summarise the following information in short key points :


Most of the threats described above are termed program threats, because they attack
specific programs or are carried and distributed in programs. The threats in this section
attack the operating system or the network itself, or leverage those systems to launch
their attacks.
Worms

22

 A worm is processes that uses the fork / spawn process to make copies of itself in order to
wreak havoc on a system. Worms consume system resources, often blocking out other,
legitimate processes. Worms that propagate over networks can be especially problematic,
as they can tie up vast amounts of network resources and bring down large-scale systems.  One of the most well-known worms was launched by Robert Morris, a graduate student
at Cornell, in November 1988. Targeting Sun and VAX computers running BSD UNIX
version 4, the worm spanned the Internet in a matter of a few hours, and consumed
enough resources to bring down many systems.  This worm consisted of two parts:
1. A small program called a grappling hook, which was deposited on the target
system through one of three vulnerabilities, and
2. The main worm program, which was transferred onto the target system and
launched by the grappling hook program.

Figure - The Morris Internet worm.  The three vulnerabilities exploited by the Morris Internet worm were as follows:
1. rsh ( remote shell ) is a utility that was in common use at that time for accessing
remote systems without having to provide a password. If a user had an account on
two different computers ( with the same account name on both systems ), then the
system could be configured to allow that user to remotely connect from one
system to the other without having to provide a password. Many systems were
configured so that any user ( except root ) on system A could access the same
account on system B without providing a password.

23

2. finger is a utility that allows one to remotely query a user database, to find the
true name and other information for a given account name on a given system. For
example "finger joeUser@somemachine.edu" would access the finger daemon at
somemachine.edu and return information regarding joeUser. Unfortunately the
finger daemon ( which ran with system privileges ) had the buffer overflow
problem, so by sending a special 536-character user name the worm was able to
fork a shell on the remote system running with root privileges.
3. sendmail is a routine for sending and forwarding mail that also included a
debugging option for verifying and testing the system. The debug feature was
convenient for administrators, and was often left turned on. The Morris worm
exploited the debugger to mail and execute a copy of the grappling hook program
on the remote system.  Once in place, the worm undertook systematic attacks to discover user passwords:
1. First it would check for accounts for which the account name and the password
were the same, such as "guest", "guest".
2. Then it would try an internal dictionary of 432 favorite password choices. ( I'm
sure "password", "pass", and blank passwords were all on the list. )
3. Finally it would try every word in the standard UNIX on-line dictionary to try and
break into user accounts.  Once it had gotten access to one or more user accounts, then it would attempt to use those
accounts to rsh to other systems, and continue the process.  With each new access the worm would check for already running copies of itself, and 6
out of 7 times if it found one it would stop. ( The seventh was to prevent the worm from
being stopped by fake copies. )  Fortunately the same rapid network connectivity that allowed the worm to propagate so
quickly also quickly led to its demise - Within 24 hours remedies for stopping the worm
propagated through the Internet from administrator to administrator, and the worm was
quickly shut down.  There is some debate about whether Mr. Morris's actions were a harmless prank or
research project that got out of hand or a deliberate and malicious attack on the Internet.
However the court system convicted him, and penalized him heavy fines and court costs.  There have since been many other worm attacks, including the W32.Sobig.F@mm attack
which infected hundreds of thousands of computers and an estimated 1 in 17 e-mails in
August 2003. This worm made detection difficult by varying the subject line of the
infection-carrying mail message, including "Thank You!", "Your details", and "Re:
Approved".
Port Scanning
 Port Scanning is technically not an attack, but rather a search for vulnerabilities to
attack. The basic idea is to systematically attempt to connect to every known ( or
common or possible ) network port on some remote machine, and to attempt to make
contact. Once it is determined that a particular computer is listening to a particular port,
then the next step is to determine what daemon is listening, and whether or not it is a
version containing a known security flaw that can be exploited.

