黑客入侵 *** _防止黑客入侵局域网

如何防止局域网入侵

我们在电视或者电影中经常会看到这样的情景，间谍或者警察，在某户人家的 *** 线总线上，拉出一根 *** 分线，对这个 *** 进行窃听。现在这种 *** 在 *** 中也逐渐蔓延开来。

由于局域网中采用的是广播方式，因此在某个广播域中（往往是一个企业局域网就是一个广播域），可以监听到所有的信息报。而非法入侵者通过对信息包进行分析，就能够非法窃取局域网上传输的一些重要信息。如现在很多黑客在入侵时，都会把局域网稍描与监听作为他们入侵之前的准备工作。因为凭这些方式，他们可以获得用户名、密码等重要的信息。如现在不少的 *** 管理工具，号称可以监听别人发送的邮件内容、即时聊天信息、访问网页的内容等等，也是通过 *** 监听来实现的。可见， *** 监听是一把双刃剑，用到正处，可以帮助我们管理员工的 *** 行为；用的不好，则会给企业的 *** 安全以致命一击。

一、监听的工作原理。

要有效防止局域网的监听，则首先需要对局域网监听的工作原理有一定的了解。知己知彼，百战百胜。只有如此，才能有针对性的提出一些防范措施。

现在企业局域网中常用的 *** 协议是“以太网协议”。而这个协议有一个特点，就是某个主机A如果要发送一个主机给B，其不是一对一的发送，而是会把数据包发送给局域网内的包括主机B在内的所有主机。在正常情况下，只有主机B才会接收这个数据包。其他主机在收到数据包的时候，看到这个数据库的目的地址跟自己不匹配，就会把数据包丢弃掉。

但是，若此时局域网内有台主机C，其处于监听模式。则这台数据不管数据包中的IP地址是否跟自己匹配，就会接收这个数据包，并把数据内容传递给上层进行后续的处理。这就是 *** 监听的基本原理。

在以太网内部传输数据时，包含主机唯一标识符的物理地址（MAC地址）的帧从网卡发送到物理的线路上，如网线或者光纤。此时，发个某台特定主机的数据包会到达连接在这线路上的所有主机。当数据包到达某台主机后，这台主机的网卡会先接收这个数据包，进行检查。如果这个数据包中的目的地址跟自己的地址不匹配的话，就会丢弃这个包。如果这个数据包中的目的地址跟自己地址匹配或者是一个广播地址的话，就会把数据包交给上层进行后续的处理。在这种工作模式下，若把主机设置为监听模式，则其可以了解在局域网内传送的所有数据。如果这些数据没有经过加密处理的话，那么后果就可想而知了。

二、常见的防范措施。

1、采用加密技术，实现密文传输。

从上面的分析中，我们看到，若把主机设置为监听模式的话，则局域网中传输的任何数据都可以被主机所窃听。但是，若窃听者所拿到的数据是被加密过的，则其即使拿到这个数据包，也没有用处，无法解密。这就好像电影中的电报，若不知道对应的密码，则即使获得电报的信息，对他们来说，也是一无用处。

所以，比较常见的防范局域网监听的 *** 就是加密。数据经过加密之后，通过监听仍然可以得到传送的信息，但是，其显示的是乱码。结果是，其即使得到数据，也是一堆乱码，没有多大的用处。

现在针对这种传输的加密手段有很多，最常见的如IPSec协议。Ipsec 有三种工作模式，一是必须强制使用，二是接收方要求，三是不采用。当某台主机A向主机B发送数据文件的时候，主机A与主机B是会先进行协商，其中包括是否需要采用IPSec技术对数据包进行加密。一是必须采用，也就是说，无论是主机A还是主机B都必须支持IPSec，否则的话，这个传输将会以失败告终。二是请求使用，如在协商的过程中，主机A会问主机B，是否需要采用IPSec。若主机B回答不需要采用，则就用明文传输，除非主机A的IPSec策略设置的是必须强制使用。若主机B回答的是可以用IPSec加密，则主机A就会先对数据包进行加密，然后再发送。经过IPSec技术加密过的数据，一般很难被破解。而且，重要的是这个加密、解密的工作对于用户来说，是透明的。也就是说，我们 *** 管理员之需要配置好IPSec策略之后，员工不需要额外的动作。是否采用IPSec加密、不采用会有什么结果等等，员工主机之间会自己进行协商，而不需要我们进行额外的控制。

