網(wǎng)絡(luò)安全三步曲

基本設(shè)置篇
　　一、在線安全的四個誤解
- V: t9 |& I" n　Internet實際上是個有來有往的世界，你可以很輕松地連接到你喜愛的站點，而其他人，例如黑客也很方便地連接到你的機器。實際上，很多機器都因為自己很糟糕的在線安全設(shè)置無意間在機器和系統(tǒng)中留下了“后門”，也就相當(dāng)于給黑客打開了大門。
　　你上網(wǎng)的時間越多，被別人通過網(wǎng)絡(luò)侵入機器的可能性也就越大。如果黑客們在你的設(shè)置中發(fā)現(xiàn)了安全方面的漏洞，就會對你發(fā)起攻擊，可能是一般的騷擾，如降低你的速度或者讓你的機器崩潰；也可能更嚴重，例如打開你的機密文件、偷竊口令和信用卡密碼。
) {$ ^( F6 [. {* ]5 X: K4 J　　但是很多人并不以為然，因為他們在網(wǎng)絡(luò)安全方面還存在四個誤區(qū)：
# A4 c$ E$ ^" A0 f0 _　　
% H, C" |$ N% H# W, z　　誤區(qū)一：我沒有連接其他網(wǎng)絡(luò)，所以我很安全。
　　對，連接INTERNET是要上網(wǎng)的，但是可以上網(wǎng)的獨立機器，與一臺商業(yè)網(wǎng)絡(luò)中心的機器相比，所使用的網(wǎng)絡(luò)協(xié)議仍然有一些甚至全部相同，而一臺商業(yè)網(wǎng)絡(luò)中心的機器還可能安裝了公共防火墻或者有專門負責(zé)安全的人員。與此形成強烈對比的是一些用于家庭、辦公室、小公司的個人用機確是門戶大開，完全沒有防范黑客的能力。這種威脅是很現(xiàn)實的：如果你使用了cable modem或是DSL連接上網(wǎng)，而且在網(wǎng)上的時間很長，一天
! w# ~5 u) F" Z- d里也許就會有2-4個卑鄙的黑客企圖攻擊你。
　　誤區(qū)二：我是用撥號上網(wǎng)，所以我的機器是安全的。
1 ]6 w0 \2 ^* L1 i　　每次當(dāng)你開始撥號上網(wǎng)，你使用的IP地址都會不同，也就是動態(tài)IP，所以相比靜態(tài)IP的用戶而言。黑客是很難找到你，但是有一些黑客軟件已經(jīng)發(fā)展到可以在1個小時以內(nèi)逐個掃描上萬個IP地址的能力，所以只要黑客使用了這些工具，即使是撥號上網(wǎng)的用戶也可能受到攻擊。
　　誤區(qū)三：我使用了防病毒軟件，所以我很安全。
3 K4 S1 e0 @1 b3 e4 R$ N& a　　一個好的病毒軟件確實是在線安全不可或缺的部分，但是也是很小的一個部分。它能夠通過檢測病毒和類似的問題保護你，但是它們對防范黑客、對帶有惡意的“合法”程序卻無能為力。
( o* [4 n/ v& A6 W! ~- E, i　　誤區(qū)四：我使用了防火墻，所以我很安全。
　　防火墻是很有用處，但是如果你的機器總是采用一些不夠安全的方式接收和發(fā)送數(shù)據(jù)，而你又僅僅依靠一些附加的程序提供安全，這就等于把所有的蛋放在一個籃子里，一旦防火墻軟件出現(xiàn)bug或者有漏洞，那你很危險了。另外，防火墻對于病毒一類的軟件完全沒有防范能力，尤其是那些帶有惡意的悄悄地向你的機器發(fā)送或提取數(shù)據(jù)的程序。
最后，一些防火墻軟件還可能幫倒忙，因為它們的廠商在廣告中把產(chǎn)品的特點介紹出去，可能招致一些專門針對它們?nèi)觞c的攻擊。
　　但是解決方法是有的，你可以使用你已經(jīng)有的工具，而且本文也會告訴你怎樣才是安全的設(shè)置和怎樣選擇安全軟件。
　　二、一分鐘的網(wǎng)絡(luò)基礎(chǔ)知識
% u2 F, S) Z* O7 ]% d　　看到這個內(nèi)容，你可能想一眼掃過或者直接跳過去，但是這只需要一分鐘，而且對你理解下面的內(nèi)容很有幫助。
　　簡單地說，你可以將你和網(wǎng)絡(luò)的連接分為三層。
