服務(wù)器安全方案-文庫吧在線文庫

　　

【正文】 通過設(shè)置適當?shù)腒eepalive 時間減少被攻擊的可能 32 防止 SYN Flood 攻擊 : HKLM\System\CurrentControlSet\ Services\Tcpip\Parameters\SynAttackProtect (REG_DWORD) 2 否 建議創(chuàng)建并設(shè)置 SynAttackProtect鍵值為 2 該項影響 ：防止 SYN Flood 攻擊 33 SYN攻擊保護 管理 TCP半開 sockets的最大數(shù)目 : HKLM\System\CurrentControlSet\Services\Tcpip\Parameters\ TcpMaxHalfOpen (REG_DWORD) 100 或 500 否 建議創(chuàng)建并設(shè)置TcpMaxHalfOpen 鍵值為 100 或500 該項影響 ：防止 SYN 攻擊 關(guān)閉的服務(wù) 34 Alerter – 禁止 否 建議禁用該服務(wù) 該項影響 ： 關(guān)閉警報服務(wù)，使用 NetAlertRaise 或 NetAlertRaiseEx 應(yīng)用程序編程接口 (API) 的應(yīng)用程序?qū)o法利用 Messenger 服務(wù)的消息框向用戶或計算機通知管理警報。 用戶組 客戶端訪問 設(shè)備 ，主要的安全 級別 ： ? 超級用戶 superuser：具有對所有網(wǎng)絡(luò)設(shè)備登錄和配置任何命令的權(quán)限； ? 用戶組 1usergroup1：資深維護人員，能夠訪問納 入本平臺管理的所有網(wǎng)絡(luò)設(shè)備，對于普通網(wǎng)絡(luò)設(shè)備，具有較高的配置權(quán)限，對于關(guān)鍵網(wǎng)絡(luò)設(shè)備，具有查看狀態(tài)和極少的配置權(quán)限； ? 用戶組 2usergroup2：一般維護人員，對于和其工作職責(zé)所關(guān)聯(lián)的網(wǎng)絡(luò)設(shè)備，具有查看狀態(tài)和極少的配置權(quán)限； 設(shè)備組 所有需要管理的網(wǎng)絡(luò)設(shè)備分為二個組： ? 關(guān)鍵設(shè)備組一－ coredevice ? 關(guān)鍵設(shè)備組二－ accessdevice 具體設(shè)備組分類表： 設(shè)備組 設(shè)備名 用途 設(shè)備位置 關(guān)鍵設(shè)備組一 SHDC_CORE_SW_01 核心區(qū)交換機 1 CORE 區(qū)域 關(guān)鍵設(shè)備組一 SHDC_CORE_SW_02 核心區(qū)交換機 2 CORE 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ APP1_SW_01 應(yīng)用一區(qū) 匯聚交換機 1 APP1 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ APP1_SW_02 應(yīng)用一區(qū) 匯聚交換機 2 APP1 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ APP1_FW_01 應(yīng)用一區(qū)域防火墻 １ APP1 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ APP1_FW_02 應(yīng)用一區(qū)域防火墻 2 APP1 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ APP2_SW_01 應(yīng)用二區(qū) 域匯聚交換機 1 APP2 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ APP2_SW_02 應(yīng)用二區(qū) 域匯聚交換機 2 APP2 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ APP2_FW_01 應(yīng)用二區(qū)域防火墻 1 APP2 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ APP2_FW_02 應(yīng)用二區(qū)域防火墻 2 APP2 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ FRT1_SW_01 前置一 區(qū)域匯聚交換機 1 FRT1 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ FRT1_SW_02 前置一區(qū) 域匯聚交換機 2 FRT1 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ FRT1_LB_01 前置一區(qū) 域 負載均衡 1 FRT1 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ FRT1_LB_02 前置一區(qū) 域 負載均衡 2 FRT1 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ FRT1_FW_01 前置一 區(qū)域 防火墻 1 FRT1 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ FRT1_FW_02 前置一區(qū) 域 防火墻 2 FRT1 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ FRT2_SW_01 前置二 區(qū)域匯聚交換機 1 FRT2 區(qū)域 關(guān)鍵設(shè)備組二 FRT2 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ FRT2_LB_01 前置二區(qū) 域 負載均衡 1 FRT2 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ FRT2_LB_02 前置二區(qū) 域 負載均衡 2 FRT2 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ FRT2_FW_01 前置二 區(qū)域 防火墻 1 FRT2 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ FRT2_FW_02 