在使用这种加密手段的时候，唯一需要注意的就是如何设置IPSec策略。也就是说，什么时候采用强制加密，说明时候采用可有可无的。若使用强制加密的情况下，一定要保证通信的双方都支持IPSec技术，否则的话，就可能会导致通信的不成功。最懒的 *** ，就是不管三七二十一，给企业内的所有电脑都配置IPSec策略。虽然，都会在增加一定的带宽，给 *** 带来一定的压力，但是，基本上，这不会对用户产生多大的直接影响。或者说，他们不能够直观的感受到由于采用了IPSec技术而造成的 *** 性能减慢。

2、利用路由器等 *** 设备对 *** 进行物理分段。

我们从上面的以太网工作原理的分析中可以知道，如果销售部门的某位销售员工发送给销售经理的一份文件，会在公司整个 *** 内进行传送。我们若能够设计一种方案，可以让销售员工的文件直接给销售经理，或者至少只在销售部门内部的员工可以收的到的话，那么，就可以很大程度的降低由于 *** 监听所导致的 *** 安全的风险。

如我们可以利用路由器来分离广播域。若我们销售部门跟其他部门之间不是利用共享式集线器或者普通交换机进行连接，而是利用路由器进行连接的话，就可以起到很好的防范局域网监听的问题。如此时，当销售员A发信息给销售经理B的时候，若不采用路由器进行分割，则这份邮件会分成若干的数据包在企业整个局域网内部进行传送。相反，若我们利用路由器来连接销售部门跟其他部门的 *** ，则数据包传送到路由器之后，路由器会检查数据包的目的IP地址，然后根据这个IP地址来进行转发。此时，就只有对应的IP地址 *** 可以收到这个数据包，而其他不相关的路由器接口就不会收到这个数据包。很明显，利用路由器进行数据报的预处理，就可以有效的减少数据包在企业 *** 中传播的范围，让数据包能够在最小的范围内传播。

不过，这个利用路由器来分段的话，有一个不好地地方，就是在一个小范围内仍然可能会造成 *** 监听的情况。如在销售部门这个 *** 内，若有一台主机被设置为 *** 监听，则其虽然不能够监听到销售部门以外的 *** ，但是，对于销售部门内部的主机所发送的数据包，仍然可以进行监听。如财务经理发送一份客户的应手帐款余额表给销售经理的话，有路由器转发到销售部门的 *** 后，这个数据包仍然会到达销售部门 *** 内地任一主机。如此的话，只要销售 *** 中有一台 *** 主机被设置为监听，就仍然可以窃听到其所需要的信息。不过若财务经理发送这份文件给总经理，由于总经理的网段不在销售部门的网段，所以数据包不会传送给财务部门所在的 *** 段，则销售部门中的侦听主机就不能够侦听到这些信息了。

另外，采用路由器进行 *** 分段外，还有一个好的副作用，就是可以减轻 *** 带宽的压力。若数据包在这个 *** 内进行传播的话，会给 *** 带来比较大的压力。相反，通过路由器进行 *** 分段，从而把数据包控制在一个比较小的范围之内，那么显然可以节省 *** 带宽，提高 *** 的性能。特别是企业在遇到DDOS等类似攻击的时候，可以减少其危害性。

3、利用虚拟局域网实现 *** 分段。

我们不仅可以利用路由器这种 *** 硬件来实现 *** 分段。但是，这毕竟需要企业购买路由器设备。其实，我们也可以利用一些交换机实现 *** 分段的功能。如有些交换机支持虚拟局域网技术，就可以利用它来实现 *** 分段，减少 *** 侦听的可能性。

虚拟局域网的分段作用跟路由器类似，可以把企业的局域网分割成一个个的小段，让数据包在小段内传输，将以太网通信变为点到点的通信，从而可以防止大部分 *** 监听的入侵。

不过，这毕竟还是通过 *** 分段来防止 *** 监听，所以，其也有上面所说的利用路由器来实现这个需求的缺点，就是只能够减少 *** 监听入侵的几率。在某个网段内，仍然不能够有效避免 *** 监听。

所以，比较好的 *** ，笔者还是推荐采用加密技术来防止 *** 监听给企业所带来的危害，特别似乎防止用户名、密码等关键信息被窃听。

怎样防止 *** 黑客攻击呢 ?

