搜索
1网络安全测评网络全局1.1结构安全（G3）a)应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；b)应保证网络各个部分的带宽满足业务高峰期需要；c)应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；（静态路由，动态路由）d)应绘制与当前运行情况相符的网络拓扑结构图；e)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；（VLAN划分）f)应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；（在网络边界处部署：防火墙、网闸、或边界网络设备配置并启用acl）g)应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。（检查防火墙是否存在策略带宽配置）注释：1）静态路由是指由网络管理员手工配置的路由信息，当网络的拓扑结构或链路的状态发生变化时，网络管理员需要手工修改路由表中相关的静态路由信息。2）动态路由是指路由器能够自动地建立自己的路由表，并且能够根据实际情况的变化适时的进行调整。动态路由机制的运作依赖路由的两个基本功能：对路由表的维护和路由器之间适时的路由信息交换。路由器之间的信息交换是基于路由协议实现的，如ospf路由协议是一种典型的链路状态路由协议，它通过路由器之间通告网络接口的状态，来建立链路状态数据库，生成最短路径树，每个ospf路由器使用这写最短路径构造路由表。如果使用动态路由协议应配置使用路由协议认证功能，保证网络路由安全。3）vlan是一种通过将局域网内的设备逻辑而不是物理划分成不同子网从而实现虚拟工作组的新技术。不同vlan内的报文在传输时是相互隔离的。如果不同vlan要进行通信，则需要通过路由器或三层交换机等三层设备实现。思科华为4）是否存在路由协议认证：showrunning-configdisplaycurrent-configuration查看vlan划分情况：showvlandisplayvlanall1.2边界完整性检查（S3）a)应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断；（技术手段:网络接入控制、关闭网络未使用的端口、ip/mac地址绑定；管理措施：进入机房全程陪同、红外视频监控）2b)应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。（方法：非法外联监控功能、非法外联软件）1.3入侵防范（G3）a)应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；（入侵防范的技术：入侵检测系统IDS，包含入侵防范模块的多功能安全网关UTM）b)当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。（报警方式：短信、邮件、声光报警等）注释：1）入侵检测的分类：主动入侵检测、被动入侵检测。主动入侵检测：在攻击的同时检测到。它会查找已知的攻击模式或命令，并阻止这些命令的执行。被动入侵检测：攻击之后的检测。只有通过检查日志文件，攻击才得以根据日志信息进行复查和再现。2）多功能安全网关的功能：防火墙、虚拟防火墙、入侵检测和防御、防病毒、防垃圾邮件、p2p流量控制、URL过滤等功能。1.4恶意代码防范（G3）a)应在网络边界处对恶意代码进行检测和清除。（防恶意代码产品：防病毒网关、包含防病毒模块的多功能安全网关、网络版防病毒系统等）b)应维护恶意代码库的升级和检测系统的更新。（更新方式：自动远程更新、手动远程更新、手动本地更新等）访问控制（G3）（路由器、交换机、防火墙、入侵检测系统/防御系统）a)应在网络边界部署访问控制设备，启用访问控制功能；（访问控制设备：网闸、防火墙、路由器、三层路由交换机等）b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；（路由器通过配置合理的访问控制列表ACL）c)应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；（一般实现方式：防火墙）d)应在会话处于非活跃一定时间或会话结束后终止网络连接；（5一般在防火墙上实现）e)应限制网络最大流量数及网络连接数；（2一般在防火墙上实现）f)重要网段应采取技术手段防止地址欺骗；（3）g)应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；（4）h)应限制具有拨号访问权限的用户数量。（路由或相关设备应提供限制具有拨号访问权限的用户数量的相关功能）注释：31)路由器上配置合理的访问列表为数据流提供明确的允许/拒绝访问的能力，对进出网络的流量进行过滤。流入流量过滤：用于过滤掉一些源IP不是公网IP的数据包，同时也用于限制外部对内部网络服务的访问。流出流量过滤：用于防止由单位内部机器发出的伪造源ip的攻击数据流。查看acl的命令：showipaccess-listdisplayaclconfigall2）限制网络的最大流量的方法：路由器、交换机可根据ip地址、端口、协议来限制应用数据流的最大流量，还可以根据ip地址来限制网络连接数，从而保证业务带宽不被占用，业务系统可以对外正常提供服务。路由器的带宽策略一般采用分层的带宽管理机制，管理员可以通过设置细粒度的带宽策略，对数据报文做带宽限制和优先级别设定，还可以通过源地址、目的地址、用户和协议四个方面来限制带宽。showrunning-configdisplayaclconfigal23）地址欺骗可以是mac地址，也可以是ip地址。目前发生比较多的是arp地址欺骗，arp地址欺骗是mac地址欺骗的一种。Arp地址解析协议是一种位于TCP/IP协议栈中的低层协议，负责将某个IP地址解析成对应的MAC地址。ARP的分类：○1截获网关数据。它通知网络设备一系列错误的MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在网络设备中，结果网络设备的所有数据只能发给错误的MAC地址，造成正常pc无法收到信息。