遠端主機弱點掃描何須花大錢？Nessus給你免費而強大的弱點掃描機制

參考網頁:
遠端主機弱點掃描何須花大錢？Nessus給你免費而強大的弱點掃描機制
http://home.digitimes.com.tw/print.aspx?zNotesDocId=0000067654_A5S8KZ54FM67K3Z39E2YX

安全事件處理

Windows平台下的安全事件處理
資料來源 : http://www.cert.org.tw/document/column/show.php?key=80

Windows平台常用網路安全測試軟體介紹
資料來源 :http://www.cert.org.tw/document/column/show.php?key=91

Unix平台常用網路安全測試軟體介紹
資料來源 :http://www.cert.org.tw/document/column/show.php?key=92

Linux下的安全工具
資料來源 :http://www.cert.org.tw/document/column/show.php?key=78

常見網路監聽手法分析與防護策略
資料來源 :http://www.cert.org.tw/document/column/show.php?key=84

架設安全網路環境
資料來源 :http://www.cert.org.tw/document/column/show.php?key=107

弱點修補管理
資料來源 :http://www.cert.org.tw/document/column/show.php?key=105

KAVO的說明及快速解法

轉貼自: 「怪貓」的部落格
http://tw.myblog.yahoo.com/jw!ljyxR6.BFU.mrG8YGw--/article?mid=107&sc=1

的說明及快速解法(也可以解決C、D、E、F槽不能開的問題)
分類：資訊安全
2007/08/31 09:55
KAVO.病毒說

它會在你的所有磁碟機中的根目錄中產生4個檔案
c:\「autorun.inf(自動執行檔) 及 ntdelect.com(kavo病毒)」
這2個檔案的功能是一直複製自己到別的磁碟中，只要是磁碟裝置就會被變成傳染媒介。

c:\windows\system32\「kavo.exe 及 kavo0.dll」
這2個檔案的功能是將你的檢視隱藏檔的功能給鎖起來。(也就是無法檢視隱藏檔)
另一個動作是，將病毒檔複製到→接上電腦的磁碟裝置(如隨身碟)

▲檢查方法：在左下角按「開始」→「執行」→輸入「磁碟機代碼:\autorun.inf」按下確定，有開出記事本就要注意了！
open=ntdelect.com (在open後面就是病毒檔名，也就是一開始要執行的檔案)

★：千萬要小心不要刪到系統碟底下的「ntdetect.com」刪到之後將會不能開機，這隻病毒故意取這個名字只有差一個字所以要小心(已經有好幾個人刪錯檔了！)。
ntdelect.com 這才是病毒檔；ntdetect.com 這是系統開機會用到的檔案
(刪錯的話請將硬碟拆到別台電腦再把這個檔案拷回來吧)

------------------------------------- 2007/11/05開放下載-------------------------------------
這是給XP用的解法：
快速解法下載：
載點：「http://www.zshare.net/download/4730003dd50c4b/」 「http://www.zshare.net/download/566658227053cb/」(12/16更新)★：第一次點進去會開廣告出來，之後再點一次就可以下載了(畢竟他們也是要生存的)。
解壓縮後照裡面的說明操作就完成解毒及修復所有的問題了！『快速又有效』
------------------------------------- 2007/11/05開放下載-------------------------------------

■：最後將你的防毒軟體的病毒碼更新到最新，再做一次全系統的掃瞄，會更完整。

★注意：你的隨身碟現可能是這隻病毒的傳染媒體，請參考下面的安全的操作方法來使用「隨身碟、數位相機、手機、記憶卡」(只要會在電腦產生一個磁碟代號的裝置都可能會中kavo)
隨身碟病毒的處理可以參考針對目前木馬病毒預防措施！ ！