- [6 K0 y/ g# W( ?　　最深的一層是你和網(wǎng)絡(luò)的物理連接方式，包括硬件。例如撥號上網(wǎng)，要使用“撥號適配器”才能和你的MODEM“交談”；如果是局域網(wǎng)，需要網(wǎng)卡和驅(qū)動程序，以便你的PC和網(wǎng)卡交換數(shù)據(jù)，而DSL、cable等也需要網(wǎng)卡。一個PC可以同時使用多個硬件適配器，
例如可以即用cable modem上網(wǎng)，也連接撥號上網(wǎng)的MODEM，還在局域網(wǎng)中，這樣系統(tǒng)的網(wǎng)絡(luò)設(shè)置中就有兩個網(wǎng)絡(luò)適配器和一個撥號適配器。
9 F  U" D8 s3 L6 E- h" j$ f　　中間的一層連接由你的機器所使用的和網(wǎng)絡(luò)其他機器交流的通訊協(xié)議和語言組成，例如TCP/IP協(xié)議，其他還有NetBEUI和IPX/SPX，這些協(xié)議也可以并行工作，一個協(xié)議可以被同時捆綁到多個硬件設(shè)備上，而一個硬件設(shè)備也可以同時捆綁多個協(xié)議。最頂層的連接是網(wǎng)絡(luò)設(shè)備，登錄上網(wǎng)、文件與打印共享和以及位于最頂層的客戶程序，為你完成需要在網(wǎng)絡(luò)上完成的任務(wù)，但不幸的是，它是雙向的，也可以讓黑客對你執(zhí)行他們的操作。
% G# V3 o2 W) o; [" u9 E　　所以，保證安全的竅門在于確保沒有那些危險的設(shè)置和設(shè)備，例如如果不需要從網(wǎng)上進行訪問，“文件與打印共享”就完全沒有必要，這也是黑客經(jīng)常利用的地方。換句話說，仔細地設(shè)置哪些要進行捆綁，可以確保你的機器不那么輕易被訪問，盡管存在一些本身安全性較差的設(shè)備和協(xié)議。
　　三、怎樣確保連接安全
　　在按照我下面提到的建議對系統(tǒng)設(shè)置進行修改以前，最好先將你系統(tǒng)中的關(guān)鍵數(shù)據(jù)備份，或者記下你原來的設(shè)置，以便在需要的時候恢復(fù)。如果你是在局域網(wǎng)或是有特殊的網(wǎng)絡(luò)要求，請先和管理員商量。
( g. n" }! d# R　　我們先檢查你的網(wǎng)絡(luò)設(shè)置：右擊“網(wǎng)絡(luò)鄰居”，選擇“屬性”，現(xiàn)在我們要刪除一些很容易就能夠讓別人通過INTERNET連接到你的INTERNET協(xié)議：TCP/IP。
8 o/ `6 J  O$ z* Q5 f' B3 L+ C　　如果你沒有使用撥號上網(wǎng)，可以直接跳到下一段。雙擊“撥號適配器”、“綁定”，把除TCP/IP以外的內(nèi)容都選掉，回到主界面，雙擊“TCP/IP ->撥號適配器”，你可能看到一個警告，說明如果修改將有危險，不管它，不修改才會有危險呢！單擊“綁定”，如果選擇了“microsoft網(wǎng)絡(luò)用戶”和“文件和打印共享”，把它們選掉，這樣就只剩下TCP/IP了，你會得到這樣一個警告：TCO/IP已經(jīng)沒有綁定到任何驅(qū)動程序“，回答NO。
& L6 T1 h& R: N4 O: Z　　如果你使用了網(wǎng)卡，單擊每個卡對應(yīng)的TCP/IP，例如我就用了一塊便宜的Realtek網(wǎng)卡，則單擊“TCP/IP -> Realtek RT8029(as) PCI Ethernet NIC.”，單擊“綁定”，確認沒有選擇“micrcosoft網(wǎng)絡(luò)用戶”和“文件和打印共享”。