○2伪造网关。建立假网关，让被他欺骗的pc向假网关发送数据，而不是通过正常的途径上网。一般来说，arp欺骗攻击的后果很严重，大多数情况下会造成大面积掉线。解决方法：○1在网络设备中把所有pc的ip-mac输入一个静态表中，这叫ip-mac绑定；○2在内网所有pc上设置网管的静态arp信息，这叫pcip-mac绑定Showiparpdisplayarp4）通过配置用户、用户组，并结合访问控制规则可以实现对认证成功的用户允许访问受控资源showcryptoisakmppolicy；showcryptoipsectransform-set；showipaccess-list。Displayipsec5）当恶意用户进行网络攻击时，有时会发起大量会话连接，建立会话后长时间保持状态连接，从而占用大量网络资源，最终将网络资源耗尽的情况。因此应在会话终止或长时间无响应的情况下终止网络连接，释放被占用网络资源，保证业务可以被正常访问。一般在防火墙上实现。安全审计（G3）（路由器、交换机、防火墙、入侵检测系统/防御系统）a)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；b)审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；c)应能够根据记录数据进行分析，并生成审计报表；d)应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。注释：查看日志记录情况：showloggingdisplaycurrent-configuration网络设备防护（G3）（路由器、交换机、防火墙、入侵检测系统/防御系统）a)应对登录网络设备的用户进行身份鉴别；（1）4b)应对网络设备的管理员登录地址进行限制；（2）c)网络设备用户的标识应唯一；d)主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；（采用方法：双因子鉴别）e)身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换；（使用口令的组成、长度和更改周期。对储存在配置文件中的所有口令和类似数据进行加密，可以避免通过读取配置文件而获取明文口令）f)应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；（可以利用命令配置VTY的超时，避免一个空闲的任务一直占用VTY，从而避免恶意攻击或远端系统的意外崩溃导致的资源独占。）g)当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；（不应当使用明文传送的telnet、http服务，而应当采用ssh、https等加密协议等方式进行交互式管理）h)应实现设备特权用户的权限分离。（应根据实际需要为用户分配完成其任务的最小权限）注释：1）用户登录路由器、交换机的方式：○1利用控制台端口（console）通过串口进行本地连接登录；○2利用辅助端口（AUX）通过MODEM进行远程拨号链接登录；MODEM（调制解调器）实现数字信号和模拟信号之间的转换。○3利用虚拟终端（VTY）通过TCP/IP网络进行远程Telnet登录等。无论那种登录方式，都需要对用户身份进行鉴别，口令是路由器用来防止非授权访问的常用手段，是路由器本身安全的一部分。因此需要加强对路由器口令的管理，包括口令的设置、储存，最好的口令存储方法是保存在TACACS+或RADIUS认证服务器上。管理员应当依据需要为路由器相应的端口加上身份鉴别最基本的安全控制。路由器、交换机的口令安全包括两类：设置登录口令和设置使能口令（特权密码）。当为特权用户设置口令时，应当使用enablesecret命令，该命令用于设定具有管理员权限的口令，enablesecret命令采用的是MD5算法，这种算法比enablepassword加密算法强，不容易被破解。showrunning-configdisplaycurrent-configuration2）为了保证网络管理员对路由器安全访问的同时，避免其他人的未授权访问，最好的方法是采用带外管理，使用专用的管理终端和通讯路径，将管理数据流和其他数据流分开，能够有效地增加安全性。利用ipaccess-class限制访问VTY（虚拟终端）的IP地址范围。同时由于VTY的数目有一定的限制，当所有的vty用完，就不能再建立远程的网络连接了，通过限制登录地址，限制能够防止DOS攻击（拒绝服务攻击）。3）双因子鉴别不仅需要访问者知道一些信息，还需要访问者拥有鉴别特征，如：令牌、智能卡、数字证书和生物信息等。5第二章主机安全测评身份鉴别（S3）（操作系统测评、数据库系统测评）a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别；（1）b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；（2）c)应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施;d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；e)应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。f)应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。注释：1）身份标识和鉴别就是用户向系统以一种安全的方式提交自己的身份证实，然后由系统确认用户的身份是否属实的过程。linux用户的口令经过加密处理后存放于/etc/passwd文档中。现在的linux系统中口令不再直接保存在passwd文件中，通常将passwd文件中的口令字段使用一个“x”来代替，将/etc/shadow作为真正的口令文件，用于保存包括个人口令在内的数据。淡然，shadow文件时不能被普通用户读取的，只有超级用户才有权读取。在root权限下，使用命令more、cat、vi查看/etc/passwd和/etc/shadow文件中各用户名的状态。以root身份登录