手動製作「解除kavo檔」：
請將「分隔線」中的資資、複製起來貼到「記事本」另存新檔，存成「del-kavo.bat」的檔案就好了。
如系統是 Win2K或是XP是家用版的話請用「工作管理員」先將「explorer.exe」給結束工作後再執行「del-kavo.bat」就完成解毒了。
---------------------------分隔線---------------------------@echo off
echo 開始解除kavo木馬病毒，請按下任意鍵...
pause >nul 2>nul
@set A=C D E F G H I J K L M N O P Q R S T U V W X Y Z
@set T=這個資料夾是用來防病毒的，所以故意取跟病毒的檔名一樣，這樣就能防止病毒寫入！「請勿刪除！」，近期發現部份軟體會將「AutoRun.inf」的資料夾給刪除掉，請隨時注意這個資料夾是否存在。 怪貓...
start /wait taskkill /f /im explorer.exe
cls
echo.
rem 刪除登錄檔中KAVO病毒的起動值
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" /v "kava" /f >nul 2>nul
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "tasa" /f >nul 2>nul
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "mnsa" /f >nul 2>nul
echo.
rem 刪除個磁碟中的autorun.inf及ntdelect.com的病毒檔，並建立同名的資料夾，用以防止病毒寫入，屬性改成「唯讀、隱藏、系統」
for %%x in (%A%) do (
@if exist %%x:\autorun.inf attrib -r -s -h -a %%x:\autorun.inf >nul 2>nul
@del %%x:\autorun.inf /q /f >nul 2>nul
@if exist %%x:\ntdelect.com attrib -r -s -h -a %%x:\ntdelect.com >nul 2>nul
@del %%x:\ntdelect.com /q /f >nul 2>nul
@if exist %%x:\ntdeIect.com attrib -r -s -h -a %%x:\ntdeIect.com >nul 2>nul
@del %%x:\ntdeIect.com /q /f >nul 2>nul
@if not exist %%x:\AUTORUN.INF md %%x:\AUTORUN.INF >nul 2>nul
@attrib +r +s +h %%x:\AUTORUN.INF >nul 2>nul
@if not exist %%x:\NTDELECT.COM md %%x:\NTDELECT.COM >nul 2>nul
@attrib +r +s +h %%x:\NTDELECT.COM >nul 2>nul
@if not exist %%x:\NTDEIECT.COM md %%x:\NTDEIECT.COM >nul 2>nul
@attrib +r +s +h %%x:\NTDEIECT.COM >nul 2>nul
@echo %T%> %%x:\AUTORUN.INF\README.TXT
@echo %T% > %%x:\NTDELECT.COM\README.TXT & cls
@echo %T% > %%x:\NTDEIECT.COM\README.TXT & cls)
rem 病毒感染用的檔案刪除完成
echo.
rem 將被鎖定的隱藏檢視功能開啟(登錄檔)
reg.exe add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL" /v "CheckedValue" /t REG_DWORD /d 00000001 /f >nul 2>nul
rem 已修復無法開啟檢視隱藏檔的功能，有需要請到資料夾中的資料夾選項去開啟檢視隱藏的功能，不需要就別開
cls
echo.
rem 刪除kavo的病毒主程式
attrib -s -h -r "%windir%\system32\kav*.*" >nul 2>nul&echo.&echo.& del "%windir%\system32\kav*.*" >nul 2>nul
echo.
@for %%z in (KAVO.EXE KAVO0.DLL KAVO1.DLL KAVO2.DLL) do (if not exist "%windir%\system32\%%z" md "%windir%\system32\%%z" >nul 2>nul
attrib +s +h +r "%windir%\system32\%%z"
echo %T% > "%windir%\system32\%%z\README.TXT")
@cls
echo 刪除完成，kavo的病毒已成功解除，各磁碟的根目錄下會有autorun.inf的資料夾那是用來保護的！
echo.
echo 解毒完成，請將此畫面『關閉』後就可正常使用了，不過還是建議重開機會比較好。
echo 可以的話請將防毒軟體的病毒碼更新後再做一次全系統的病毒掃瞄，會更好只是會浪費很多時間。
call explorer.exe---------------------------分隔線---------------------------

