀。一般情况下我们在使用电脑时，系统是处于休眠状态，我们可以通过关闭一些不需要的服务或者关闭一些可以获取用户数据的服务来保证系统的安全，同时对于一些黑客入侵我们的系统会采用一些特殊的操作来保护我们的数据信息或者是一些敏感数据，比如说对一些重要的文件进行删除等操作。
黑客攻击电脑后该怎么办？
当我们发现自己的电脑被入侵之后，首先要做的就是不要再继续使用，然后要立刻开启安全补救方法，来对其进行修复。例如可以关闭网络广播，将其设置为静音模式；使用杀毒软件对其进行杀毒，并对其进行加密处理；同时打开电脑的系统补丁更新以及安全补丁，以此来清除系统上的病毒。也可以通过在用户电脑上安装一款安全软件来增强电脑的安全防护能力。当然，我们也可以直接登录微软官方发布的补丁界面进行升级。
黑客攻击电脑有什么危害？
一旦黑客攻击了您的计算机，您的重要数据将被加密，您无法访问它，但在加密过程中很容易损坏数据，还有一个是完全删除您的数据。赎金，数据也无法恢复。因此，最好的方法是保护您的计算机免受黑客攻击，安装必要的杀毒软件，并定期清理您的计算机。并且您应该定期备份重要数据。千万不要把重要的数据放在桌面上，因为桌面上的东西就是电脑上存放的C盘。如果您的操作系统损坏，重装系统后，您的 C 盘上的所有数据都会被清除。
如何防止黑客攻击所带来的损失？
对于普通用户而言，我们可以通过关闭一些系统服务来保证自己的电脑不会被病毒感染造成损失。对于那些需要进行安全操作的人员则可以选择在微软官方网站进行杀毒检测操作。一般情况下这两种查杀方式各有各的优势，如果是在网络上进行查杀那么还是选择使用微软官方网站的方式进行吧，这样不仅可以保证我们电脑不会被攻击到，还可以保护我们电脑不受到其他网络攻击或者受到黑客入侵。
黑客行为触犯了什么法律
黑客行为触犯了刑法，黑客应该都不陌生，黑客实际上就是专门攻击计算机信息系统的，这些黑客对计算机的各种操作都非常的熟悉。普通民众，公司，甚至于国家，在日常的生活及发展过程当中都已经离不开计算机。严厉惩治黑客攻击的这种行为，是世界各国都高度关注的问题。
法律分析
黑客是否犯法，要依据黑客的行为是不是犯罪行为而定，如果对计算机系统进行恶意攻击的，破坏计算机系统的，就有可能构成犯罪。本罪的构成要件是：
第一，侵犯的客体，是计算机信息系统的正常运行秩序。
第二，在客观方面，表现为：一是实施了下列3种行为中的一种或者多种：违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰;或者对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作;或者故意制作、传播计算机病毒的破坏性程序。二是造成了计算机系统不能正常运行，后果严重的危害结果。
第三，本罪的主体是一般主体。
第四，主观方面是故意。
黑客是计算机专业中的一群特殊的群体，很多“黑客”通过病毒入侵、攻击电脑系统和摧毁信息等手段，专门从事网络诈骗、窃取政府、企业和个人信息，甚至进行恐怖主义等破坏性活动。
法律依据
