这2011个最有影响力的安全事件是个人隐私未经授权的隐私；拖；（或油库）。据报道，600万的用户密码和账户资料被泄露的CSDN黑客，和消息已经得到官方证实。CSDN官方发布了一封道歉信给广大用户。从此，有了互联网上的一个更惊人的消息：用户密码和账户数据泄露不仅是CSDN网站，但也有一些知名网站的用户数据也被泄露，如Tianya等。另据报道，截至2011年12月29日，官方CNCERT，通过公开渠道，有26名涉嫌泄露的数据库，涉及账户和2亿7800万个密码。这一系列的消息在去年年底已经发布，一时间网络心理恐慌，人人自危，社会影响还是相当大的，仍有影响。


在利益的驱动下，从几年前，网络游戏服务器，彩票，电子商务已经逐渐成为黑客拖库的主要目标，一些网站的数据库信息内容已经在地下黑客世界；，裸奔早已是业界公开的；秘密是，用户不知道或不认为它是正确的。


经过多年的博弈，信息安全防御产品的成熟度逐渐增强，以及安全和国内网站的运行水平有了提高。通过收集和分析用户信息管理员，和一系列的安全界称之为社会工程的攻击效果是由许多攻击者的认可。因为越来越多的用户信息数据有助于提高攻击的实际效率，攻击者的目标社区和社交网站的注册用户真正的大量细节。目前，攻击者只公开了一些数据库的信息内容已获得，使数据库的信息内容暴露的业主会发现他但这只是冰山一角，水面以下的部分更可怕。


在此基础上，工业和信息化部于2011年12月28日发布通知，要求各互联网站高度重视用户信息安全工作。


综上所述，国内信息安全龙头企业网御星云，从专业安全服务的角度，将与您讨论类似事件的保护。


类似于拖放库；事件暴露了SQL注入攻击、跨站脚本攻击和其他常见黑客攻击的应用系统，世界每天超过6000次。面对这种情况，如何保证应用系统的安全如何发现更多隐藏的安全问题


由于应用程序安全性的唯一性，即应用程序是唯一的和复杂的，并且不存在大规模复制的可能性。大型安全产品难以处理，安全服务产品线是所有安全厂商都能提供的解决方案。


如果我们站在攻击者的角度来洞察信息系统，就可以利用攻击者的思想和技术来模拟攻击者的攻击行为，从而识别出信息系统的薄弱环境。


北京网御星云信息技术有限公司（以下简称网御星云）安防服务产品线可以从两个方面解决。







1。渗透测试服务


首先，您可以为客户应用系统提供渗透测试服务，该服务是一种深度的系统安全测试方法，弥补了常用安全评估方法深度的不足，通过渗透测试，可以发现信息系统隐藏的安全隐患。


同样的道理，黑客需要利用目标网络的安全弱点，穿透测试是相同的，它模拟了真正的黑客攻击方法，主要是基于人工渗透，并协助使用攻击工具，从而可以对整个渗透测试过程进行控制和调整。


为了对渗透测试的基本内容有一个初步的了解，我们将描述以下几个阶段：


1。试运行阶段简介


获取目标的基本信息。


您可以了解目标主机和网络的一些基本安全信息。


搜索网页


可以确定目标信息，并为将来编写字典和特洛伊木马入侵。搜索网页源代码，查找注释和隐藏域，搜索隐藏域中的表单等标签，并发起SQL注入攻击，为将来的入侵数据库做准备。


链接的搜索。


目标站点所在的服务器可能有其他可能存在迂回的弱点的站点，并且可以找到一些隐藏的信息。


收集信息。


确定目标的域名和相关的网络信息。


Whois查询通过Whois数据库查询可以得到以下信息：


我注册机构：显示相关登记信息和相关的域名服务器


有些机构本身：显示与特定机制相关联的所有信息。


域名：显示与特定域名相关的所有信息


它表明：网络具有特定的网络或单一IP地址的所有相关信息。


第一点接触：显示与某一个人相关的所有信息。


hellip；hellip；


ARIN数据库查询的网络地址分配信息对应一个域名的使用


了解目标网络，可以进行迂回突防，找到弱点，进入目标网络，然后攻击目标。


DNS信息查询


域名系统允许DNS命名空间被划分为多个区域，每个区域分别保存一个或多个DNS域的名称信息。


区域复制和区域传输：DNS服务器使用一个机制来同步和复制数据的地区，该地区的安全问题不仅仅是传播信息的域名发送，但是否配置正确，因为有些领域信息包含有关内部主机和服务器的域名，不应该被披露的信息。