更新說明：
9/4 把之前寫錯的nddelect.com改正為ntdelect.dll
9/5 增加建立KAVO0.DLL、KAVO1.DLL的資料夾
9/6 增加建立KAVO.EXE、NTDELECT.COM的資料夾
9/8 改用IF判斷，正確率提高不少，不過少部份電腦會停住不動(關閉再執行一次就好了)
9/29 修改成只要執行一個檔案就好了，順便解決大家常見的問題(內有說明)，省下重開機的時間
10/13 拿別人的電腦來測試同學寄給我的病毒，發現到這隻病毒的母木馬會存在「c:\windows\debug\」裡面，檔案為「.dll 和 .exe」，不定時會生出「ubs.exe」
10/15 新發現！ 「ubs.exe」就是kavo病毒
ubs.exe 的來源是從信件中來的「如：開啟夾帶的執行檔後會開一張美女圖」你就被值入母木馬了(防毒軟體掃不到)，接下來就會不定時產生ubs.exe 及 ubs[1].exe 。
解毒方法我還再整體(編寫解毒檔中)，現在又確定了kavo的病毒主要的目地就是竊取線上遊戲的帳密。
11/05 找到網路空間，已開放下載(原則上我窵的東西全放在裡面，內有說明檔，請先看說明再決定要用那一個檔案)。
11/23 把多於的指令給拿掉了，本來想說多做幾個預防的動作，就是順便解其他的病毒，後來想清楚後，其他解毒檔另外寫就好了，實在是沒比要寫在一起。
12/16 發現病毒變種了，檔名改為「ntdeIect.com」，在批次檔的部份增加了清除的指令。
以上是我的解法，轉貼請注明出處！
畢竟是花了很多時間一邊測試一邊寫出來的檔案，而且批次檔已經很少人再用了，批次檔的好處就是動作透明，不放心的人可用記事本就可以開出來編輯檢視裡面的動作是否安全。
(有極少數人不敢執行！ 呵呵~ 要怕的話應該是要怕 *.COM 及 *.EXE之類的檔案吧？)
96/12/16 怪貓

木馬可能藏匿之註冊表清單

木馬可能藏匿之註冊表清單 1.HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 2.HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 3.HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce 4.HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce 5.HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnceSetup 6.HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceSetup 7.HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices 8.HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices 9.HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce 10.HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce 11.HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run 12.HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run 13.HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\Userinit 14.HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\WinLogon
15. HKEY_CURRENT_USER\Software\Microsoft\Windows\Current Version\Explorer\Shell Folders
16. HKEY_CLASSES_ROOT\txtfile\shell\open\command
17. HKEY_CLASSES_ROOT\Briefcase\shell\open\command
18. HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\
19. HKEY_CLASSES_ROOT\exefile\shell\open\command
20. HKEY_CLASSES_ROOT\???file \shell\open\command (???)表示可能為任何副檔名之名稱

15款資安工具

轉貼http://blog.yam.com/myloveret/article/2082194

你想測試你的Widnows系統的安全性嗎？
如果你選對了工具，其實這是一件非常有趣的工作。如果你正為挑選合適的工具而苦惱，那就讓本文給你一些幫助吧。
　　關於安全測試工具，我發現大體上你都能購買到。然而，還有一些是免費的工具，沒有這些工具我會舉步維艱，所以我將兩種類型的工具一同與你分享。 　　基於Widnows平臺的電腦，有7類常見的安全測試工具，它們是： 　　
1. 埠掃瞄 (Port scanners) 　　
2. 網路/作業系統弱點掃瞄 (Network/OS vulnerability scanners 　　
3. 應用程式/資料庫弱點掃瞄 (Application/database vulnerability scanners) 　　
4. 密碼破解 (Password crackers) 　　
5. 文件查找工具 (File searching tools) 　　
6. 網路分析 (Network analyzers) 　　
7. 漏洞檢查工具 免費 SuperScan version 3

www.foundstone.com/resources/proddesc/superscan3.htm 快速並且易用的埠掃瞄器，可以在運行的系統中尋找開放的埠和正在運行的服務，抓取banner資訊包括軟體的版本。

