日常用網絡安全技術(編輯修改稿)

　

【文章內容簡介】 的方式向遠程上網集中管理的方式發展； ?過濾深度不斷加強 ,從目前的地址 、 服務過濾 ， 發展到 URL（ 頁面 ） 過濾 ， 關鍵字過濾和對 Active X、 Java等的過濾 ， 并逐漸有病毒掃除功能 。 ?單向防火墻 （ 又叫網絡二極管 ） 將作為一種產品門類而出現 ； ?利用防火墻建立專用網 (VPN)是較長一段時間的用戶使用的主流 ， IP的加密需求越來越強 ， 安全協議的開發是一大熱點； ?對網絡攻擊的檢測和告警將成為防火墻的重要功能； ?安全管理工具不斷完善 ， 特別是可疑活動的日志分析工具等將成為防火墻產品中的一部分 。 對防火墻技術的展望： 幾點趨勢 Inter/ 公網 內部網 路由器 NEsec300 FW 2 0 3 5 9 6 8 ? 告 警 內網接口 外網接口 電 源 控制臺 服務器 服務器 服務器 主機 主機 內外網絡隔離 ? 截取 IP包，根據安全策略控制其進 /出 ? 雙向網絡地址轉換（ NAT） ? 基于一次性口令對移動訪問進行身份識別和控制 ? IPMAC捆綁，防止 IP地址的濫用 安全記錄 ? 通信事件記錄 ? 操作事件記錄 ? 違規事件記錄 ? 異常情況告警 移動用戶 撥號用戶 局域網用戶 常見防火墻部署模式 （內部地址） （內部地址） 路由器 HTTP服務器 DNS服務器 Email服務器 防火墻 DMZ區 （ Demilitarized Zone） 內部專用網絡 Inter DDN PSTN ATM ISDN X25 幀中繼 防火墻管理器 外部網絡 安裝方式之一 防火墻 防火墻管理工作站 分支機構 受保護局域網 防火墻 防火墻 資源子網 路由器 路由器 路由器 分支機構 受保護局域網 公共網絡 總部 路由器 路由器 安裝方式之二 安裝方式之三 防火墻－防火墻評測指標 防火墻評測指標 (1) ?對防火墻的評估通常包括對其功能、性能和可用性進行測試評估。 ?對防火墻性能的測試指標主要有 ? 吞吐量 ? 延遲 ? 幀丟失率 防火墻－防火墻評測指標 防火墻評測指標 (2) ?對防火墻的功能測試通常包含 ? 身份鑒別 ? 訪問控制策略及功能 ? 密碼支持 ? 審計 ? 管理 ? 對安全功能自身的保護 防火墻的日常運維管理 ?定期升級系統配置，關注廠商升級包。 ?分析系統各種告警日志信息，配置 SNMP、SYSLOG告警管理服務器進行統一管理。 ?規則策略應該定期進行必要的配置調整完善。 ?對于網絡中新增加的應用業務系統做好調研工作，了解實際 TCP端口的應用需求。 課程小結 ?防火墻章節重要在防火墻的功能高級應用 ?與管理維護部署 ， 重點突出了日常運維中 的各種常見問題總結與注意要點 。 防火墻的技術知識 漏洞掃描技術知識 議題整體介紹 漏洞掃描技術 ?掌握漏洞掃描相關概念 ?了解系統的脆弱性 ?掌握漏洞掃描的原理 ?掌握分析漏洞解決漏洞的方法 漏洞掃描概述 漏洞 源自 “ vulnerability”（脆弱性）。一般認為，漏洞是指硬件、軟件或策略上存在的的安全缺陷，從而使得攻擊者能夠在未授權的情況下訪問、控制系統。 標準化組織 CVE（ Common Vulnerabilities and Exposures, 即“公共漏洞與暴露”）致力于所有安全漏洞及安全問題的命名標準化，安全產品對漏洞的描述與調用一般都與 CVE兼容 。 1 漏洞的概念 信息安全的 “ 木桶理論 ” 對一個信息系統來說，它的安全性不在于它是否采用了最新的加密算法或最先進的設備，而是由系統本身最薄弱之處，即漏洞所決定的。只要這個漏洞被發現，系統就有可能成為網絡攻擊的犧牲品。 漏洞掃描概述 2 漏洞的發現 一個漏洞并不是自己突然出現的，必須有人發現它。這個工作主要是由以下三個組織之一來完成的：黑客、破譯者、安全服務商組織。 每當有新的漏洞出現，黑客和安全服務商組織的成員通常會警告安全組織機構；破譯者也許不會警告任何官方組織，只是在組織內部發布消息。