24

 Because port scanning is easily detected and traced, it is usually launched from zombie
systems, i.e. previously hacked systems that are being used without the knowledge or
permission of their rightful owner. For this reason it is important to protect "innocuous"
systems and accounts as well as those that contain sensitive information or special
privileges.  There are also port scanners available that administrators can use to check their own
systems, which report any weaknesses found but which do not exploit the weaknesses or
cause any problems. Two such systems are nmap ( http://www.insecure.org/nmap )
and nessus ( http://www.nessus.org ). The former identifies what OS is found, what
firewalls are in place, and what services are listening to what ports. The latter also
contains a database of known security holes, and identifies any that it finds.
Denial of Service
 Denial of Service ( DOS ) attacks do not attempt to actually access or damage systems,
but merely to clog them up so badly that they cannot be used for any useful work. Tight
loops that repeatedly request system services are an obvious form of this attack.  DOS attacks can also involve social engineering, such as the Internet chain letters that
say "send this immediately to 10 of your friends, and then go to a certain URL", which
clogs up not only the Internet mail system but also the web server to which everyone is
directed. (Note: Sending a "reply all" to such a message notifying everyone that it was
just a hoax also clogs up the Internet mail service, just as effectively as if you had
forwarded the thing.)  Security systems that lock accounts after a certain number of failed login attempts are
subject to DOS attacks which repeatedly attempt logins to all accounts with invalid
passwords strictly in order to lock up all accounts.  Sometimes DOS is not the result of deliberate maliciousness.
다음 정보를 짧은 요점으로 요약하면 다음과 같습니다.위에서 설명한 대부분의 위협은 특정 프로그램을 공격하거나 프로그램에서 운반 및 배포되기 때문에특정 프로그램을 공격하거나 프로그램에서 운반 및 배포되기 때문입니다. 이 섹션의 위협은 다음과 같습니다.운영 체제 또는 네트워크 자체를 공격하거나 이러한 시스템을 활용하여 공격을 시작합니다.공격합니다.웜22 웜은 포크/스폰 프로세스를 사용하여 자신의 복사본을 만드는 프로세스로서시스템을 혼란에 빠뜨리는 프로세스입니다. 웜은 시스템 리소스를 소모하여 다른 합법적인 프로세스를 차단하는 경우가 많습니다,시스템 리소스를 소비합니다. 네트워크를 통해 전파되는 웜은 특히 문제가 될 수 있습니다,방대한 양의 네트워크 리소스를 묶어 대규모 시스템을 다운시킬 수 있기 때문입니다.  가장 잘 알려진 웜 중 하나는 1988년 11월 코넬대학교 대학원생인 로버트 모리스가1988년 11월에 시작되었습니다. BSD UNIX를 실행하는 Sun 및 VAX 컴퓨터를 대상으로 하는 이 웜은버전 4를 실행하는 Sun 및 VAX 컴퓨터를 표적으로 삼은 이 웜은 몇 시간 만에 인터넷에 퍼져 많은 시스템을 다운시킬 수 있는많은 시스템을 다운시키기에 충분한 리소스를 소비했습니다.  