《中华人民共和国刑法》 第二百八十六条 违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，依照第一款的规定处罚。单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照第一款的规定处罚。第二百八十六条之一网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，有下列情形之一的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金：（一）致使违法信息大量传播的；（二）致使用户信息泄露，造成严重后果的；（三）致使刑事案件证据灭失，情节严重的；（四）有其他严重情节的。单位犯前款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照前款的规定处罚。有前两款行为，同时构成其他犯罪的，依照处罚较重的规定定罪处罚。
电脑黑客攻击电脑CPU怎么办
除了蠕虫和病毒外，还有许多其他问题在威胁着信息安全性（虽然蠕虫和病毒是有区别的，但是这方面的专家仍在就它们之间存在什么区别而争论不休；在本文中，我们主要讨论一般的恶意代码，因此在文中将蠕虫和病毒作为同一种攻击类型对待，并将它们统称为“蠕虫”）。既然我们将始终关注蠕虫问题，为什么不能将它们统称为蠕虫呢？Sasser/Blaster/Lion/Trino/Ramen/Slapper 和其他蠕虫都有极强的破坏性，消除这些蠕虫需要巨大的花费。虽然有几个蠕虫属于例外（例如 Linux Ramen 蠕虫和 Code Red），但一般来说蠕虫本身是没有破坏性的。这不是说蠕虫不可能有破坏性，而是说在您处理蠕虫时，您基本上知道会有什么结果。许多人都感染了相同的蠕虫，至少一部分人能够消除蠕虫，这就免除了您的麻烦。
但是，其中一些蠕虫会在系统中开设后门—这些后门使得真正的恶意攻击者能对系统进行比蠕虫本身的行为恶劣得多的破坏。Nimda 就是这样的蠕虫。另一种 Linux 蠕虫 Slapper 也是如此。蠕虫在您的系统中开设后门之后，恶意攻击者即可通过 Internet 控制您的系统。此外，所有这些蠕虫都不会创建任何种类的日志文件，因此您无法得知别人通过后门进行了哪些操作。系统被其中一种蠕虫感染之后，您就不能再信任该系统上的任何东西。事实上，一旦蠕虫成功地侵入了系统，您就应该将此视为不能再信任系统的征兆。另一种攻击很可能与蠕虫采用了相同的手段（攻击方式），并且可能已经对系统造成了比蠕虫本身更恶劣的影响。关键是，我们不应该把太多的注意力放在蠕虫上，而是应该更加关注蠕虫利用的漏洞。
电子邮件蠕虫问题与此略有不同；它们基本上是第 8 层问题—它们利用的是用户，而不是技术漏洞。这意味着我们必须用不同的方法来处理电子邮件蠕虫—用户只要不双击电子邮件附件，就不会有这些问题。反过来，如果管理措施能够让用户禁止接收任何电子邮件附件，至少对那些不愿意学会不双击可疑附件的用户来说，就也不会出现这类问题了。在比较新的 Microsoft Exchange 和 Outlook 版本上，做到这点非常容易。当然，这些用户中的任何人也可能会双击恶意的特洛依木马，那可是自讨苦吃的问题了。如果系统感染了电子邮件蠕虫，只凭这个事实还不能充分证明该系统已经被一位主动攻击者像网络蠕虫（例如 Sasser）侵入系统时那样破坏了系统的安全性。
到一天快过去的时候，比起蠕虫来，我更加担心主动攻击者—主动攻击者可使用许多不同的手段来进入您的系统和网络。蠕虫问题可以采取一些相对简单的步骤来解决（现列举如下，但不一定要实施）：
�6�1 确保在所有的相关修补程序发布之后都立即进行部署。
�6�1 使用防火墙。
�6�1 使用防病毒程序。如果您没有防病毒程序，请到 免费下载一个。有关如何在更大的环境中部署防病毒解决方案的详细信息，请参阅新的 Microsoft Antivirus Defense-in-Depth Guide（Microsoft 防病毒纵深防御指南），地址是 。
