SNMP弱口令防范掃描檢測工具

周坤++劉昌界++魯美艷

【摘 要】隨著SNMP的大規(guī)模使用都是基于v3以下版本，因為明文傳輸?shù)热毕菀裁黠@存在，造成數(shù)據(jù)泄露、更改、丟失，存在極大的風(fēng)險。為解決此問題，通過掃描工具手動設(shè)置定期或非定期進行弱口令掃描，在一定程度上提升了安全性，保障了網(wǎng)絡(luò)系統(tǒng)的安全，但存在一定的操作延緩性和復(fù)雜性。因此，我公司不斷鉆研專業(yè)知識，克服重重困難，深入研究公司的網(wǎng)絡(luò)拓?fù)湔鎸嵡闆r，總結(jié)前期的經(jīng)驗和教訓(xùn)，自主研發(fā)出了SNMP弱口令自動掃描工具，經(jīng)過反復(fù)測試和實際實驗，在很大程度上解決了當(dāng)前現(xiàn)狀存在的缺點，改變IP/IP單地址為段地址掃描，提高掃描效率的同時也提高了工作效率，達(dá)到了網(wǎng)絡(luò)管理的創(chuàng)新。

【關(guān)鍵詞】SNMP 弱口令 監(jiān)測

1 引言

簡單網(wǎng)絡(luò)管理協(xié)議是目前最常用的環(huán)境管理協(xié)議。SNMP是一系列協(xié)議組和規(guī)范，提供從網(wǎng)絡(luò)上的設(shè)備中收集網(wǎng)絡(luò)管理信息的技術(shù)原理，SNMP同時為設(shè)備向網(wǎng)絡(luò)管理工作站報告問題和錯誤提供了一種技術(shù)支持。目前，網(wǎng)絡(luò)設(shè)備生產(chǎn)廠家基本上都實現(xiàn)了對SNMP的支持，但因SNMP的大規(guī)模使用都是基于v3以下的版本，存在明文傳輸缺點，能夠被抓包、嗅探等手段獲取數(shù)據(jù)包，很容易造成數(shù)據(jù)泄露、更改、丟失等隱患[1]。

針對SNMP協(xié)議的明文傳輸特性，當(dāng)前很多網(wǎng)絡(luò)主機服務(wù)器等設(shè)備都采用了掃描工具對其進行針對性的定期或非定期掃描，以消除存在的弱口令等隱患。目前，大多數(shù)的SNMP弱口令掃描工具都是基于人工手動設(shè)置掃描程序，存在一定的操作遲緩性和復(fù)雜性，自主研發(fā)出了SNMP弱口令自動掃描工具，能夠克服手動掃描的缺點，改變IP/IP單地址為地址段的掃描，掃描提高掃描效率。

2 SNMP弱口令防范與檢測工具研制

弱口令通常認(rèn)為容易被別人猜測到或被破解工具破解的口令均為弱口令，本身沒有嚴(yán)格和準(zhǔn)確的定義。常用弱口令例如“0000”、“aaaa”等，指的是僅包含簡單數(shù)字和字母的口令。這樣的口令很容易被別人破解，從而使終端用戶的計算機面臨風(fēng)險，所以不推薦用戶使用[2]。在SNMP弱口令掃描監(jiān)測工具中，我們預(yù)先設(shè)置好可能存在的弱口令，然后對弱口令自動進行SNMP逐條掃描。并將掃描結(jié)果通知網(wǎng)絡(luò)管理人員，方便網(wǎng)絡(luò)管理人員對極可能存在的弱口令的交換機進行實時的管理和維護。通過弱口令掃描監(jiān)測工具的使用，在一定程度上防止了SNMP弱口令的產(chǎn)生，也便于網(wǎng)絡(luò)管理人員統(tǒng)一集中管理認(rèn)證憑據(jù)，及時廢棄弱口令密碼[2]。如圖1所示。

