以下的文章主要向大家闡述的是正確選擇掃描工具并掃描安全漏洞的操作流程，對于安全漏洞管理藝術(shù)的新手來說，大量的掃描器與別的工具讓人對其不知所措。哪些工具最有效?哪些工具價格最適中?

在上個月舉行的“SANS波士頓2010”會議的培訓(xùn)會議中，SANS Institute(系統(tǒng)網(wǎng)絡(luò)安全學(xué)會)總裁Stephen Northcutt介紹了一些基本工具以及這些工具能做什么。

如何實施安全漏洞掃描

首先，Northcutt向聽眾介紹了這些掃描器的基本功能以及如何運行這些掃描器。在開始之前，他建議安全從業(yè)人員注意下列檢查清單：

首先，在運行掃描之前要得到高層領(lǐng)導(dǎo)的批準(zhǔn)。你要解釋你將要做什么，在黑客攻擊之前，掃描對于發(fā)現(xiàn)公司的安全漏洞是非常重要的。

提前發(fā)出通知，公布你的電話號碼，并且記住人們討厭這種突如其來的掃描。

點擊你的目標(biāo)選擇，選擇一個要跟蹤的系統(tǒng)并且告訴它擴展子網(wǎng)。從那里開始，保持這個窗口不要擴大，每次僅掃描一個子網(wǎng)。采取這種做法，你就不會阻塞系統(tǒng)，而且同時發(fā)現(xiàn)多個安全漏洞會讓你應(yīng)接不暇。小批量地發(fā)現(xiàn)和修復(fù)安全漏洞避免心理壓力過大。

在進行一次大量掃描的時候，不要從外部實施拒絕服務(wù)攻擊掃描。

僅當(dāng)你在辦公室的時候或者在電話旁邊的時候?qū)嵤呙琛?/p>

首先修復(fù)紅色優(yōu)先級的問題。

Northcutt說，還要記住，你只能掃描允許你實施掃描的網(wǎng)絡(luò)。超出允許的范圍和擴大掃描的領(lǐng)域很可能會啟動其他人的入侵檢測系統(tǒng)和讓你陷入麻煩之中。

Northcutt說，在選擇掃描器的時候，你必須考慮如下事情：

產(chǎn)品是如何授權(quán)的?

產(chǎn)品是否有足夠的靈活性承受公司計劃中的增長?

產(chǎn)品的兼容性如何?它支持給安全漏洞編目的CVE(通用安全漏洞與披露)標(biāo)準(zhǔn)嗎?

你能輕松地對比今天的掃描結(jié)果和四個星期前的掃描結(jié)果嗎?這種對比是不是一個完全人工操作的過程?

你的經(jīng)理喜歡這種報告輸出嗎?

欺騙端口掃描器Hping

Northcutt接下來向?qū)W生們介紹了Hping 3.0版的工作原理。他解釋說，這個網(wǎng)絡(luò)分析工具比更知名的網(wǎng)絡(luò)工具Nmap更隱蔽。Hping能夠制作一種特殊的數(shù)據(jù)包，里面包含定制的目的端口以及源端口、窗口尺寸、身份識別字段、TCP標(biāo)識等等。

同Nmap一樣，Hping最有價值的能力之一是假冒一個第三方的IP地址，讓這個掃描的真正來源很難被檢測到。但是，與Nmap不同, Hping首先尋找一個在互聯(lián)網(wǎng)上閑置的沉默的主機。在任意指定的時間內(nèi)，許多互聯(lián)網(wǎng)主機是開機運行的，但是沒有進行任何通訊。沒有發(fā)送和接收任何數(shù)據(jù)包。Northcutt說，雖然無人看管，沉默的主機仍然在網(wǎng)絡(luò)上傾聽。如果客氣地提問，它會回答。通過利用多個沉默的主機，攻擊者能夠執(zhí)行一個很難發(fā)現(xiàn)的隱蔽的掃描。

p0f：被動操作系統(tǒng)檢測

另一個值得了解的工具是p0f。這個工具被動地監(jiān)視網(wǎng)絡(luò)通訊，能夠檢查TCP/IP棧的具體部分。它能非常準(zhǔn)確地預(yù)測發(fā)送這個通訊的網(wǎng)絡(luò)的操作系統(tǒng)。這個工具對于觀察不會改變其TCP/IP棧實施的實施工具是最有效的。這個工具還能識別那些為了隱藏另一個操作系統(tǒng)而改變其TCP/IP指紋的系統(tǒng)。

Nmap和Nessus

目前最常用的兩個掃描器是Nmap和Nessus。對于不熟悉這兩個工具的人，Northcutt介紹了如下情況：

Nmap是一個端口掃描器，具有快速、高水平、開放端口和操作系統(tǒng)指紋鑒定等特點。

Nessus是世界上最流行的安全漏洞掃描器，不過，美國國防部使用eEye。這兩個掃描器都提供差不多的結(jié)果。

Northcutt警告稱，安全漏洞掃描器工作的速度較慢并且能夠引起一些誤報。用戶應(yīng)該理解這個事情并且注意不要因為掃描器返回的報告指出有大量的安全漏洞而著急。管理員查看掃描結(jié)果的任務(wù)是要證實哪些安全漏洞是真正存在的以及這些安全漏洞的嚴重性如何，如果黑客利用這些安全漏洞會給軟件造成什么影響以及可能造成什么破壞。這正是攻擊代碼工具要利用的地方。