�6�1 教育用户在检查邮件是否合法之前不要双击其中未经请求的附件；或者，禁止用户双击附件。
阻止蓄意的主动攻击者进入系统并不总是这么简单。此外，有些读者指出，我们并不总是有足够的备份来可靠地恢复系统。因此，检测系统是否已遭受危害就变得非常重要；如果答案是肯定的，则要判断系统受到了什么样的危害。这里有几种检测和判断方法。
返回页首
在没有备份的情况下抢救数据
使我夜不能寐的事情之一（除了小孩子的吵闹声或我乘坐的飞机的引擎噪音外）不是坏人有可能正站在我的门口，而是坏人已经登堂入室而我却不知道。我们都知道世界上坏人不少。在 Microsoft 最近举行的 Tech-Ed 会议上，一些犯罪组织“悬赏”50,000 美元奖励那些能够在会议期间摧毁网络的人。我们怎么知道这些人是不是位于系统内部？如果他们不够高明，他们会留下痕迹，比如新帐户、奇怪的文件和潜在的不稳定系统。目前，大多数攻击者都应该属于这一种；至少我希望他们是。但也有一些攻击者非常高明。他们在攻入系统之后会在操作系统中消失。他们会在根目录下安装一个组件，使得系统不再值得信任。Windows 资源管理器和命令行将不再显示系统中实际存在的文件。注册表编辑器也不反映真实情况。帐户管理器工具并不显示所有用户。在入侵的这个阶段，您不能再信任系统对其自身状况的报告了。此时，您需要采取恢复和重建方案（有些人把它叫做“推倒重建”）。系统现在已被完全损害。您能检测到攻击已经发生了吗？能检测到攻击者进行了哪些操作吗？
检测此类入侵有几个窍门。其中一个窍门是使用基于网络的入侵检测系统 (IDS)，它能跟踪进出您的网络的通信量。基于网络的 IDS 是中立的，如果它未被损害，它可以让您了解进出可疑系统的通信。全面讨论 IDS 系统超出了本文的范围；对我们中的大多数人来说，IDS 系统也超出了我们的直接需要。在许多情况下，实际上保证网络安全要比花时间实施 IDS 更有价值。我们的大多数网络都可能需要进行大量额外的安全工作，如果我们事先没能做到这一点，则肯定会得到许多有趣的 IDS 日志。
您也可以通过分析系统本身来检测到系统已被入侵，但是这涉及到一些深入的法庭辩论。例如，因为您不能信任系统本身，所以必须用中立介质引导系统，最好是只读的介质。选择之一是引导到 Windows PE，它是一个只有命令行的 CD 启动版本的 Windows XP 或 Windows Server 2003。但是通常很难获得 Windows PE。另一个选择是获得一个 Winternals ERD Commander 或 System Restore 副本 ( )。这两个工具都基于 WinPE。ERD Commander 本质上是 WinPE 之上的一个 GUI，它为您提供了许多恢复崩溃系统的好工具。因为它是一个中立的安装，您可以信任该磁盘上的命令，由它告诉您可疑计算机上实际发生了什么情况。System Restore 是 ERD Commander 的扩展集，它也有对照基准检查系统的能力。例如，比如说您构建了一个 Web 服务器。一旦构建完成，您也就为系统状况创建了一个基准。将系统投入使用一段时间之后，您怀疑系统被黑了。例如，您可能检测到系统中发出了奇怪的网络通信量，于是决定对此展开分析。您可以让系统脱机，用恢复磁盘引导系统，然后比对最新的快照进行比较。这可以反映出已经发生的实际变化。但是，我们不能确定这些变化实际上是否代表入侵。您必须打电话请求技术帮助。