SoftPerfect Network Scanner http://www.softperfect.com/products/networkscanner 映射MAC位址到IP位址，可以幫你定位隨機的有線和無線的系統

NetBIOS Auditing Tool (NAT) http://www.cotse.com/tools/netbios.htm 靈巧的Windows網路共用密碼的破解工具

Winfingerprint http://winfingerprint.sourceforge.net Windows 資訊列舉工具，它可以搜索到補丁的等級資訊，NetBIOS資訊，用戶資訊等

Metasploit http://www.metasploit.org 一個強大的查找基於Windows平臺弱點的工具

Cain & Abel http://www.oxid.it 一個很不錯的混合密碼破解工具

商用 QualysGuard http://www.qualys.com 強大且易用且全面的網路/作業系統弱點掃瞄工具，適用於上千種新老漏洞。

GFI LANguard Network Security Scanner http://www.gfi.com/lannetscan 一套完美的定位於Windows系統，功能強大且價格低廉的的網路/作業系統弱點掃瞄工具

N-Stealth http://www.nstalker.com 一款物美價廉的針對運行IIS的系統掃瞄工具

WebInspect http://www.spidynamics.com/products/webinspect/index.html 徹底的挖掘基於IIS，Apach等系統的Web應用程式弱點

WinHex http://www.winhex.com/winhex/index-m.html 查找運行程式遺留於記憶體中的敏感資訊 -- 完全搜索類似於「密碼」，「SSN」，等等之類的文本資訊。以發現那些未清除乾淨的敏感資訊

AppDetective for MS SQL Server www.appsecinc.com/products/appdetective/mssql 全面的SQL Server 資料庫安全掃瞄工具

Proactive Password Auditor www.elcomsoft.com/ppa.html 一個效果明顯且簡單易用的用戶密碼破解工具 -- 支援Rainbow Table Effective File Search www.sowsoft.com/search.htm 強大的文本搜索工具，適用於搜索本地檔或伺服器上的共用檔。 -- 完全搜索類似於「密碼」，「SSN」，等等之類的文本資訊。 以發現那些未被保護的敏感資訊

EtherPeek http://www.wildpackets.com/products/etherpeek/overview 完美的網路分析器，可以找出不懷好意的系統，未被認可的協議， 找出上層的講話者, 以及更多

　　當你裝備你的安裝測試工具箱時，你會發現沒有一款工具是最好的。也就是說那些安全檢測工具不是萬能的。應用程式、作業系統和網路知識和重要經驗才會是最重要的。 http://searchsecurity.techtarget.com.cn/tips/153/2391653.shtml?BLK=050001&NODE=1005

偵測篇－定期安檢企業的資訊系統

轉貼http://www.pcteacher.com.tw/modules/newbb/viewtopic.php?topic_id=1937&forum=66

偵測篇－定期安檢企業的資訊系統

找出系統漏洞，根據重要性與緊急程度，排定修補計畫 想要修補系統漏洞，先要找出現存漏洞的類型和數量，企業通常會委託資安廠商進行弱點掃描（Vulnerability Scanning）、網路安全評估（Network Security Assessment Services，NSAS）和滲透測試（Penetration Testing），在入侵或病毒蠕蟲事件發生前找出弱點，針對發現的漏洞修補，才能對症下藥。

使用這些服務有些原則是共通的，廠商需要了解企業網路架構中提供哪些網路服務及應用程式，確認掃描目標對象、應用程式及網路設備後，要選用適合的弱點評估工具，並依照約定的掃描政策，執行弱點掃描作業，之後分析結果產生報表，進行修補弱點與修正安全漏洞，以及後續複檢作業。