一、取消文件夹隐藏共享

如果你使用了Windows 2000/XP系统，右键单击C盘或者其他盘，选择共享，你会惊奇地发现它已经被设置为“共享该文件夹”，而在“网上邻居”中却看不到这些内容，这是怎么回事呢？

原来，在默认状态下，Windows 2000/XP会开启所有分区的隐藏共享，从“控制面板/管理工具/计算机管理”窗口下选择“系统工具/共享文件夹/共享”，就可以看到硬盘上的每个分区名后面都加了一个“$”。但是只要键入“计算机名或者IPC$”，系统就会询问用户名和密码，遗憾的是，大多数个人用户系统Administrator的密码都为空，入侵者可以轻易看到C盘的内容，这就给 *** 安全带来了极大的隐患。

怎么来消除默认共享呢？ *** 很简单，打开注册表编辑器，进入“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetSevicesLanmanworkstationparameters”，新建一个名为“AutoShareWKs”的双字节值，并将其值设为“0”，然后重新启动电脑，这样共享就取消了。

二、拒绝恶意代码

恶意网页成了宽带的更大威胁之一。以前使用Modem，因为打开网页的速度慢，在完全打开前关闭恶意网页还有避免中招的可能性。现在宽带的速度这么快，所以很容易就被恶意网页攻击。

一般恶意网页都是因为加入了用编写的恶意代码才有破坏力的。这些恶意代码就相当于一些小程序，只要打开该网页就会被运行。所以要避免恶意网页的攻击只要禁止这些恶意代码的运行就可以了。

运行IE浏览器，点击“工具/Internet选项/安全/自定义级别”，将安全级别定义为“安全级-高”，对“ActiveX控件和插件”中第2、3项设置为“禁用”，其它项设置为“提示”，之后点击“确定”。这样设置后，当你使用IE浏览网页时，就能有效避免恶意网页中恶意代码的攻击。

三、封死黑客的“后门”

俗话说“无风不起浪”，既然黑客能进入，那说明系统一定存在为他们打开的“后门”，只要堵死这个后门，让黑客无处下手，便无后顾之忧！

1.删掉不必要的协议

对于服务器和主机来说，一般只安装TCP/IP协议就够了。鼠标右击“ *** 邻居”，选择“属性”，再鼠标右击“本地连接”，选择“属性”，卸载不必要的协议。其中NETBIOS是很多安全缺陷的根源，对于不需要提供文件和打印共享的主机，还可以将绑定在TCP/IP协议的NETBIOS关闭，避免针对NETBIOS的攻击。选择“TCP/IP协议/属性/高级”，进入“高级TCP/IP设置”对话框，选择“WINS”标签，勾选“禁用TCP/IP上的NETBIOS”一项，关闭NETBIOS.

2.关闭“文件和打印共享”

文件和打印共享应该是一个非常有用的功能，但在不需要它的时候，也是黑客入侵的很好的安全漏洞。所以在没有必要“文件和打印共享”的情况下，我们可以将它关闭。用鼠标右击“ *** 邻居”，选择“属性”，然后单击“文件和打印共享”按钮，将弹出的“文件和打印共享”对话框中的两个复选框中的钩去掉即可。

虽然“文件和打印共享”关闭了，但是还不能确保安全，还要修改注册表，禁止它人更改“文件和打印共享”。打开注册表编辑器，选择“HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesNetWork”主键，在该主键下新建DWORD类型的键值，键值名为“NoFileSharingControl”，键值设为“1”表示禁止这项功能，从而达到禁止更改“文件和打印共享”的目的；键值为“0”表示允许这项功能。这样在“ *** 邻居”的“属性”对话框中“文件和打印共享”就不复存在了。