关于法庭辩论，最后要提醒的是：如果您真的相信已经受到入侵并想提起法律诉讼，您不应该自己独立进行辩论。请将系统断开，防止受损失范围扩大，然后邀请一位辩论专家。您有可能会毁灭证据并导致不被法庭采纳，这个风险会很大。如果您需要保留证据，请让专业人员来收集证据。
返回页首
在受到攻击之后恢复系统 – 有哪些有用的工具？
最后也是最重要的一个步骤：如果系统已经被黑了，怎样才能恢复服务并重新运行？这取决于系统的类型。首先，我不认为客户端备份有什么作用。网络中的客户端应该将它们的数据保存在服务器上；然后对服务器进行备份。如果客户端受到损害，可以重建客户端。服务器备份非常复杂。如果备份计划中包括客户端，则会使情况更为复杂，所以我们无须这样做。
但是很显然，在家庭环境或者非常小的网络中，这种观点是不适用的。在这样的环境中，我只使用少数几个内置的工具来生成最少数量的数据备份（不包括程序）。Windows XP 和 Windows 2000 自带了一个很好的备份工具。您可以用它将系统备份到任何媒介。在我看来，更简单的一个选择是使用“文件和设置转移向导”。每隔几个星期，我都会运行 Windows XP 中的“文件和设置转移向导”，为我的所有数据和配置文件创建备份副本。然后将这些备份烧制到 CD 上或者复制到另一个硬盘上。万一系统出现故障，只需几个小时即可重建系统，重新安装所有修补程序，然后用“文件和设置转移向导”恢复数据和配置文件。作为一种补充的安全措施，我还会用漫游配置文件来配置我家里的系统。该配置文件只漫游到同系统中的另一个硬盘，但是这种做法至少在发生硬盘故障的时候能够提供保护。但是，如果您感染的只是一般的病毒，用备份来恢复系统会有点小题大作。如果您只想清除病毒，请参见 Microsoft Antivirus Defense-in-Depth Guide（Microsoft 防病毒纵深防御指南）( )，了解具体操作步骤。
在规模更大的网络上，我们需要服务器备份。完整的备份计划和过程超出了本文的讨论范围。但是，许多读者在对上一篇文章的评论中提到，不论我们怎么计划备份，我们仍经常没有足够的备份，因此不得不设法从被损害的系统中恢复数据。这有几个窍门。首先，找出最后一次值得信任的备份，并将该备份中的数据恢复到一个隔离的替代系统中。然后将数据从被损害的系统中复制到隔离的替代系统中。接下来，使用 Windiff 这样的差别比对工具运行备份差别比对，比较它与被损害的系统在数据上有什么不同。记住，必须先用前面介绍过的方法用中立介质引导被损害的系统，然后才能进行这个比较；否则备份也有可能被损害。对于已经被变更的每一项，请查明数据所有者。接下来的任务就是让数据所有者证明这种差异是否正常。如果他们接受了这些差异，则将数据逆向集成到受信任的备份中。这是一个复杂而费时的过程，但只有这样才能保证新系统获得所需的数据，而不是简单地将受到损害的信息恢复到新系统。如果您只是从被损害的备份中恢复数据，那么最好的情况也只是获得不可信任的数据。在最坏的情况下，您只能创建另一个被损害的系统。
返回页首
结论
我在上面简要介绍的过程的确是一个痛苦的过程。这一点毫无疑问。我唯一能说的是“别激活即时信使程序。”这正是我们花费大量精力查明如何预防系统被黑的原因。让服务恢复正常的过程是痛苦的。相比较而言，从长期效果看，防止被黑的痛苦要少得多，而且这使您不得不恢复系统的可能性要小得多。在以后的专栏里，我们将重新更多地提供指导说明，帮助您尽量减少对恢复的依赖。
我们一如既往地为您撰写这个专栏。如果您想讨论某个内容，或者您认为有什么方式能让我们更好地帮助您保护系统安全，请告诉我们。您只需单击下面的“评论”链接，并给我们发来您的评论。
怎样防止网络黑客攻击呢 ?