# a) Y" j. F/ O% k8 m　　但是如果你是在局域網(wǎng)上，希望在本地共享文件和打印機，也有辦法呀，添加一個非INTERNET協(xié)議IPX/SPX或者NetBEUI都可以。添加適當(dāng)?shù)摹癿icrcosoft網(wǎng)絡(luò)用戶”，選擇“文件和打印共享”，就可以共享文件和打印了！
　　現(xiàn)在倒回去檢查系統(tǒng)中的每個適配器和協(xié)議，確?！癿icrcosoft網(wǎng)絡(luò)用戶”和“文件打印共享”只在IPX/SPX and/或NetBEUI中被選擇了。同時，也確認在TCP/IP中沒有選擇這兩項。然后對局域網(wǎng)中的所有機器重復(fù)這個檢查過程。用這種方法，你的機器在
INTERNET上就只使用TCP/IP，而在局域網(wǎng)上使用非INTERNET協(xié)議以便共享打印機和文件。因為黑客必須使用TCP/IP，這樣他們就需要花費更多的時間來訪問被共享的打印機和
1 l$ c  D' {7 S5 ^  D文件。
　　需要注意的是你對網(wǎng)絡(luò)設(shè)置的任何變動都可能重新設(shè)置綁定和其他設(shè)置，甚至包括你不曾接觸的內(nèi)容，而當(dāng)你或者是你所安裝的軟件修改了網(wǎng)絡(luò)設(shè)置，都要執(zhí)行上面介紹的步驟檢查TCP/IP連接以確保它保持“干凈”，沒有與“micrcosoft網(wǎng)絡(luò)用戶”和“文件和打印共享”綁定。
( [9 i& g- L; F) `' J# E2 b; M7 n　　AOL（美國在線）有一點是令人厭惡的：它把它自己的（通常是沒有必要的）適配器加入到你的網(wǎng)絡(luò)設(shè)置中，而且可能會不正確地修改你的綁定設(shè)置，一些用戶在安裝AOL后報告，他們的“文件和打印共享”被綁定在TCP/IP上，意味著對任何想連接的人都提供
打印機和文件，上面的介紹的竅門對避免出現(xiàn)AOL的這個情況也很有效。
　　要改善你的網(wǎng)絡(luò)安全性你可以作很多工作，我們將在下面討論，但是面的設(shè)置將消除WINDOWS PC的最常見和突出的網(wǎng)絡(luò)安全問題，把最明顯的漏洞給你堵上，讓你擁有一個更安全的線上操作基礎(chǔ)。一旦你學(xué)會了上面的方法，只用幾分鐘進行檢查，基本就不需要其他的輔助軟件，這樣做的好處在于不用花錢喲！
& x) \) ^% P" W) q% O　　工具篇
8 P* k2 D5 L, I5 ~0 M2 r- X8 i, ^: y　　在上一部分，我們討論了怎樣調(diào)整網(wǎng)絡(luò)設(shè)置以獲得更好的安全性，現(xiàn)在，我們來看看怎樣利用一些免費或者商業(yè)產(chǎn)品和服務(wù)做更多的事。
* N  O: P( W" L% B　　既然你已經(jīng)有了很好的防范黑客的線上安全基礎(chǔ)，現(xiàn)在你可以學(xué)習(xí)使用決定性的一招，幫你的機器增強抵抗力，能夠防范一些常見的和不常見的攻擊，甚至一些更高水平的或者更迂回曲折的攻擊。于是，你就有了兩級安全措施了，一個是前面介紹的網(wǎng)絡(luò)安全設(shè)置，一個是附加的安全產(chǎn)品，即使有其中一個出現(xiàn)了問題，你也仍然有另一個保護，總不能一棵樹上吊死人吧！
+ b1 k: H' A) H　　在你向系統(tǒng)中添加任何安全性產(chǎn)品之前，作一個額外的測試，檢查一下你的設(shè)置是否已經(jīng)OK了。最好是定時（每月或者每周）檢查一下你的基本網(wǎng)絡(luò)設(shè)置是否安全。
　　我推薦三個絕好的免費站點幫助你從外端檢測你的INTERNET連接，以便你檢測和糾正潛在的安全問題。
　　 http://grc.com/intro.htm
" ^5 d! W3 n' T* M9 n9 I　　 http://www.dslreports.com/r3/dsl/secureme
　　 http://www.antionline.com/