工具功能如下：

2.1 密碼維護

在口令維護輸入口令，點擊+即可將口令添加到口令庫中去，密碼維護列表數(shù)據(jù)是可能存在的傳統(tǒng)的弱口令的集合。網(wǎng)絡(luò)運維管理人員可以方便快捷的根據(jù)實際的網(wǎng)絡(luò)拓?fù)淝闆r對密碼快速維護，掃描工具會工具已維護的密碼進行弱口令掃描。如圖2所示。

2.2 添加IP或者IP地址段

弱口令掃描監(jiān)測工具是基于存在的弱口令進行的掃描，在前面我們已經(jīng)維護好弱口令列表數(shù)據(jù)了。在實時掃描界面中，輸入IP或者IP地址段，點擊添加掃描，即可對IP或者地址段進行掃描，掃描結(jié)果顯示在右邊的結(jié)果框中。在掃描的過程中我們主要是基于SNMP的弱口令掃描，對局域網(wǎng)所有交換機逐個進行弱口令集合掃描，一旦發(fā)現(xiàn)問題，就會及時通知網(wǎng)絡(luò)運維管理人員。如圖3所示。

2.3 查看告警記錄

掃描工具在經(jīng)過SNMP的快速掃描后，將已存在的弱口令數(shù)據(jù)展示在界面上，點擊掃描記錄可以查看被掃描到的SNMP讀、寫串弱口令的設(shè)備。告警的目的是為了提高網(wǎng)絡(luò)運維管理人員的防范意思，根據(jù)實際需要決定是否修改弱口令數(shù)據(jù)，增強網(wǎng)絡(luò)安全，保障網(wǎng)絡(luò)通暢。

3 總結(jié)與展望

自主研發(fā)的SNMP弱口令掃描工具很好的解決了網(wǎng)絡(luò)設(shè)備、主機等軟硬件的弱口令掃描問題。因掃描工具是通過密碼庫來匹配SNMP弱口令信息的，故需要先添加密碼庫之后，再進行IP/IP段掃描。針對密碼庫的添加，需要做細(xì)致周全分析，并且要把每一次掃描結(jié)果出來的弱口令添加進去。

目前，SNMP弱口令掃描工具是基于v1、v2版本開發(fā)的，后期針對v3版本也正在做針對性嘗試研發(fā)，或升級開發(fā)包版本或禁止JVM執(zhí)行外部命令，盡早發(fā)現(xiàn)完善SNMP弱口令掃描工具的功能，實現(xiàn)漏洞的早發(fā)現(xiàn)、早處理，降低該漏洞帶來的安全風(fēng)險[2]。

那么對于弱口令，我們?nèi)绾斡行Х婪赌兀恳话闱闆r下，我們需要培訓(xùn)員工禁止使用簡單的字母和數(shù)字作為口令密碼；同時不使用空口令或者系統(tǒng)缺省的口令；在正常情況下，口令密碼由字母、數(shù)字和下劃線等特殊符號構(gòu)成，并且長度不少于8個字符；在設(shè)置弱口令的時候，更不應(yīng)該為連續(xù)的某個字符貨重復(fù)某些字符的組合；正常安全口令密碼應(yīng)該為以下四類字符的組合，大寫字母（A-Z）、小寫字母（a-z）、數(shù)字（0-9）和特殊字符。每類字符至少包含一個。如果某類字符只包含一個，那么該字符不應(yīng)為首字符或尾字符；口令不應(yīng)該為用數(shù)字或符號代替某些字母的單詞；定期更換一次口令，防止未被發(fā)現(xiàn)的入侵者繼續(xù)使用該口令。

參考文獻

[1]李紅友.網(wǎng)絡(luò)弱口令的防范與應(yīng)用[J].湖北電力，2010（2）.

[2]肖明斌.基于SNMP的智能變電站交換機運行狀態(tài)監(jiān)測[J].電力信息與通信技術(shù)，2015（10）.

[3]夏福成，弱口令，杜不絕的難題的可行性應(yīng)用研究[J].江蘇通信技術(shù)，2013（6）.