根據信息發布的方式，漏洞將會以不同的方式呈現在公眾面前。 通常收集安全信息的途徑包括：新聞組、郵件列表、 Web站點、 FTP文檔。 網絡管理者的部分工作就是 關心信息安全相關新聞，了解信息安全的動態。 管理者需要制定一個收集、分析以及抽取信息的策略，以便獲取有用的信息。 漏洞掃描概述 3 漏洞對系統的威脅 漏洞對系統的威脅體現在惡意攻擊行為對系統的威脅，因為只有利用硬件、軟件和策略上最薄弱的環節，惡意攻擊者才可以得手。 目前，因特網上已有 3萬多個黑客站點，而且黑客技術不斷創新，基本的攻擊手法已多達 800多種。 目前我國 95％的與因特網相連的網絡管理中心都遭到過境內外攻擊者的攻擊或侵入，其中銀行、金融和證券機構是黑客攻擊的重點。國內乃至全世界的網絡安全形勢非常不容樂觀。 漏洞可能影響一個單位或公司的生存問題。 漏洞掃描概述 4 漏洞掃描的必要性 ?幫助網管人員了解網絡安全狀況 ?對資產進行風險評估的依據 ?安全配置的第一步 ?向領導上報數據依據 82 系統脆弱性分析 信息系統存在 著 許多漏洞 ，如 IIS的安全性 、 CGI的安全性、 DNS與 FTP協議的安全性、緩沖區溢出問題、拒絕服務和后門。由于網絡的飛速發展，越來越多的漏洞也必將隨之出現 。 821 IIS安全 問題 Windows的 IIS服務器存在著很多漏洞，如拒絕服務、泄露信息、泄露源代碼、獲得更多權限、目錄遍歷、執行任意命令、緩沖區溢出執行任意代碼等。 系統脆弱性分析 緩沖區溢出 ?Buffer overflow attack 緩沖區溢出攻擊 –緩沖區溢出漏洞大量存在于各種軟件中 –利用緩沖區溢出的攻擊，會導致系統當機，獲得系統特權等嚴重后果。 ?最早的攻擊 1988年 UNIX下的 Morris worm ?最近的攻擊 –Codered 利用 IIS漏洞 –SQL Server Worm 利用 SQL Server漏洞 –Blaster 利用 RPC漏洞 –Sasser利用 LSASS漏洞 系統脆弱性分析 ? 向緩沖區寫入超過緩沖區長度的內容，造成緩沖區溢出，破壞程序的堆棧，使程序轉而執行其他的指令，達到攻擊的目的。 ? 原因：程序中缺少錯誤檢測 : void func(char *str) { char buf[16]。 strcpy(buf,str)。 } 如果 str的內容多于 16個非 0字符，就會造成 buf的溢出，使程序出錯。 系統脆弱性分析 ? 類似函數有 strcat、 sprintf、 vsprintf、 gets、scanf等 ? 一般溢出會造成程序讀 /寫或執行非法內存的數據，引發 segmentation fault異常退出 ? 如果在一個 suid程序中特意構造內容，可以有目的的執行程序，如 /bin/sh，得到 root權限。 系統脆弱性分析 ? 對于使用 C語言開發的軟件，緩沖區溢出大部分是數組越界或指針非法引用造成的。 ? 有時并不引發溢出也能進行攻擊。 ? 現存的軟件中可能存在緩沖區溢出攻擊，因此緩沖區溢出攻擊短期內不可能杜絕。 ? 緩沖區溢出的危害很大 : – 可以植入并運行攻擊代碼 – 比大部分 DoS攻擊危害嚴重 系統脆弱性分析 ? 在進程的地址空間安排適當的代碼 ? 通過適當的初始化寄存器和內存，跳轉到以上代碼段執行 ? 利用進程中存在的代碼 – 傳遞一個適當的參數 – 如程序中有 exec(arg)，只要把 arg指向 “ /bin/sh”就可以了 ? 植入法 – 把指令序列放到緩沖區中 – 堆、棧、數據段都可以存放攻擊代碼，最常見的是利用棧 系統脆弱性分析 拒絕服務攻擊 軟件弱點是包含在操作系統或應用程序中與安全相關的系統缺陷，這些缺陷大多是由于錯誤的程序編制，粗心的源代碼審核，無心的副效應或一些不適當的綁定所造成的。根據錯誤信息所帶來的對系統無限制或者未經許可的訪問程度，這些漏洞可以被分為不同的等級。 典型的