一、取消文件夹隐藏共享
如果你使用了Windows 2000/XP系统，右键单击C盘或者其他盘，选择共享，你会惊奇地发现它已经被设置为“共享该文件夹”，而在“网上邻居”中却看不到这些内容，这是怎么回事呢？
原来，在默认状态下，Windows 2000/XP会开启所有分区的隐藏共享，从“控制面板/管理工具/计算机管理”窗口下选择“系统工具/共享文件夹/共享”，就可以看到硬盘上的每个分区名后面都加了一个“$”。但是只要键入“计算机名或者IPC$”，系统就会询问用户名和密码，遗憾的是，大多数个人用户系统Administrator的密码都为空，入侵者可以轻易看到C盘的内容，这就给网络安全带来了极大的隐患。
怎么来消除默认共享呢？方法很简单，打开注册表编辑器，进入“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetSevicesLanmanworkstationparameters”，新建一个名为“AutoShareWKs”的双字节值，并将其值设为“0”，然后重新启动电脑，这样共享就取消了。
二、拒绝恶意代码
恶意网页成了宽带的最大威胁之一。以前使用Modem，因为打开网页的速度慢，在完全打开前关闭恶意网页还有避免中招的可能性。现在宽带的速度这么快，所以很容易就被恶意网页攻击。
一般恶意网页都是因为加入了用编写的恶意代码才有破坏力的。这些恶意代码就相当于一些小程序，只要打开该网页就会被运行。所以要避免恶意网页的攻击只要禁止这些恶意代码的运行就可以了。
运行IE浏览器，点击“工具/Internet选项/安全/自定义级别”，将安全级别定义为“安全级-高”，对“ActiveX控件和插件”中第2、3项设置为“禁用”，其它项设置为“提示”，之后点击“确定”。这样设置后，当你使用IE浏览网页时，就能有效避免恶意网页中恶意代码的攻击。
三、封死黑客的“后门”
俗话说“无风不起浪”，既然黑客能进入，那说明系统一定存在为他们打开的“后门”，只要堵死这个后门，让黑客无处下手，便无后顾之忧！
1.删掉不必要的协议
对于服务器和主机来说，一般只安装TCP/IP协议就够了。鼠标右击“网络邻居”，选择“属性”，再鼠标右击“本地连接”，选择“属性”，卸载不必要的协议。其中NETBIOS是很多安全缺陷的根源，对于不需要提供文件和打印共享的主机，还可以将绑定在TCP/IP协议的NETBIOS关闭，避免针对NETBIOS的攻击。选择“TCP/IP协议/属性/高级”，进入“高级TCP/IP设置”对话框，选择“WINS”标签，勾选“禁用TCP/IP上的NETBIOS”一项，关闭NETBIOS.
2.关闭“文件和打印共享”
文件和打印共享应该是一个非常有用的功能，但在不需要它的时候，也是黑客入侵的很好的安全漏洞。所以在没有必要“文件和打印共享”的情况下，我们可以将它关闭。用鼠标右击“网络邻居”，选择“属性”，然后单击“文件和打印共享”按钮，将弹出的“文件和打印共享”对话框中的两个复选框中的钩去掉即可。
虽然“文件和打印共享”关闭了，但是还不能确保安全，还要修改注册表，禁止它人更改“文件和打印共享”。打开注册表编辑器，选择“HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesNetWork”主键，在该主键下新建DWORD类型的键值，键值名为“NoFileSharingControl”，键值设为“1”表示禁止这项功能，从而达到禁止更改“文件和打印共享”的目的；键值为“0”表示允许这项功能。这样在“网络邻居”的“属性”对话框中“文件和打印共享”就不复存在了。
3.把Guest账号禁用
有很多入侵都是通过这个账号进一步获得管理员密码或者权限的。如果不想把自己的计算机给别人当玩具，那还是禁止的好。打开控制面板，双击“用户和密码”，单击“高级”选项卡，再单击“高级”按钮，弹出本地用户和组窗口。在Guest账号上面点击右键，选择属性，在“常规”页中选中“账户已停用”。另外，将Administrator账号改名可以防止黑客知道自己的管理员账号，这会在很大程度上保证计算机安全。
4.禁止建立空连接
在默认的情况下，任何用户都可以通过空连接连上服务器，枚举账号并猜测密码。因此，我们必须禁止建立空连接。方法有以下两种：