　　我曾經(jīng)連續(xù)使用過這第三個站點，他們測試的對象是一樣的，有些重復(fù)，但是采用了不同的方法，測試的重點也不同。通過一個一個地在這三個網(wǎng)站進行測試，你可以“嗅”到你的INTERNET連接中存在的最常見的漏洞，如果你通過了這三個測試，你就可以防范絕大多數(shù)的常見的黑客攻擊了。
　　另外，Gibson Research網(wǎng)站（ http://grc.com/intro.htm）所提供的額外的幫助文件值得一讀，特別是當(dāng)你對關(guān)閉一個端口有疑惑（例如NetBIOS的Port 39）的時候，Gi
, N* L; i( [/ m$ D) {& _bson提供了一步一步的指導(dǎo)可以確保你將端口關(guān)閉，具體參看 http://grc.com/su-bond
* C" j% V) x) Q$ page.htm。
3 ?3 H' h: @* e! p　　一旦你的PC經(jīng)過了上面的測試，你就可以再增加一個加強安全的程序了，這種程序有很多，但是目前最熱門的是“個人用防火墻”，下面我們討論的重點也就是如何選擇這一類產(chǎn)品。
! C) N  I! G1 I) `% L3 a　　不管你是否已經(jīng)使用了公用的防火墻、代理服務(wù)器、域名服務(wù)器，這些本地的防火墻在你的機器內(nèi)部監(jiān)視你的INTERNET數(shù)據(jù)交換，防止來自黑客的不正常的訪問，其中一些還可以監(jiān)視非正常的數(shù)據(jù)輸出，也就是那種特洛伊木馬程序式偷偷摸摸留下的“后門”，在你不知道的情況下，向你的機器發(fā)送信息或者獲取信息。
1 h; b3 E- x, J, |% n" }　　我現(xiàn)在使用的個人防火墻是免費而絕妙的ZoneAlarm，雖然它還有一些粗糙，但是它更新很快，最新的版本已經(jīng)是2.0.26了，而且解決了很多早期版本存在的問題，而且它免費，卻比很多售價50美圓的商業(yè)產(chǎn)品更有效，例如它是少數(shù)能夠檢測到特洛伊程序的防火墻之一。
  j1 {8 }8 W. c; C0 X　　Aladdin的eSafe Protect Desktop也加入了類似于防病毒程序的功能，相當(dāng)于防火墻加沙箱的功能，能夠防范決大多數(shù)帶有惡意的訪問，并將它們隔離起來。另外，它們讓人滿意的是占用很少的系統(tǒng)資源，只有2%而已。它是一個值得注意的產(chǎn)品，售價為30美圓。但是為了與流行的ZoneAlarm抗衡，Aladdin的Protect Desktop現(xiàn)在對個人使用完
全免費，因此很值得試試看，我正在試用，可能它會變成我的新歡喲！
　　FWProxy是一個簡單免費的程序，能夠在設(shè)定的端口監(jiān)聽進入的TCP連接，檢查用戶對設(shè)備的授權(quán)，在遠程RAS用戶和設(shè)定的內(nèi)部TCP設(shè)備之間建立連接，你如果你只需要這個功能，那你可以試試它。
　　Sybergen Secure Desktop（以前叫SyShield）非常靈活，可以從多方面進行設(shè)置，售價為30美圓，它的長處在于安裝簡單，雖然為數(shù)不多的文檔讓那些迷失在它過多的設(shè)置選項中的初學(xué)者有些困惑，但是它馬上就會出新版本了，以后我們還要介紹。
　　BlackIce Defender是一個享有盛譽、非常流行的防火墻，花費40美圓就可以獲得BlackIce Defender和一年的安全升級。和ZoneAlarm一樣，BlackIce也有其顯得粗糙的地方，例如它的錯誤檢測警告，幾乎讓你發(fā)生一種錯覺，好象你受到外界的攻擊是基本不變的，另外文檔也不夠完善，除非你對防火墻技術(shù)和端口分配都非常精通，還有一些用