이 웜은 두 부분으로 구성되었습니다:1. 그래플링 후크라고 불리는 작은 프로그램이 대상 시스템에 설치되었습니다.시스템에 설치되는 작은 프로그램과2. 메인 웜 프로그램으로, 표적 시스템으로 전송되고그래플링 후크 프로그램에 의해 실행됩니다.그림 - 모리스 인터넷 웜.  모리스 인터넷 웜이 악용한 세 가지 취약점은 다음과 같습니다:1. rsh(원격 셸)는 비밀번호를 제공하지 않고도 원격 시스템에 액세스하기 위해 당시 일반적으로 사용되던 유틸리티입니다.원격 시스템에 액세스하는 데 일반적으로 사용되는 유틸리티입니다. 사용자가 계정이 있는 경우두 대의 다른 컴퓨터(두 시스템 모두에 동일한 계정 이름을 사용)에 계정이 있다면사용자가 한 시스템에서 다른 시스템으로 원격으로 연결할 수 있도록 시스템을 구성할 수 있습니다.시스템에서 다른 시스템으로 원격 연결할 수 있도록 시스템을 구성할 수 있습니다. 많은 시스템이시스템 A의 모든 사용자(루트 제외)가 시스템 B의 동일한 계정에 액세스할 수 있도록 구성되었습니다.계정에 비밀번호를 제공하지 않고도 액세스할 수 있도록 구성되었습니다.23핑거는 사용자 데이터베이스를 원격으로 쿼리하여 특정 계정에 대한지정된 시스템에서 지정된 계정 이름의 실제 이름 및 기타 정보를 찾을 수 있는 유틸리티입니다. 예를 들어예를 들어 "finger joeUser@somemachine.edu"는 손가락 데몬에 액세스하여에서 핑거 데몬에 액세스하여 joeUser에 관한 정보를 반환합니다. 안타깝게도핑거 데몬(시스템 권한으로 실행됨)은 버퍼 오버플로문제가 있었기 때문에, 웜은 536자의 특수한 사용자 이름을 전송하여루트 권한으로 실행되는 원격 시스템에서 셸을 포크할 수 있었습니다.3. sendmail은 메일을 보내고 전달하는 루틴으로, 메일을 확인하고 전달하기 위한디버깅 옵션이 포함된 메일을 보내고 전달하는 루틴입니다. 디버그 기능은관리자에게 편리했으며, 종종 켜져 있는 경우가 많았습니다. 모리스 웜은 디버거를 악용하여 원격 시스템에서 그래플링 후크 프로그램의 사본을 메일로 전송하고 실행했습니다.의 복사본을 메일로 전송하고 실행했습니다.  일단 자리를 잡은 웜은 사용자 비밀번호를 알아내기 위해 체계적인 공격을 수행했습니다:1. 먼저 계정 이름과 비밀번호가 동일한 계정을 확인합니다."guest", "guest"와 같이 동일한 계정을 확인합니다.2. 그런 다음 내부 사전에서 자주 사용하는 비밀번호 432개를 검색합니다. ("비밀번호", "패스", 빈 비밀번호가 모두 목록에 있었을 것입니다. )3. 마지막으로 표준 UNIX 온라인 사전에 있는 모든 단어를 시도하여사용자 계정에 침입했습니다.  일단 하나 이상의 사용자 계정에 접근하면, 그 다음에는 그 계정을 사용하여계정을 사용하여 다른 시스템으로 rsh를 시도하고 프로세스를 계속 진행합니다.  새로운 액세스가 있을 때마다 웜은 이미 실행 중인 자신의 복사본이 있는지 확인하고, 67번 중 6번은 이미 실행 중인 복사본을 발견하면 중지합니다. (일곱 번째는 웜이 가짜 복사본에 의해 중지되는 것을 방지하는 것입니다.웜이 중지되는 것을 방지하는 것이었습니다. )  다행히도 웜이 그렇게 빠르게 전파될 수 있었던 것과 동일한 빠른 네트워크 연결이웜을 빠르게 전파 할 수있게 해준 것과 동일한 빠른 네트워크 연결은 또한 빠르게 종말을 가져 왔습니다 - 24 시간 이내에 웜을 중지하기위한 구제책웜은 인터넷을 통해 관리자에서 관리자로 전파되었으며, 웜은빠르게 종료되었습니다.  모리스 씨의 행동이 무해한 장난인지 아니면아니면 인터넷에 대한 고의적이고 악의적인 공격인지에 대한 논란이 있습니다.그러나 법원은 그에게 유죄 판결을 내리고 무거운 벌금과 법정 비용을 부과했습니다.  그 이후에도 수십만 대의 컴퓨터를 감염시킨 W32.Sobig.F@mm 공격2003년 8월에 수십만 대의 컴퓨터와 이메일 17개 중 1개에 감염된 것으로 추정되는2003년 8월. 이 웜은 감염 메일 메시지의 제목을 다양하게 변경하여 탐지를 어렵게 만들었습니다."감사합니다!", "귀하의 세부 정보", "다시 승인됨" 등 감염을 유발하는 메일 메시지의 제목을 다양하게 변경하여 탐지를 어렵게 만들었습니다:승인됨" 등으로 제목을 변경했습니다.포트 스캐닝 포트 스캐닝은 기술적으로 공격이 아니라 취약점을 검색하는 것입니다.공격. 기본 아이디어는 알려진 모든 네트워크 포트에 체계적으로 연결을 시도하는 것입니다.일반적이거나 가능한) 원격 컴퓨터의 모든 네트워크 포트에 체계적으로 연결을 시도하여접촉하는 것입니다. 특정 컴퓨터가 특정 포트를 수신하고 있다는 것이 확인되면,다음 단계는 어떤 데몬이 수신 대기 중인지, 그리고 그 데몬이 알려진 보안 결함이 있는알려진 보안 결함이 있는 버전인지