事件1 Windows 2000/XP RPC服務(wù)遠(yuǎn)程拒絕服務(wù)攻擊

　　漏洞存在于Windows系統(tǒng)的DCE-RPC堆棧實(shí)現(xiàn)中，遠(yuǎn)程攻擊者可以連接TCP 135端口，發(fā)送畸形數(shù)據(jù)，可導(dǎo)致關(guān)閉RPC服務(wù)，關(guān)閉RPC服務(wù)可以引起系統(tǒng)停止對(duì)新的RPC請(qǐng)求進(jìn)行響應(yīng)，產(chǎn)生拒絕服務(wù)。

　　[對(duì)策]

　　1、臨時(shí)處理方法:使用防火墻或Windows系統(tǒng)自帶的TCP/IP過(guò)濾機(jī)制對(duì)TCP 135端口進(jìn)行限制，限制外部不可信任主機(jī)的連接。

　　2、徹底解決辦法:打安全補(bǔ)丁。

　　事件2 Windows系統(tǒng)下MSBLAST(沖擊波)蠕蟲(chóng)傳播

　　感染蠕蟲(chóng)的計(jì)算機(jī)試圖掃描感染網(wǎng)絡(luò)上的其他主機(jī)，消耗主機(jī)本身的資源及大量網(wǎng)絡(luò)帶寬，造成網(wǎng)絡(luò)訪(fǎng)問(wèn)能力急劇下降。

　　[對(duì)策]

　　1、下載完補(bǔ)丁后斷開(kāi)網(wǎng)絡(luò)連接再安裝補(bǔ)丁。

　　2、清除蠕蟲(chóng)病毒。

　　事件3 Windows系統(tǒng)下Sasser(震蕩波)蠕蟲(chóng)傳播

　　蠕蟲(chóng)攻擊會(huì)在系統(tǒng)上留下后門(mén)并可能導(dǎo)致Win 2000/XP操作系統(tǒng)重啟，蠕蟲(chóng)傳播時(shí)可能導(dǎo)致被感染主機(jī)系統(tǒng)性能?chē)?yán)重下降以及被感染網(wǎng)絡(luò)帶寬被大量占用。

　　[對(duì)策]

　　1、首先斷開(kāi)計(jì)算機(jī)網(wǎng)絡(luò)。

　　2、然后用專(zhuān)殺工具查殺毒。

　　3、最后打系統(tǒng)補(bǔ)丁。

　　TELNET服務(wù)是常見(jiàn)遠(yuǎn)程登錄仿真服務(wù)，用戶(hù)可以使用TELNET遠(yuǎn)程登錄系統(tǒng)，執(zhí)行任意命令。此事件屬獲取權(quán)限類(lèi)攻擊。攻擊者可能正在嘗試猜測(cè)有效的TELNET服務(wù)用戶(hù)名和口令，如果成功，攻擊者可以登錄到系統(tǒng)執(zhí)行各種命令甚至完全控制系統(tǒng)。

　　[對(duì)策]

　　密切留意攻擊來(lái)源的進(jìn)一步活動(dòng)，如果覺(jué)得有必要阻塞其對(duì)服務(wù)器的連接訪(fǎng)問(wèn)。

　　事件5 TELNET服務(wù)用戶(hù)認(rèn)證失敗

　　TELNET服務(wù)往往是攻擊者入侵系統(tǒng)的渠道之一。大多數(shù)情況下，合法用戶(hù)在TELNET登錄過(guò)程中會(huì)認(rèn)證成功。如果出現(xiàn)用戶(hù)名或口令無(wú)效等情況，TELNET服務(wù)器會(huì)使認(rèn)證失敗。如果登錄用戶(hù)名為超級(jí)用戶(hù)，則更應(yīng)引起重視，檢查訪(fǎng)問(wèn)來(lái)源是否合法。如果短時(shí)間內(nèi)大量出現(xiàn)TELNET認(rèn)證失敗響應(yīng)，則說(shuō)明主機(jī)可能在遭受暴力猜測(cè)攻擊。

　　[對(duì)策]

　　1、檢查訪(fǎng)問(wèn)來(lái)源的IP、認(rèn)證用戶(hù)名及口令是否符合安全策略。

　　2、密切關(guān)注FTP客戶(hù)端大量失敗認(rèn)證的來(lái)源地址的活動(dòng)，如果覺(jué)得有必要，可以暫時(shí)禁止此客戶(hù)端源IP地址的訪(fǎng)問(wèn)。

　　事件6 TELNET服務(wù)用戶(hù)弱口令認(rèn)證

　　攻擊者可能利用掃描軟件或人工猜測(cè)到TELNET服務(wù)的弱口令從而非法獲得FTP服務(wù)的訪(fǎng)問(wèn)，也可能結(jié)合TELNET服務(wù)器的本地其他漏洞獲取主機(jī)的控制權(quán)。