网络的扫描。


使用漏洞扫描工具和自定义脚本工具对客户应用系统进行扫描以发现明显的安全漏洞，大多数网络攻击者使用这种简单快捷的方式收集被攻击系统的相关信息，以便攻击系统。


获取更多的信息







您可以从这一步获得越来越多的具体信息，如帐户信息，等等。


2、渗透试验阶段


网络测试。


现在的入侵攻击都是www，原因很简单，就是程序员在web程序中不注意安全系数，上传shell，增强入侵等严重后果的权限穿透测试，主要通过以下测试：


sql注入的搜索；


搜索特定的文件和目录，例如：文件上传程序；


搜索管理员登录页面，弱密码登录，蛮力登录或SQL备用登陆入侵；


搜索Web源代码，用于漏洞挖掘，主要涉及的漏洞类型有：SQL注入、跨站点脚本编写、保存错误日志文件、包含漏洞、漏洞、目录跳转、脚本文件格式、上传漏洞等。


远程溢出。


防火墙内部也存在这种风险，只要防火墙内的跳线主机攻击测试成功，那么这个主机防火墙就很容易对主机进行攻击测试。


密码的猜测。


密码猜测也是一种高概率攻击方法。它几乎不需要任何攻击工具。它可以使用简单的暴力攻击程序和更完整的字典猜测密码。


系统帐户的猜测通常包括两个方面：第一，用户名的猜测和密码的猜测。


地方推广局


所谓地方推广局，是指在对普通用户进行帐户后，使用一个特殊的命令代码获得管理员的许可。


通过网络渗透测试服务客户的星云，可以深入了解安全隐患的应用系统，提高管理和内部员工对信息安全的关注，并获得信息系统安全直观的结果。通过渗透测试的结果，提出了有针对性的安全防御方案。


二是用户安全意识的培养


其次，这拖航事件也暴露了用户的安全意识薄弱，有超过一万人使用一个简单的密码可以同时使用。密码的强度真的令人担忧。此外，在2011，商业银行动态口令升级和群发短信诈骗事件（俗称网络钓鱼）也暴露出这一问题。2011年2月，之前和之后的农历新年，一批国家商业银行、地方城市银行客户遭遇大规模的网络钓鱼诈骗，诈骗集团的消息电话银行动态口令升级，请储户访问指定网站更新。许多储户认为被。登录这些假冒银行网站后，他们提交了银行卡、手机号码等信息。然后，根据网站提示，手机验证码被银行系统也提交。攻击者利用用户主动告诉真实的信息，并得到真正的银行网站的用户帐户转移，导致大量储户资金被盗，损失数千元数百万元，这也引起了巨大的社会影响。







用户安全意识是安全界普遍存在的问题。由于信息安全已经在中国十几年的发展，信息安全意识普遍薄弱的公共。用户安全意识仍然很普遍。因此，信息产业部在2011年12月28日发出通知，同时向互联网用户提高信息安全意识，密切关注相关网站发布的公告，并根据网站安全提示修改密码，以提高密码的安全强度和修改它的定期。


在信息安全系统中，信息安全意识是信息安全系统的基础，涉及面广，难以实现，一般来说只有2种途径提高公众的信息安全意识：


1通过课程强化信息安全意识


随着海量个人隐私的非法泄露，让公众得到深刻的教训，一夜之间改变密码，获得利益，增强信息安全意识。


2安全培训提高信息安全意识


通过经验提高信息安全意识是损失的先决条件。要避免或减少损失，必须通过安全培训提高信息安全意识。安全培训作为一种预防性安全措施，可以让每个人都采取预防措施。


网御星云的安全培训是第一个授权培训机构对中国信息安全产品测评认证中心，多熟练，经验丰富的信息安全专家。此外，一流的教学环境、完善的专业培训系统（CISP mdash；注册信息安全专业人员培训、LSPE；mdash；安全工程师培训和定制培训），为学生营造良好的学习氛围，丰富的教学管理经验，保证学习的质量。同时，网络星云的安全培训是基于学习应用的目的是满足的需求不同的用户通过广泛的培训内容和培训方法灵活。


三。总结


网御星云安全服务产品线是基于信息系统的合规要求，旨在建立一个适合客户的信息系统安全保障体系，产品线覆盖从规划设计到运行的整个生命周期和维护信息系统分为安全规划阶段、设计阶段和实施阶段，安全发展，操作和维护阶段以及辅助信息安全认证和培训，从各个层面去充分满足客户的安全需求，保障充分的帮助用户实现全面、持续、集中。


安全培训和学习的概念是专业学习使用它的任务，培养高素质的信息安全人才和推动我国各政府机构和企事业单位的信息系统的安全水平。目的是提高各级人员的意识和技能，并进行管理人员的安全培训，在不同层次的开发人员和维护人员。