從網(wǎng)絡級別阻止訪問
如果你不能對上述注冊表進行修改，那么你可以通過windows防火墻或者網(wǎng)絡防火墻阻止空會話攻擊，這可以通過組織與NetBIOS和SMB TCP/IP有關的端口來實現(xiàn)，這些端口包括：
· TCP Port 135
· UDP Port 137
· UDP Port 138
· TCP Port 139
· TCP和 UDP Port 445
這些端口用于windows的各種網(wǎng)絡功能，包括文件共享，網(wǎng)絡打印功能、集群和遠程管理等。話雖如此，在關閉這些端口之前應該進行全面的測試，以確保系統(tǒng)正常運行。
使用IDS識別空會話
如果上述注冊表修改或者防火墻政策破壞了網(wǎng)絡應用程序的功能性，那么你必須將防御工作調整為被動方式，而不是主動方式。除了阻止空會話枚舉之外，最后的希望就是在發(fā)生枚舉的時候我們能夠阻止它。
如果你正在使用Snort，也就是現(xiàn)在最常用的IDS，那么進行以下操作就可以檢測所有空會話枚舉：
alert tcp $EXTERNAL_NET any -> $HOME_NET 139 (msg:”NETBIOS NT NULL session”; flow:to_server.establshed;
content: ‘|00 00 00 00 57 00 69 00 6E 00 64 00 6F 00 77 00 73 00 20 00 4E 00 54 00 20 00 31 00 33 00 38 00 31|’; classtype:attempted-recon;)
這不能夠阻止空會話枚舉的發(fā)生，但是會提醒你枚舉的發(fā)生，從而采取適當行動。
總結
空會話攻擊概念并不是新的攻擊方式，但是卻常常被忘記和誤解。這種方式對于攻擊者而言，仍然是非�？尚械墓舨呗�，了解空會話攻擊的方式是系統(tǒng)管理員的必修課。
相關閱讀