3.把Guest账号禁用

有很多入侵都是通过这个账号进一步获得管理员密码或者权限的。如果不想把自己的计算机给别人当玩具，那还是禁止的好。打开控制面板，双击“用户和密码”，单击“高级”选项卡，再单击“高级”按钮，弹出本地用户和组窗口。在Guest账号上面点击右键，选择属性，在“常规”页中选中“账户已停用”。另外，将Administrator账号改名可以防止黑客知道自己的管理员账号，这会在很大程度上保证计算机安全。

4.禁止建立空连接

在默认的情况下，任何用户都可以通过空连接连上服务器，枚举账号并猜测密码。因此，我们必须禁止建立空连接。 *** 有以下两种：

*** 一是修改注册表：打开注册表“HKEY_LOCAL_MACHINESystemCurrentControlSetControlLSA”，将DWORD值“RestrictAnonymous”的键值改为“1”即可。

最后建议大家给自己的系统打上补丁，微软那些没完没了的补丁还是很有用的！

四、隐藏IP地址

黑客经常利用一些 *** 探测技术来查看我们的主机信息，主要目的就是得到 *** 中主机的IP地址。IP地址在 *** 安全上是一个很重要的概念，如果攻击者知道了你的IP地址，等于为他的攻击准备好了目标，他可以向这个IP发动各种进攻，如DoS（拒绝服务）攻击、Floop溢出攻击等。隐藏IP地址的主要 *** 是使用 *** 服务器。

与直接连接到Internet相比，使用 *** 服务器能保护上网用户的IP地址，从而保障上网安全。 *** 服务器的原理是在客户机（用户上网的计算机）和远程服务器（如用户想访问远端WWW服务器）之间架设一个“中转站”，当客户机向远程服务器提出服务要求后， *** 服务器首先截取用户的请求，然后 *** 服务器将服务请求转交远程服务器，从而实现客户机和远程服务器之间的联系。很显然，使用 *** 服务器后，其它用户只能探测到 *** 服务器的IP地址而不是用户的IP地址，这就实现了隐藏用户IP地址的目的，保障了用户上网安全。提供免费 *** 服务器的网站有很多，你也可以自己用 *** 猎手等工具来查找。

五、关闭不必要的端口

黑客在入侵时常常会扫描你的计算机端口，如果安装了端口监视程序（比如Netwatch），该监视程序则会有警告提示。如果遇到这种入侵，可用工具软件关闭用不到的端口，比如，用“Norton Internet Security”关闭用来提供网页服务的80和443端口，其他一些不常用的端口也可关闭。

六、更换管理员帐户

Administrator帐户拥有更高的系统权限，一旦该帐户被人利用，后果不堪设想。黑客入侵的常用手段之一就是试图获得Administrator帐户的密码，所以我们要重新配置Administrator帐号。

首先是为Administrator帐户设置一个强大复杂的密码，然后我们重命名Administrator帐户，再创建一个没有管理员权限的Administrator帐户欺骗入侵者。这样一来，入侵者就很难搞清哪个帐户真正拥有管理员权限，也就在一定程度上减少了危险性。

七、杜绝Guest帐户的入侵

Guest帐户即所谓的来宾帐户，它可以访问计算机，但受到限制。不幸的是，Guest也为黑客入侵打开了方便之门！网上有很多文章中都介绍过如何利用Guest用户得到管理员权限的 *** ，所以要杜绝基于Guest帐户的系统入侵。

禁用或彻底删除Guest帐户是更好的办法，但在某些必须使用到Guest帐户的情况下，就需要通过其它途径来做好防御工作了。首先要给Guest设一个强壮的密码，然后详细设置Guest帐户对物理路径的访问权限。举例来说，如果你要防止Guest用户可以访问tool文件夹，可以右击该文件夹，在弹出菜单中选择“安全”标签，从中可看到可以访问此文件夹的所有用户。删除管理员之外的所有用户即可。或者在权限中为相应的用户设定权限，比方说只能“列出文件夹目录”和“读取”等，这样就安全多了。

