隐藏版本号会增加我的安全性吗?

信息安全 网络服务器
2021-09-03 01:40:36

我目前正在努力提高我们工作的安全性。这听起来很广泛,但是,例如,我正在渗透我们的系统并检查服务器是否容易受到某些漏洞的攻击。

例如,SMTP 给了我这个 telnet 结果:

220 [redacted] Microsoft ESMTP MAIL Service, Version: 7.5.7601.17514 ready at Mon, 10 Mar 2014 14:15:30 +0100

经过几个小时的搜索解决方案后,我找到了一种隐藏有关此服务器的详细信息的方法,结果如下:

220 [redacted] Ouch, sorry.. 404 - version not found.. Mon, 10 Mar 2014 14:15:57 +0100

似乎更安全,因为它不再显示版本号。我的问题是,这是否增加了我的服务器的安全性?或者它实际上并没有很大的不同,我应该忽略版本号作为安全漏洞吗?

隐藏 IIS 版本号是否有安全优势?

3个回答

如果这是您唯一的安全措施,这就是所谓的隐匿安全。

如果它是您唯一依赖的东西,那么默默无闻的安全性是不好的。您的首要任务应该始终是首先确保该软件不可被利用。这意味着经常打补丁。也就是说,喊出您正在使用的软件的确切版本没有任何意义。如果隐藏版本号会使攻击者的生活更加艰难,那么一定要这样做。只要确保您不会产生错误的安全感,并且这不是您唯一要做的事情。

存在的任何版本号都是攻击者的即时标志。如果他们有版本号,他们可以研究该版本具有的漏洞。如果攻击者没有立即找到版本号,那么他们有时会使用其他方法(例如指纹识别)来发现版本。在你的位置上,我会说你至少通过减慢它们的速度来增加你的安全性。对于经验不足的攻击者,也许他们会在那时停止尝试,从而使您免受攻击。

作为邮件系统管理员,我认为显示主要版本号是谨慎的;很多次,我只通过研究主要版本的常见问题就解决了其他站点的可交付性问题,这消除了对远程站点的 Postmaster(s) 进行大量故障排除的需要。

实际上,这里的安全性好处是最小的(如前所述,通过默默无闻的安全性)。良好的补丁、适当的系统隔离、配置良好的防火墙和许多其他可以实施的最佳实践将使您的服务器更加安全,并使这种变化的任何好处(实际或感知)变得毫无意义。