安全公告：CN-VA08-05
发布日期：2008年7月24日
漏洞类型：欺骗
漏洞评估：重要
安全等级：三级
公开程度：公共

漏洞描述：
　　2008年7月9日以来，思科、微软、ISC等互联网域名解析服务软件厂商纷纷发布了安全公告，称其DNS软件存在高危漏洞，攻击者可以通过猜测DNS解析过程中的报文序列号来伪造DNS权威服务器的应答，从而达到“污染”高速缓存（Cache）中的记录的目的，即将错误的域名指向信息注入DNS服务器，最终导致受到污染的DNS服务器将对外提供错误的解析结果。该种攻击方式可造成域名劫持攻击，使得公众在不知情的情况下通过域名访问到黑客指定的网站，面临网络钓鱼和网页木马等一系列严重的安全威胁。
　　7月22日，针对该漏洞的探测程序被发布，7月23日，针对该漏洞的完整攻击程序被发布，并随后广泛流传。我中心经过初步测试后发现，在带宽良好情况下，该攻击程序对存在漏洞的DNS服务器只需数分钟就可完成攻击，受攻击目标会瞬时接到大量攻击报文，容易被误判为“query flood”方式的拒绝服务攻击。
　　鉴于该安全事件形势严峻且发展迅速，为确保我国互联网的运行安全，请各相关单位迅速采取适当措施，对所运行的DNS服务器进行必要的安全加固，并加强异常监测和处置。

建议措施：
1、根据相应厂商提供的补丁升级DNS服务器系统；
2、因在攻击过程中会短时出现大量伪造的域名解析响应数据包，呈现拒绝服务攻击特点，这些数据包的源IP、目的IP、解析的IP地址相同，但序列号不同，可据此在有条件的防护设备（如智能防火墙、流量清洗设备等）上配置相应的规则加以屏蔽或过滤；
3、定期清理DNS缓存或在发现异常访问后清理缓存。

参考信息：
http://www.cert.org.cn/servlet/SubChannelArticles?channel=bulletin&sub=1
http://www.kb.cert.org/vuls/id/800113
http://www.isc.org/sw/bind/bind-security.php
http://www.cisco.com/warp/public/707/cisco-sa-20080708-dns.shtml
http://www.microsoft.com/technet/security/bulletin/ms08-037.mspx

其他信息：
CVE编号：
首次发布日期：2008-7-24
修订次数：0

安全公告文档编写：
CNCERT/CC

    传统的防火墙是工作在链路层到传输层上的，网络吞吐量、每秒新建连接数是其最为核心的性能指标。首先我们要明确这两个概念。
什么是网络吞吐量？
    网络中的数据是由一个个数据包组成，防火墙对每个数据包的处理要耗费资源。防火墙在不丢包情况下能转发的最大网络数据包数量。网络吞吐量指标将直接影响网络整体性能。
什么是新建连接速率？
    防火墙在单位时间内所能建立的TCP/HTTP连接数量。 MySQL 电信级数据库己经达到了每分钟百万级事务处理能力（每秒16666个事务），防火墙的TCP/HTTP连接处理能力需要与应用系统相适应。以此推算，TCP每秒新建连接数应达到2万以上才能够满足关键业务系统的事务处理要求。
    针对防火墙的两大性能指标，我们对三种不同架构的系统做分析如下：
1、 基于ASIC架构防火墙的分析
    该类防火墙优点非常明显，其网络层面数据包转发能力非常强，此类产品最初是以Juniper产品为代表，其高端产品的网络吞吐量值确实较高，但其低端芯片处理能力并未令人满意。
    此类产品缺点也是非常明显的，硬件芯片不可更新是其先天的不足，另外，ASIC运算能力差是众所周知的，而新建连接数率、防火墙连接表的维护、策略匹配是依赖于此的，所以我们一般看到的Juniper产品每秒新建连接数相对其它产品要低很多。
2、 基于X86架构防火墙的分析
    该类防火墙与基于ASIC架构的防火墙相反，其优点在于有很强的运算能力，能够快速处理网络中新建连接的请求，同时快速维护防火墙的状态表，能够有效的抵御CC类的网络攻击。当然，缺点也非常明显，依赖总线架构使其整体网络处理能力差。目前流行的MIPS、ARM都属于RISC技术，从防火墙层面看是类似“X86”技术的替代品，RISC采用并行的处理方式，它使得防火墙的运算能力会有大幅的提升，在网络吞吐量层面也会有一定的提升。但总体主板系统结构大致类似X86架构，所以我还是把基于RISC的防火墙归类与“X86”架构的防火墙产品。
3、 基于混合架构的防火墙产品
    混合架构是指通过“传统CPU+网络处理芯片”相结合的方式，提升防火墙的运算及整机吞吐量，这种先进的架构也是网络安全业界所公认的。其最大的好处就是规避了X86及ASIC的不足，充分集合了两者的优势。
    随着RISC技术的快速发展，我们大胆预测，不久的未来“RISC+网络处理芯片”的防火墙将会以全新的面孔出现在网络安全市场中。
    对于以上三点分析，需要强调一点的就是，过去的ASIC是属于不可更改的芯片，而新一代的ASIC芯片都属于可以更改，重新烧录的芯片，流行的新一代ASIC芯片普遍是基于FPGA（现场可编程门阵列），未来的万兆防火墙将会以上千万等效门组合形成，这是防火墙硬件架构未来发展很好的方向。
    防火墙不同的硬件架构均有其不同的优缺点，但笔者认为，各类技术很难在短期内出现彼此取代的现象，毕竟X86架构防火墙是经过市场考验的，相对稳定的产品，而其它RISC、FPGA都属于新型硬件架构，在市场占有率上还远不及X86架构得产品，所以对于防火墙的选购，我们用户需要根据自有网络状况进行实际的分析，理性选择防火墙产品。
　

文：李军

      近日，为进一步增强信息网络安全从业人员的法律意识、安全意识，不断提高银行信息网络安全管理水平，保障银行业健康规范发展。山西省农业银行主办了一期专业的网络安全培训班，并邀请安全厂商对其相关网络安全管理人员进行系统培训。东软作为中国领先的网络安全产品及解决方案提供商，应邀承办一天的培训课程。

      东软网络安全资深咨询顾问侯小东出席会议，并在一天的会议中向山西省农银行用户介绍了目前主要使用的安全产品，包括防火墙、入侵检测系统、网络工具等产品的功能特性及使用技巧。同时对网络安全基础知识，东软对现在安全形式的理解均一一讲解。另外东软还结合山西省农行现有网络状况，提出后期安全产品的部署及解决方案。

      山西省农行技术人员表示，东软授课内容准备充分针对性很强，对参加培训的人员启发很大，不仅提高了网络技术人员安全认识和技术水平，同时对强化网络安全管理，防范网络安全风险也起到了积极的推进作用。