偷偷摘套内射激情视频,久久精品99国产国产精,中文字幕无线乱码人妻,中文在线中文a,性爽19p

對企業(yè)來說 UPnP安全嗎?

安全
通用隨插即用(UPnP)協(xié)議是終端用戶最常用的,但也是經(jīng)常被忽視的。以前人們認為UPnP帶來很多便利,而非安全威脅,但現(xiàn)在還是這樣么?

就像照明開關(guān)或者ON按鈕,通用隨插即用(Universal Plug and Play,UPnP)協(xié)議是終端用戶在網(wǎng)絡(luò)設(shè)備日常使用中最常用的,但也是經(jīng)常被忽視的。與廣義的即插即用不同,UPnP允許網(wǎng)絡(luò)設(shè)備通過IP相互連接,而不需要終端用戶的任何配置。例如,當用戶插入一臺計算機到以太網(wǎng)LAN,UPnP是最有可能用于設(shè)備發(fā)現(xiàn)的協(xié)議。

簡單地把設(shè)備插入,不需要終端用戶進行任何配置就可以讓它正常運作,這能給終端用戶帶來更好的體驗。然而,UPnP協(xié)議最大的優(yōu)勢可能也是其最大的弱點。漏洞管理供應(yīng)商Rapid7的研究人員發(fā)現(xiàn),數(shù)百萬終端用戶設(shè)備會響應(yīng)來自互聯(lián)網(wǎng)的UPnP發(fā)現(xiàn)請求,這個簡單而深刻的發(fā)現(xiàn)提高了人們對UPnP安全風(fēng)險的認識。所以對企業(yè)來說,UPnP安全嗎?

UPnP安全風(fēng)險

通常情況下,UPnP是結(jié)合動態(tài)主機配置協(xié)議(DHCP)服務(wù)器使用,雖然它并不一定需要這個服務(wù)器。在DHCP為中心的架構(gòu)中,終端用戶可能通過任何網(wǎng)絡(luò)允許的媒介插入設(shè)備,如果該終端設(shè)備啟用了DHCP,該設(shè)備將會立即廣播簡單服務(wù)發(fā)現(xiàn)協(xié)議消息,以定位DHCP服務(wù)器。

如果DHCP服務(wù)器被找到,將會進行信息交換,終端設(shè)備將分配一個IP地址。如果DHCP沒有被找到,終端設(shè)備通常會被配置為允許它自動配置IP地址,但不能與網(wǎng)絡(luò)上同樣也是自動配置IP地址的其他設(shè)備相沖突。

當來自互聯(lián)網(wǎng)的合法應(yīng)用程序試圖進入某個的網(wǎng)絡(luò)時,UPnP提供端口映射功能,允許這些設(shè)備在防火墻穿過網(wǎng)絡(luò)地址轉(zhuǎn)換機制。這通常在簡單對象訪問協(xié)議(SOAP)保護下進行,UPnP這個基于 XML 的協(xié)議與HTTP消息結(jié)合使用毫無問題。以前人們認為UPnP帶來很多便利,而不是漏洞, 然而Rapid7對該功能進行了研究,其研究結(jié)果引起安全專業(yè)人士的恐慌。這種恐慌主要圍繞兩個主要問題。

首先, HTTP消息幾乎都是通過TCP端口80來交換。在企業(yè)級的防火墻通常會允許端口80的網(wǎng)絡(luò)流量,原因在于大多數(shù)連接互聯(lián)網(wǎng)的企業(yè)網(wǎng)絡(luò)都有某種Web服務(wù)器可供公眾訪問,所以TCP端口80通常是開放的。

其次,UPnP不是特定供應(yīng)商的協(xié)議,所以,任何修復(fù)程序、緩解或者更新不是來自某個集中存儲庫而隨后推送到終端用戶處。這些修復(fù)程序?qū)⒂刹煌?yīng)商發(fā)布,但在向后兼容性、跨平臺功能和整體功能等問題上,很少有人去解決。

這看起來很棘手。從企業(yè)的角度來看,明智的網(wǎng)絡(luò)管理員應(yīng)該在可行的情況下,禁用所有UPnP功能。除非管理員的網(wǎng)絡(luò)要使用網(wǎng)絡(luò)電話(VoIP )或其他需要端口轉(zhuǎn)發(fā)的服務(wù)(例如網(wǎng)絡(luò)地址轉(zhuǎn)換、SSH通道等),否則都應(yīng)該禁用UPnP來避免不必要的風(fēng)險,直到在網(wǎng)絡(luò)和IT安全行業(yè)的巨頭合作提出可行解決辦法。

責(zé)任編輯:藍雨淚 來源: TechTarget中國
相關(guān)推薦

2010-05-15 15:13:59

2016-12-01 16:12:02

自行加密云計算

2019-10-21 15:52:19

網(wǎng)絡(luò)安全技術(shù)安全

2015-09-01 10:05:17

OpenStackDocker

2019-08-06 07:17:37

2010-11-23 09:01:09

Public DNSDNSGoogle

2013-01-07 09:16:21

云計算SaaS工程堆棧

2014-12-01 15:18:31

虛擬機DockerLinux

2022-09-22 14:49:37

智能建筑物聯(lián)網(wǎng)

2012-08-29 10:48:37

Windows 8操作系統(tǒng)

2023-06-05 07:10:00

編碼人工工具

2025-04-18 00:10:00

AI人工智能安全漏洞

2010-10-12 16:30:25

2011-03-15 15:11:52

2023-07-18 11:02:14

2018-04-12 16:15:13

CIO

2022-12-12 09:32:40

2009-04-26 01:12:04

2017-07-20 08:55:47

2023-09-20 16:21:42

點贊
收藏

51CTO技術(shù)棧公眾號