用對工具，找出弱點
企業使用弱點掃描或弱點評估（Vulnerability Assessment，VA）的主要意義在於偵測漏洞，如果能用工具偵測到漏洞存在，表示駭客從外部同樣也有可能發現這些弱點，你可以自己使用工具或請委外服務廠商來執行這項工作。當掃描結果出爐，這些資訊可以化為接下來修補弱點的依據，管理者可以透過這份報告，明白一件事︰原來從外界看來，公司的電腦有這麼多弱點可以利用」。
弱點掃描的對象是固定存在企業內部的電腦，然而在每次掃描作業間的空窗期還是可能有漏網之魚，例如出差員工的筆記型電腦或是臨時訪客的電腦，對於不在資產控制清單內的電腦設備，這些有可能是視而不見的威脅來源，必須將這些高危險的設備列入控管範圍內，修補程式管理系統的發現（Discovery）功能，搭配群組管理與政策，可以補足這部分的缺失。
至於更進階的滲透測試，為了測試資訊系統架構的安全強度，大多會運用真實世界的駭客滲透與攻擊手法，以人工的方式，徒手突破防禦，現成的弱點掃描工具雖然有助於模擬入侵，但無法涵蓋所有可能的入侵方式。
弱點掃描的工具可分為主機型和網路型，掃描的目標分別對應到系統弱點和網路弱點。在特定應用也有一些專門的弱點掃描工具，例如能夠測試網站伺服器弱點的Nikto，支援微軟SQL Server、Oracle和Sybase資料庫弱點掃描的ISS DataBase Scanner，或是針對網站SQL Injection弱點的NBSI等。
在可靠性考量上，使用免費弱點掃描工具應特別保持謹慎，有些功能有限，部分來自中國的工具則具有危險性，可能被植入木馬。雖然名為測試用，不過有時會被歸類為駭客工具。
取得評估報告有助於規畫修補 免費或商業版本的弱點掃描工具多得不勝枚舉，要能看得懂結果，得到綜合性的資訊，才能真正輔助管理者決策。
中大型企業人力和預算夠充裕，可以有專門的人執行弱點稽核作業和報告製作，定期掃描的頻率可以做到每週甚至每天，假如負責的資訊安全人員技術能力夠，試用、採購後長期使用，比較節省成本。
委外由廠商的情況較普遍，找到代理弱點掃描工具的廠商或有經驗的資安廠商，都可以提供這方面的服務。以政府單位為例，承辦人有太多事情要處理，往往在弱點稽核與修補漏洞寧願委外；而中小企業的資安技術能力不足，就算可以執行掃描工具，但此時可能還是需要委託專業廠商服務，將分析結果轉換為可讀性較高的中文報告，IT人員可以據此決定修補工作程序，或是回報給高階主管作為營運上的參考。
不論你用何種方式得到弱點評估報告，假如你沒有對應的資訊安全政策，定義充分的處理程序，光靠這份報告內容並不能完全讓企業懂得接下來怎麼修補。因為報告中通常列舉不同等級的弱點分析，要求IT人員或服務廠商在期限內全部補完，或是認為微軟發佈的漏洞全都補，非微軟的漏洞再自行決定，這些做法並不切實際，會衍生很多問題。
資安政策明確可讓弱點管理更平滑 很多企業都願意使用弱點掃描，但多半流於形式，如要進行一個有效率的修補程式管理，面對漏洞與修補程式，企業必須要有明確的資安政策，幫助IT人員落實，讓修補工作範圍更廣泛而有效，得到的資訊可以連結風險管理，更符合企業單位的需求。 當漏洞修補管理機制成立，弱點掃描只是一套使用的工具，重點是偵測完，該怎麼應對。工具優秀、管理功能完善、發現機制快速，發現漏洞不知所措也是枉然。有些企業本身導入弱點掃描工具，但因為是上級指示或其他同事主導引進，沒有SOP和資安政策，當系統發現弱點產生報表，引發稽核通知，雖然只是流程上的一環，對無法處理的管理人員來仍是額外的困擾。文⊙李宗翰