( w6 \8 w0 ]5 l戶對它支持的級別和對錯誤反應(yīng)的時間也不滿意?？磥鞱etworkice這位始作俑者已經(jīng)被他們的勝利淹沒了，很難繼續(xù)保持原來的狀態(tài)。這種說法分的另一個佐證是關(guān)于Windows 2000，Windows 2000已經(jīng)推出一段時間了，而BlackIce的站點還在說：“Win2k目前仍然是beta版本，我們目前還不能支持它，檢測侵入的部分運行良好，而防火墻部分現(xiàn)在
還不行，我們計劃在WIN 2000正式推出時再支持它?！边@種情況讓人聯(lián)想到它的安全產(chǎn)品，因為人們總是希望它的內(nèi)容能夠盡量保持最新狀態(tài)。
　　如果你到過各種黑客站點和黑客的BBS，你可以看到一個讓黑客們又愛又怕的軟件，售價為49美圓的ConSeal Private Desktop，他們喜歡在自己的機器上安裝這個軟件，但又痛恨在所攻擊的用戶機器上也安裝了這個軟件。出品它的加拿大公司Signal9剛被McA
+ t7 I  ?2 s3 n6 p! Tfee收購，我們還不清楚McAfee的計劃是什么，你可以到 http://www.signal9.com/上去看看相關(guān)信息。
( A: f+ G' \+ V( Z( T3 h0 c　　McAfee還剛剛收購了Cybermedia，它的售價為30美圓的防護狗軟件是一個很有趣的產(chǎn)品，多種功能兼而有之，病毒檢測、隱私保護和在線安全，還包括對惡意ActiveX和Java applets的防護。
　　而ConSeal的AtGuard，是另一個讓黑客愛恨交織的防火墻，剛剛被Symantec收購，現(xiàn)在變成了售價為60美圓的Norton Internet Security 2000的一部分。和它的其他產(chǎn)品相比，AtGuard略顯單薄，但是Norton Internet Security 2000是一個安全“巨人”，
7 |6 A  C$ r9 A- C: |雖然它的設(shè)置也很麻煩。但是無論如何，AtGuard安全部分的功能仍然使非常出色的，盡管它現(xiàn)在已經(jīng)被其他產(chǎn)品的光芒掩蓋了。
5 E' U* ?7 o+ u* _1 Z# l: H　　上面介紹的產(chǎn)品都是一些用途廣泛功能全面的防護軟件，但是還有一些功能比較精細集中的產(chǎn)品：
　　Jammer，售價為20美圓，專門設(shè)計用來防范NetBus和BackOrifice的攻擊，如果你的其他安全產(chǎn)品只有一般的防護能力，它倒還是挺有用的；
9 K/ M+ r) {( j/ Y* ^　　ProtectX，售價為25美圓，可以同時監(jiān)視最多20個端口，還可以幫你追蹤攻擊你的黑客的來源，也是一個享有盛譽的產(chǎn)品，盡管它所能監(jiān)視的端口數(shù)量受到限制，和同類產(chǎn)品相比顯得有些不足。
　　Rainbow Diamond Intrusion Detector，售價為40美圓，在你可能受到侵犯的時候會發(fā)出警報，Intrusion Detector直接在機器中監(jiān)視可疑的網(wǎng)絡(luò)活動，一旦發(fā)現(xiàn)對象，就發(fā)出報警。Intrusion Detector還會試圖確定攻擊你的用戶的身份。
+ H4 `: D! c7 d　　TDS-2，售價33美圓，來自澳大利亞的Trojan特洛伊防范系統(tǒng)，對特洛伊有比其他軟件更強的檢測能力。
0 }1 L& z, x; U) R' O2 C1 G　　哦，你的選擇真是太多了，有了這些產(chǎn)品，你的機器的安全級別一定可以到很高的級別。
　　但是，即使有了上面的這些產(chǎn)品，我們的安全工作還是沒有完成，下一步或者是對上述產(chǎn)品的補充，或是對上述產(chǎn)品的替代，另外，還有一個特的措施你可以使用，將你的安全性能提高到一個很高的程度。
, U7 t# {- U" N9 e/ Y　　竅門篇