　　[對(duì)策]

　　1、提醒或強(qiáng)制相關(guān)的TELNET服務(wù)用戶(hù)設(shè)置復(fù)雜的口令。

　　2、設(shè)置安全策略，定期強(qiáng)制用戶(hù)更改自己的口令。

　　事件7 Microsoft SQL 客戶(hù)端SA用戶(hù)默認(rèn)空口令連接

　　Microsoft SQL數(shù)據(jù)庫(kù)默認(rèn)安裝時(shí)存在sa用戶(hù)密碼為空的問(wèn)題，遠(yuǎn)程攻擊者可能利用這個(gè)漏洞登錄到數(shù)據(jù)庫(kù)服務(wù)器對(duì)數(shù)據(jù)庫(kù)進(jìn)行任意操作。更危險(xiǎn)的是由大多數(shù)MS-SQL的安裝采用集成Windows系統(tǒng)認(rèn)證的方式，遠(yuǎn)程攻擊者利用空口令登錄到SQL服務(wù)器后，可以利用MS-SQL的某些轉(zhuǎn)儲(chǔ)過(guò)程如xp_cmdshell等以L(fǎng)ocalSystem的權(quán)限在主機(jī)上執(zhí)行任意命令，從而取得主機(jī)的完全控制。

　　[對(duì)策]

　　1、系統(tǒng)的安全模式盡量使用“Windows NT only”模式，這樣只有信任的計(jì)算機(jī)才能連上數(shù)據(jù)庫(kù)。

　　2、為sa賬號(hào)設(shè)置一個(gè)強(qiáng)壯的密碼;

　　3、不使用TCP/IP網(wǎng)絡(luò)協(xié)議，改用其他網(wǎng)絡(luò)協(xié)議。

　　4、如果使用TCP/IP網(wǎng)絡(luò)協(xié)議，最好將其默認(rèn)端口1433改為其他端口，這樣攻擊者用掃描器就不容易掃到。

　　POP3服務(wù)是常見(jiàn)網(wǎng)絡(luò)郵件收取協(xié)議。

　　發(fā)現(xiàn)大量的POP3登錄失敗事件，攻擊者可能正在嘗試猜測(cè)有效的POP3服務(wù)用戶(hù)名和口令，如果成功，攻擊者可能利用POP3服務(wù)本身漏洞或結(jié)合其他服務(wù)相關(guān)的漏洞進(jìn)一步侵害系統(tǒng)，也可能讀取用戶(hù)的郵件，造成敏感信息泄露。

　　[對(duì)策]

　　密切留意攻擊來(lái)源的進(jìn)一步活動(dòng)，如果覺(jué)得有必要阻塞其對(duì)服務(wù)器的連接訪(fǎng)問(wèn)。

　　事件9 POP3服務(wù)接收可疑病毒郵件

　　當(dāng)前通過(guò)郵件傳播的病毒、蠕蟲(chóng)日益流行，其中一些郵件病毒通過(guò)發(fā)送帶有可執(zhí)行的附件誘使用戶(hù)點(diǎn)擊執(zhí)行來(lái)傳播，常見(jiàn)的病毒附件名后綴有:.pif、.scr、.bat、.cmd、.com ，帶有這些后綴文件名附件的郵件通常都是偽裝成普通郵件的病毒郵件。

　　郵件病毒感染了主機(jī)以后通常會(huì)向郵件客戶(hù)端軟件中保存的其他用戶(hù)郵件地址發(fā)送相同的病毒郵件以擴(kuò)大傳染面。

　　此事件表示IDS檢測(cè)到接收帶可疑病毒附件郵件的操作，郵件的接收者很可能會(huì)感染某種郵件病毒，需要立即處理。

　　[對(duì)策]

　　1、通知隔離檢查發(fā)送病毒郵件的主機(jī)，使用殺毒軟件殺除系統(tǒng)上感染的病毒。

　　2、在郵件服務(wù)器上安裝病毒郵件過(guò)濾軟件，在用戶(hù)接收之前就殺除之。

　　事件10 Microsoft Windows LSA服務(wù)遠(yuǎn)程緩沖區(qū)溢出攻擊

　　Microsoft Windows LSA是本地安全授權(quán)服務(wù)(LSASRV.DLL)。

　　LSASS DCE/RPC末端導(dǎo)出的Microsoft活動(dòng)目錄服務(wù)存在一個(gè)緩沖區(qū)溢出，遠(yuǎn)程攻擊者可以利用這個(gè)漏洞以SYSTEM權(quán)限在系統(tǒng)上執(zhí)行任意指令。

　　[對(duì)策]

　　1、臨時(shí)處理方法:使用防火墻對(duì)UDP端口135、137、138、445及TCP端口135、139、445、593進(jìn)行過(guò)濾。

　　2、打系統(tǒng)補(bǔ)丁、升級(jí)。