資安專有名詞(一)

弱點掃瞄（Vulnerability Scanning）
弱點評估（Vulnerability Assessment，VA）
網路安全評估（Network Security Assessment Services，NSAS）
滲透測試（Penetration Testing）

Intriant 內部網路端點安全防護解決方案

[資安論壇行政院 國家資通安全會報 - 技術服務中心 - 資安論壇 http://forum.icst.org.tw/ ]
Intriant 內部網路端點安全防護解決方案
http://forum.icst.org.tw/phpBB2/viewtopic.php?p=39026

Juniper Networks 技術專文

Juniper Networks 技術專文
http://tw.juniper.net/company/presscenter/features/2007/2007_index.html

網路存取控制進化論

網路存取控制進化論
http://www.runpc.com.tw/pdf/162/R162G05.pdf

網路安全管理不可馬虎

現今企業在網路安全方面的管理模式不再只是佈建防火牆、防毒軟體那麼單純，隨著越來越多不同類型的行動裝置，不同身份的使用者族群，都改變了企業LAN邊界。林佶駿以科學園區為例，若去園區拜訪廠商，有些企業會在訪客所攜帶的筆記型電腦上的網路孔貼上封條，或者請訪客填單詢問是否有安裝防毒軟體、防毒軟體是否有下載最新病毒定義碼等等，但這些都是消極、成效低的管理方式。對此，網路存取控制解決方案（Network Access Control；NAC）成為新興網路安全管理工具。

林佶駿先釐清企業面對網路存取控制時常有的迷思。首先，佈建NAC不一定要使用在線（inline）模式的設備來針對每個上網設備做安全掃瞄；第2、透過VLAN來區隔網段，所能達到的存取控管效果有限；第3、要佈建NAC不見得必須使用同1家廠商的設備，而應選擇能支援開放標準的解決方案；第4、不見得要更換所有網路設備來支援NAC控管功能，解決方案應同時涵蓋第2層交換器與第3層防火牆的控管能力。


NAC解決方案多　有無自動修復功能很重要

謝東興表示隨著網路駭客的攻擊由試探性、為了出名，到現在都是以獲利為目的，企業的威脅控制方式也需轉由更主動式且即時的防護。過去面對惡意程式等安全威脅，是直接以入侵防禦系統（IPS）、防火牆等設備阻擋，而NAC則是過濾讓好的流量連上網路，但面對網路安全灰色地帶，過去透過人力進行log日誌檔的判讀與監控的方式，如今則可以透過事件關聯管理自動化工具（CS-MARS）來達到。

企業應特別注意解決方案所能提供的問題自動修復功能，不是建立NAC政策之後，把有問題的終端設備阻擋在企業網路之外就沒事，NAC若沒有自動的修復措施，會演變成IT部門成為電話接不完的客服中心，因此企業需特別留意解決方案所提供自動更新病毒碼或更新修補程式的功能。

ISA Server實現HTTP Proxy中基本身份驗證、Windows集成身份驗證及其安全性

ISA Server實現HTTP Proxy中基本身份驗證、Windows集成身份驗證及其安全性
http://www.cpcwedu.com/Document/mssecurity/111332993.htm

上一篇 排除發佈的SMTP服務器的故障 [2006-9-2 20:08:14]
下一篇 ISA Server中身份驗證的驗證週期 v 1.2 [2006-9-2 20:11:43]
排除發佈的SMTP服務器的故障
How to：使用ISA Server 2004限制BT下載
防火牆客戶端是如何工作的：關於ISA防火牆的應用層狀態識別功能
How to ：如何讓linux客戶計算機通過ISA Server的集成身份驗證
How to ： 配置ISA Server 2004企業版中的網絡負載均衡
How to ：使用ISA Server 2004企業版中的緩存陣列路由 v1.1