/ F, L  }% d/ L, a# o9 s9 s* w6 c! _　　前面我們分別從PC的網(wǎng)絡(luò)安全設(shè)置和優(yōu)秀的網(wǎng)絡(luò)安全產(chǎn)品出發(fā)，介紹了如何提高機器的安全性能，對大多數(shù)人而言，如果僅僅是一般的上網(wǎng)沖浪和日常的網(wǎng)絡(luò)操作，這些措施已經(jīng)相當(dāng)足夠了。
　　但是也許你的要求和他們不同，因此我們還繼續(xù)討論第三步，如何讓你的安全性能變得更高。實際上，這一步是針對我的個人而定的，因為我有下面幾個特殊的地方：
　　我每周7天、每天24小時在INTERNET上；
　　我通過INETRNET做生意，并經(jīng)營網(wǎng)站；
　　我比一般人要顯眼，更容易成為黑客的目標；
) I0 }. U3 ]; H3 h. c! w( I7 ~　　我將INTERNET連接共享給其他的幾臺機器。
" Q5 y8 _8 B9 }6 R; u' W6 P　　如果你也具備上述的幾個或全部特征，你可能也希望采用我的方法來讓你的機器“固若金湯”，那么我們就交流一下。
　　首先，我使用了在第一部分和第二部分介紹的所有技術(shù)，例如我的任何一臺機器都沒有綁定“網(wǎng)絡(luò)用戶”、“文件和打印共享”到TCP/IP，所有常見的攻擊對我不起作用；第二，在每臺機器里我都用了個人防火墻，ZoneAlarm，可以幫助我阻塞黑客的侵入。

　　上面只是兩個安全的級別，但是我還有第三個更簡單和更便宜的方法，那就是：我所有的機器都沒有直接連接INTERNET。相反地，我用了一臺爛機器（古老的486，內(nèi)存很
; s& \# J0 P$ M4 u少）作為與INTERNET連接的服務(wù)器，在它上面運行Windows和Sygate，有了Sygate，幾臺機器可以通過一個機器上網(wǎng)，而Sygate的防火墻功能非常出色。從外界能夠看到的只有這臺爛機器，而其余幾臺共享連接的機器從外面看不到，所以黑客也無法檢測和攻擊。

' z) ?% r- S2 G* \8 I9 z7 F) A　　Sygate的防火墻功能幫了大忙，它把它自己藏了起來，準確地說，是把運行它的機器藏起來了，面對黑客的探測“屏聲禁氣”，所有的現(xiàn)象都說明這里根本就沒有一臺機器，所以Sygate的防火墻算是第四層保護了。
　　下面的設(shè)置應(yīng)該說是第五層的防護了：如果黑客打算侵入，他會發(fā)現(xiàn)他到了一臺又空又爛的機器，不管怎么看都毫無興趣和吸引力。我的其他幾臺位于局域網(wǎng)上的機器都有口令保護，而我從來不在爛機器中WINDOWS保存任何密碼，所以即使黑客進入到這臺機器，也很難進入到局域網(wǎng)中其他機器的系統(tǒng)，要通過防火墻、口令和內(nèi)部的安全設(shè)置這
幾關(guān)可不是容易的事呢！
( \( `8 |& I% Z' f4 M( x　　最后，我還有第六關(guān)：我的cable modem ISP使用動態(tài)IP地址，和絕大多數(shù)撥號上網(wǎng)ISP使用相同的技術(shù)，有了動態(tài)網(wǎng)址，每次你上網(wǎng)的時候都用的是新地址，對黑客來講，很難預(yù)見下次的IP將是什么。利用動態(tài)IP地址的優(yōu)勢，我每擱一天或者是通過modem發(fā)現(xiàn)有異?；顒拥臅r候，就會拔去cable modem的插頭。每當(dāng)我將插頭重新插回去、重新上線
，就會獲得一個和上次不同的地址，即使有黑客發(fā)現(xiàn)過我，他也要一切重新開始了?！　≡掚m這么說，你也應(yīng)該知道沒有任何線上的系統(tǒng)是完全保險的，除非你完全不和INTERNET連接，理論上任何系統(tǒng)都可能被攻擊，但是如果你的機器加上了6層安全保護，給黑客們增加了太多的障礙，那么你的安全系數(shù)就很高了，也許因為他不能忍受如此多的麻煩就放棄了你呢！
2 m) M6 O% e' v/ Z' X