前置二 區(qū)域 防火墻 1 FRT2 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_DB_SW_01 數(shù)據(jù)庫區(qū) 域匯聚交換機 1 DB 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_DB_SW_02 數(shù)據(jù)庫區(qū) 域匯聚交換機 2 DB 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_DB_FW_01 數(shù)據(jù)庫區(qū) 域 防火墻 1 DB 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_DB_FW_02 數(shù)據(jù)庫區(qū) 域 防火墻 2 DB 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_OM_SW_01 運行管理區(qū) 域匯聚交換機 1 OM 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_OM_FW_01 運行管理區(qū) 域 防火墻 1 OM 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ECN_SW_01 外聯(lián)接入?yún)^(qū) 域匯聚交換機 1 ECN 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ECN_SW_02 外聯(lián)接入?yún)^(qū) 域匯聚交換機 2 ECN 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ECN_FW_01 外聯(lián)接入?yún)^(qū) 域 防火墻 1 ECN 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ECN_FW_02 外聯(lián)接入?yún)^(qū) 域 防火墻 2 ECN 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ICN_SW_01 內(nèi)聯(lián)接入?yún)^(qū) 域匯聚交換 機 1 ICN 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ICN_SW_02 內(nèi)聯(lián)接入?yún)^(qū) 域匯聚交換機 2 ICN 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ICN_RT_01 遠程數(shù)據(jù)中心接入?yún)^(qū)域 ASR 路由器 1 ICN 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ICN_RT_02 遠程數(shù)據(jù)中心接入?yún)^(qū)域 ASR 路由器 2 ICN 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ICN_RT_03 系統(tǒng)遠程管理通道區(qū)域路由器 1 ICN 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ICN_RT_04 CCPC 子區(qū)域路由器 1 ICN 區(qū)域 關(guān)鍵設(shè)備組二 SHDC_ICN_RT_05 CCPC 子區(qū)域路由器 2 ICN 區(qū)域 圖表 40 ACS 設(shè)備組分類表 命令組 對網(wǎng)絡(luò)設(shè)備進行管理的命令級別分為三個組，分別為： level1level level5。對于支持TACACS＋的設(shè)備，則由 ACS 再對其進行命令集和訪問設(shè)備的指定，保證特定的用戶獲得訪問特定設(shè)備和具有特定權(quán)限 的目的； ? 開啟 ACS 的 account 信息，對相關(guān)的操作進行審計。 在 生產(chǎn) 區(qū)的網(wǎng)絡(luò)設(shè)備上，根據(jù)網(wǎng)絡(luò)設(shè)備自身安全策略設(shè)計，配置相應(yīng)的安全管理命令。僅對應(yīng)用系統(tǒng)類別 IP 地址段進行限制。不限制源 IP 地址，限制目標的 ip 地址集、端口。 ? 在 內(nèi)聯(lián)接入 區(qū)的 互 聯(lián)路由器廣域網(wǎng)端口上， ACL 單向部署，控制這些端口出（ out）和入（ in）的流量。 根據(jù)應(yīng)用系統(tǒng)內(nèi)部三層架構(gòu)和應(yīng)用系統(tǒng)之間關(guān)系，制定了應(yīng)用系統(tǒng)之間的安全訪問規(guī)則。達到了一定程度的物理安全性。 安全分析 在本次項目中， 上海中心 局域網(wǎng)內(nèi)的安全威脅分析基于： ? 網(wǎng)絡(luò)基礎(chǔ)拓撲架構(gòu)在邏輯上分成了 5 個功能區(qū) ? 服務(wù)器區(qū)各應(yīng)用系統(tǒng)服務(wù)器按功能分為三層結(jié)構(gòu) ? 應(yīng)用系統(tǒng)訪問關(guān)系 應(yīng)用系統(tǒng)服務(wù)器按應(yīng)用類型被分為業(yè)務(wù)展現(xiàn)層（ Web 層），應(yīng)用 /業(yè)務(wù)邏輯層（ AP 層）和數(shù)據(jù)庫層（ DB 層）。在網(wǎng)絡(luò)中應(yīng)用 ACL，能夠達到這樣一些目的： ? 阻斷網(wǎng)絡(luò)中的異常流量 ? 應(yīng)用系統(tǒng)間訪問控制 ? SNMP 網(wǎng)管工作站控制 ? 設(shè)備本身防護 專用的硬件防火墻，是網(wǎng)絡(luò)中重要的安全設(shè)備，為網(wǎng)絡(luò)提供快速、安全的保護。安全控制設(shè)計如下： ? 在服務(wù)器區(qū)邊界部署專用硬件防火墻，防火墻采用雙機主備 工作模式，保障系統(tǒng)可靠性； ? 在防火墻上部署嚴格的安全控制策略，對數(shù)據(jù)流執(zhí)行雙向控制； ? 確定客戶端和服務(wù)器之間的訪問規(guī)則，部署在服務(wù)器區(qū)邊界防火墻上。 分區(qū)安全策略的部署 核心區(qū)作為 中心 局域網(wǎng)高速交換區(qū)，不做過多的安全策略，只要求部署交換機 自我保護策略。 ? 管理類客戶端能訪問 Inter。 預(yù)防惡意代碼 服務(wù)器區(qū)不做惡意代碼防