八、安装必要的安全软件

我们还应在电脑中安装并使用必要的防黑软件，杀毒软件和防火墙都是必备的。在上网时打开它们，这样即便有黑客进攻我们的安全也是有保证的。

九、防范木马程序

木马程序会窃取所植入电脑中的有用信息，因此我们也要防止被黑客植入木马程序，常用的办法有：

● 在下载文件时先放到自己新建的文件夹里，再用杀毒软件来检测，起到提前预防的作用。

● 在“开始”→“程序”→“启动”或“开始”→“程序”→“Startup”选项里看是否有不明的运行项目，如果有，删除即可。

● 将注册表里 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下的所有以“Run”为前缀的可疑程序全部删除

如何防范 *** 免受黑客攻击

*** 安全是一个值得注意的问题。 *** 在让你共享信息和资源的时候，同样会带给你一些烦恼，诸如电脑病毒，非法的入侵者，甚至是发泄不满的员工能够在一 *** 立的机器上带给你相当大的危害。

我们可以注意所有与 *** 安全相关的领域

◆虚拟数据仍然需要保证实体上的安全。这就意味着你应该把你的服务器放在一个独立的环境下，把磁盘驱动器从不需要的工作地点移走，并且在你的办公室安装一个报警系统。你应该明白世界上没有任何一款安全软件可以阻止别人进入你的办公室并和侵入你的电脑。

◆小心安全漏洞。许多电脑病毒不过是令人烦恼的恶意程序，但仅仅只需要一个病毒就足以致命。安装可靠的杀毒软件，时时更新，并且培训员工让他们学会使用。及时更新漏洞补丁，往往很多黑客都是利用这些已知的漏洞来完成入侵的。编者曾经做 *** 的经验告诉我，企业中很多管理员对补丁的更新做的并不及时。

◆ *** 安全是一件日常工作。一定要留心观察会影响局域网安全的一些变化。注意时时更新和下载操作系统的安全补丁和漏洞修复。将对一些目录和 *** 资源的访问权限按实际需要加以分配，并且迅速注销一些离开你公司的员工的帐号。利用 *** 登陆和安全测试来检测你的 *** 的安全漏洞和可能的非法入侵者。养成良好的备份和日志分析习惯，即使是很不起眼的入侵，您的日志也会详细的记录下来，这对 *** 管理是十分重要。

◆注意你的密码，一个差劲的密码可能会威胁到你整个 *** 的安全。避免密码中包含一些字典词汇和私人信息，并且要求用户经常更换密码。当一位员工离开公司的时候，一定要将注销他的密码作为终止过程的一部分。

◆不要让麻烦找你，当你通过局域网拨号上网或是通过专门的因特网连接到外网的时候，一定要采取特别的防范措施。通过加密的密码或者是回拨上网的方式防止拨号上网攻击，这样可以只允许被认可的 *** 号码访问。

◆安装防火墙。如果你将局域网直接连接到因特网的时候，一定要安装防火墙来检测出流和入流的情况，软件防火墙同样能够防止诸如木马等恶意病毒等进入并且破坏你的电脑系统。

让我们想想还有没有其他的预防措施？例如IDS，IPS等等。 *** 在随着计算机技术的发展在迅速增长，我们使用的很多软件和设备在N年后总会发现有很多的不足，这是技术所决定的。因此编者要提醒用户，不间断的补充知识，养成良好的习惯，才会真正阻止黑客的入侵。

也许有人说 *** 永远都有漏洞，那我也可以很肯定的回答，良好的习惯可以更大限度的解决这种威胁。

怎么样防止黑客入侵企业局域网

更好的办法是在外线在接入路由器之前安装一个硬件防火墙，可以将黑客拦截在路由器之前，这样就可以保护你整个局域网的安全了。目前此类产品中阿尔叙个人硬件防火墙做比较专业，价格还算能接受，这一款防火墙采用IP隐藏技术，实时监控，全面的封计算机65536个端口、无需升级、固件不受任何病毒影响和更改等特点，可以轻松将你的电脑隐身在黑客之前。