有意思：招行信用卡网站被 Norton 防火墙“封杀”


时间：2007年6月14日23:48:19

－详细说明： 检测到并禁止了针对您计算机的攻击企图
“MSSQL_Null_Packet_DoS”
入侵者： creditcard.cmbchina.com(xxx.xxx.xxx.xxx)(http(80))
风险级别： 低
协议： TCP
受攻击的 IP： xxx.xxx.xxx.xxx。（注：为了保护隐私，此处略去本人的IP地址。）
受攻击的端口： ms-sql-s(1433)

单击该地址以跟踪攻击者
有关该攻击的详情，请参见Symantec 安全响应中心

详细说明： creditcard.cmbchina.com(xxx.xxx.xxx.xxx) 将被禁止在 30 分钟内
对您的计算机进行继续访问。
单击该地址以跟踪攻击者
有关该攻击的详细信息，请参见Symantec 安全响应中心

于是真的无法访问招行信用卡网站了。只好打开防火墙“设置”，对该网站进行“解禁”操作，终于可以正常访问了。

我的 Norton Internet Security 经过比较严格的设置，改掉了一些默认设置选项。这都是为了安全起见。但以往访问招行信用卡网站都很正常（我经常上creditcard.cmbchina.com）。

另外，考虑到最近猖獗的“网银大盗”，用升级过的 Norton Anti-Virus 的病毒定义库对系统进行了全面扫描，没有发现病毒。打开 Windows Registry 进行检查，也未发现异常。

真有意思，还是{dy}次遇到这种情况（信用卡网站被防火墙“封杀”）。可能纯属偶然错判吧。;)

[ Last edited by mr.chenlei on 2007-6-15 at 00:40 ]
--------------------------------------------------------------------


QUOTE:Originally posted by mr.chenlei at 2007-6-15 00:33:
时间：2007年6月14日23:48:19

－详细说明： 检测到并禁止了针对您计算机的攻击企图
“MSSQL_Null_Packet_DoS”
入侵者： creditcard.cmbchina.com(218.17.246.171)(http(80))
风险级别： 低
协议： TCP
受 ... 呵呵，招行被当成“不良网站”遭“封杀”了。
--------------------------------------------------------------------
个人级别的防火墙常常很白痴。

一个TCP连接里传输的数据是双向的，既有本机到远程的请求，也有远程到本机的回应。一般情况下，建立一个对外连接的时候，这条连接在本机的端口是系统自动产生的。譬如，本机 somewhere.adoal.net 连接远程服务器 creditcard.cmbchina.com:443 的时候，系统自动分配了一个端口号9999，那么这个连接就是(somewhere.adoal.net, 9999)-(creditcard.cmbchina.com, 443)，因此从(creditcard.cmbchina.com, 443)发向(somewhere.adoal.net, 9999)的数据就是安全的。但是，从(creditcard.cmbchina.com, 444)发向(somewhere.adoal.net, 9999)，或者从(mybank.icbc.com.cn, 443)发向(somewhere.adoal.net, 9999)的数据并不安全，因为这些数据的发送不在已经建立的连接上。

因此，一个设计良好的防火墙应该可以识别这种已经建立好的连接（是安全的），把它跟外部主动发起到本机的连接（是可能危险的）区别开。在这个例子里，NIS认为本机的1433端口（MS SQL Server的默认端口）是高风险服务，拒绝从外向这个端口发送数据，这就是错判。事实上本机并没有安装SQL Server，这个端口是向外建立连接的时候偶然被系统选中的，并非攻击。

我很少在个人机上用防火墙，不清楚NIS可不可以识别已经建立的连接。如果有的话，让它放过这一类连接上的数据就可以了。反正服务器上用的专业防火墙软件是可以这样设置的。
--------------------------------------------------------------------


QUOTE:Originally posted by adoal at 2007-6-15 02:09:
个人级别的防火墙常常很白痴。

一个TCP连接里传输的数据是双向的，既有本机到远程的请求，也有远程到本机的回应。一般情况下，建立一个对外连接的时候，这条连接在本机的端口是系统自动产生的。譬如，本机 som ... 我的机器的确没有装 SQL Server 之类的软件；这的确是误判。

象美国 PC Magazine 一类的专业杂志一般都把 Symantec 的 NAV 杀毒软件吹捧为{zg}的，而实际上象Kaspersky Anti-Virus 之类的软件功能都比 NAV 要全面。 NIS 的防火墙即使在个人防火墙产品中也不是{zh0}的，最近还出现过两次漏洞。它之所以流行，主要是因为其简单、易用。就象美国的另一个产品 Windows 在个人 OS 中虽不是{zh0}的，但{zlx}。

至于我嘛，反正不是专业人员，家庭电脑也没什么重要的东西，只是用它提供基本保护罢了。只要别用其默认的设置，安全系数就会稍稍提高一点。

[ Last edited by mr.chenlei on 2007-6-15 at 03:46 ]
--------------------------------------------------------------------
还有这样的事呀，呵呵。能否提示一下怎样修改NIS默认的参数以使系统xxx一些。俺用的是NIS2007中文版。;)
--------------------------------------------------------------------


QUOTE:Originally posted by cosine at 2007-6-15 10:08:
还有这样的事呀，呵呵。能否提示一下怎样修改NIS默认的参数以使系统xxx一些。俺用的是NIS2007中文版。;) 也简单，我是这么做的：

1. 关掉平时根本用不到的端口；

2. 由于我有时将单位的活儿拿回家里干，所以就把 MS Office 程序如 Word、Excel  等的网络访问权限关掉或加以限制（由“自动”改为“自定义”）；

3. 根据需要，将安全警报级别适当提高；

4. 我是CMB PB4.2 网银专业版的用户，用的不是网页链接版，而是下载版。于是单独定义该程序出站、入站的规则。

我能想到的就这些了。可能你已经都想到了吧。能否交流一下您的经验？