安全扫描是网络安全防御中的一项重要技术，其原理是采用仿真黑客入侵的手法去测试系统上有没有安全上的漏洞，对目标可能存在的已知安全漏洞进行 逐项检查。目标可以是工作站、服务器、交换机、数据库应用等各种对象。然后根据扫描结果向系统管理员提供周密可靠的安全性分析报告。

　　扫描器基本上包含以下三个类型：

　　端口扫描工具，如端口扫描器NMAP等，它不仅能检测操作系统类型，也支持隐蔽性扫描。但不能检测系统漏洞。

　　漏洞扫描工具，如Web脆弱性扫描器Whisker2.0版。该工具检测已知的基于web技术的安全漏洞，如CGI、ASP等。新版本包括内置的SSL支持，易用性增强。

　　最后一类则是企业级的分布式安全检测评估系统，如CNNS Scanner。它能从浏览器直接提交请求，实现多扫描用户权限管理。最终得出的安全报告能协助系统管理员了解系统上的安全漏洞以及如何去修补这些漏洞，并能提供本地下载的升级程序或补丁。

　　要避免恶意用户威胁系统，我们必须：

　　1、通过关闭所有比必要的服务和安装系统补丁加固系统；

　　2、保持对最新补丁和安全公告的追踪，下载补丁后要在实验环境进行测试，测试完以后正式安装在主机上。

　　3、用黑客的角度审视系统的安全脆弱性，通过端口扫描器和脆弱性扫描器定期对系统进行检测，至少每月一次。

　　Sniffer

　　在最近几年，网络监听(sniffer)技术出现了新的重要特征。传统的sniffer技术是被动地监听网络通信、用户名和口令。而新的 sniffer技术出现了主动地控制通信数据的特点，把sniffer技术扩展到了一个新的领域。Dug Song写的Dsniff的工具是第一批扩展了传统的sniffer概念的监听工具。Dsniff制造数据包注入到网络，并将通信数据重定向到攻击者的机 器。在这种方式下，Dsniff允许攻击者在交换环境的网络内窃听数据，甚至在攻击者和攻击目标不在同一个Lan(局域网)的情况下，也能使攻击者收集到 他想要的数据。

　　为在交换环境下实现sniff，Dsniff是通过对ARP缓存进行改写重定向通信数据包，它改写了目标机器上的IP地址->Mac地址 的映射，因此数据包将经由交换机发往监听者的机器。此外，攻击者还可以通过DNS欺骗、IP/名字欺骗等方式跨越局域网重定向通信数据包。Dsniff还 包含了一个面向SSH和SSL的”中间人”攻击工具包。

　　很明显，对于象Dsniff这样的主动监听工具，简单地采用交换机来防止监听已经不够了。要防止ARP缓存改写，必须对敏感网络中所有主机的 ARP缓存表进行硬编码，这些主机包括在线网站、DNS和Mail服务器、防火墙和DMZ路由器等。另外还应该用Ipsec、VPN和其它的加密技术来保 护敏感信息，如果要远程管理系统，建议用SSH-2或者更新的版本(SSH-1存在”中间人攻击”的风险)。
 
　　无线Sniffer是 威胁无线网络安全性的强有力工具。无线网络常用的WEP(Wired Equivalent Privacy)加密手段，安全性非常脆弱。攻击者只要一个装有类似NetStumbler的膝上型电脑和一根廉价的天线，并使用类似Airsnort或 者基于java的Mognet等无线sniffer工具，就可以截获无线网络的通信数据。随后攻击者还可以使用Airsnort对WEP的解密功能对信息 进行解密。在监听数百万个无线网络连接的数据包后，Airsnort就能确定用于保护用户数据的密钥。

　　要想防止对WLAN的监听攻击，可以启用一些安全策略，考虑采用无线VPN产品增强认证和加密功能。