方法一是修改注册表：打开注册表“HKEY_LOCAL_MACHINESystemCurrentControlSetControlLSA”，将DWORD值“RestrictAnonymous”的键值改为“1”即可。
最后建议大家给自己的系统打上补丁，微软那些没完没了的补丁还是很有用的！
四、隐藏IP地址
黑客经常利用一些网络探测技术来查看我们的主机信息，主要目的就是得到网络中主机的IP地址。IP地址在网络安全上是一个很重要的概念，如果攻击者知道了你的IP地址，等于为他的攻击准备好了目标，他可以向这个IP发动各种进攻，如DoS（拒绝服务）攻击、Floop溢出攻击等。隐藏IP地址的主要方法是使用代理服务器。
与直接连接到Internet相比，使用代理服务器能保护上网用户的IP地址，从而保障上网安全。代理服务器的原理是在客户机（用户上网的计算机）和远程服务器（如用户想访问远端WWW服务器）之间架设一个“中转站”，当客户机向远程服务器提出服务要求后，代理服务器首先截取用户的请求，然后代理服务器将服务请求转交远程服务器，从而实现客户机和远程服务器之间的联系。很显然，使用代理服务器后，其它用户只能探测到代理服务器的IP地址而不是用户的IP地址，这就实现了隐藏用户IP地址的目的，保障了用户上网安全。提供免费代理服务器的网站有很多，你也可以自己用代理猎手等工具来查找。
五、关闭不必要的端口
黑客在入侵时常常会扫描你的计算机端口，如果安装了端口监视程序（比如Netwatch），该监视程序则会有警告提示。如果遇到这种入侵，可用工具软件关闭用不到的端口，比如，用“Norton Internet Security”关闭用来提供网页服务的80和443端口，其他一些不常用的端口也可关闭。
六、更换管理员帐户
Administrator帐户拥有最高的系统权限，一旦该帐户被人利用，后果不堪设想。黑客入侵的常用手段之一就是试图获得Administrator帐户的密码，所以我们要重新配置Administrator帐号。
首先是为Administrator帐户设置一个强大复杂的密码，然后我们重命名Administrator帐户，再创建一个没有管理员权限的Administrator帐户欺骗入侵者。这样一来，入侵者就很难搞清哪个帐户真正拥有管理员权限，也就在一定程度上减少了危险性。
七、杜绝Guest帐户的入侵
Guest帐户即所谓的来宾帐户，它可以访问计算机，但受到限制。不幸的是，Guest也为黑客入侵打开了方便之门！网上有很多文章中都介绍过如何利用Guest用户得到管理员权限的方法，所以要杜绝基于Guest帐户的系统入侵。
禁用或彻底删除Guest帐户是最好的办法，但在某些必须使用到Guest帐户的情况下，就需要通过其它途径来做好防御工作了。首先要给Guest设一个强壮的密码，然后详细设置Guest帐户对物理路径的访问权限。举例来说，如果你要防止Guest用户可以访问tool文件夹，可以右击该文件夹，在弹出菜单中选择“安全”标签，从中可看到可以访问此文件夹的所有用户。删除管理员之外的所有用户即可。或者在权限中为相应的用户设定权限，比方说只能“列出文件夹目录”和“读取”等，这样就安全多了。
八、安装必要的安全软件
我们还应在电脑中安装并使用必要的防黑软件，杀毒软件和防火墙都是必备的。在上网时打开它们，这样即便有黑客进攻我们的安全也是有保证的。
九、防范木马程序
木马程序会窃取所植入电脑中的有用信息，因此我们也要防止被黑客植入木马程序，常用的办法有：
● 在下载文件时先放到自己新建的文件夹里，再用杀毒软件来检测，起到提前预防的作用。
● 在“开始”→“程序”→“启动”或“开始”→“程序”→“Startup”选项里看是否有不明的运行项目，如果有，删除即可。
● 将注册表里 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下的所有以“Run”为前缀的可疑程序全部删除
电脑提示有黑客攻击，什么原因，怎么解决
一，遇到这种情况，可以先断开网络，黑客就无法攻击电脑了。
二，可以尝试使用系统急救箱查杀系统解决下。
三，操作步骤：
1，打开“360安全卫士”。
2，在功能大全中打开“系统急救箱”。
3，勾选“强力模式”--勾选“进程管制”--确定。
4，点击“开始急救”即可。
5，提示：急救箱扫描过程中，请不要强行关闭，以免造成系统异常。
0条大神的评论