【文章內(nèi)容簡介】 統(tǒng)安全體系必須建立一個智能化的實時攻擊識別和響應(yīng)系統(tǒng)，管理和降低網(wǎng)絡(luò)安全風(fēng)險，保證網(wǎng)絡(luò)安全防護(hù)能力能夠不斷增強(qiáng)。目前網(wǎng)絡(luò)入侵安全問題主要采用網(wǎng)絡(luò)入侵監(jiān)測系統(tǒng)和入侵防御系統(tǒng)等成熟產(chǎn)品和技術(shù)來解決。因此，需要在外網(wǎng)交換機(jī)、內(nèi)網(wǎng)交換機(jī)和服務(wù)器前端等流量主通路上配置相關(guān)的千兆或百兆 IPS （————）安全規(guī)劃方案 第 14 頁系統(tǒng)，負(fù)責(zé)辨別并且阻斷各種基于應(yīng)用的網(wǎng)絡(luò)攻擊和危險應(yīng)用，同時實現(xiàn)基于應(yīng)用的網(wǎng)絡(luò)管理，達(dá)到網(wǎng)絡(luò)安全、健壯和流暢運(yùn)行的最終目的? 第三，建立端點(diǎn)準(zhǔn)入控制系統(tǒng)網(wǎng)絡(luò)安全問題的解決，三分靠技術(shù)，七分靠管理，嚴(yán)格管理是（————）網(wǎng)絡(luò)用戶免受網(wǎng)絡(luò)安全問題威脅的重要措施。事實上，用戶終端都缺乏有效的制度和手段管理網(wǎng)絡(luò)安全。網(wǎng)絡(luò)用戶不及時升級系統(tǒng)補(bǔ)丁、升級病毒庫的現(xiàn)象普遍存在；隨意接入網(wǎng)絡(luò)、私設(shè)代理服務(wù)器、私自訪問保密資源等行為在企業(yè)網(wǎng)中也比比皆是。管理的欠缺不僅會直接影響用戶網(wǎng)絡(luò)的正常運(yùn)行，還可能使機(jī)關(guān)蒙受巨大的損失。為了解決現(xiàn)有網(wǎng)絡(luò)安全管理中存在的不足，應(yīng)對網(wǎng)絡(luò)安全威脅，網(wǎng)絡(luò)需要從用戶終端準(zhǔn)入控制入手，整合網(wǎng)絡(luò)接入控制與終端安全產(chǎn)品，通過安全客戶端、安全策略服務(wù)器、網(wǎng)絡(luò)設(shè)備以及防病毒軟件產(chǎn)品、軟件補(bǔ)丁管理產(chǎn)品的聯(lián)動，對接入網(wǎng)絡(luò)的用戶終端強(qiáng)制實施企業(yè)安全策略，嚴(yán)格控制終端用戶的網(wǎng)絡(luò)使用行為，可以加強(qiáng)用戶終端的主動防御能力，大幅度提高網(wǎng)絡(luò)安全。? 第四，是構(gòu)建完善的病毒防范機(jī)制對于建立完善的防病毒系統(tǒng)來說，同樣也是當(dāng)務(wù)之急的，必須配備網(wǎng)絡(luò)版的防病毒系統(tǒng)進(jìn)行文件病毒的防護(hù)。另外，對于網(wǎng)絡(luò)病毒來說，如果能夠做到在網(wǎng)絡(luò)出口處就將其封殺、截留的話，不僅能夠降低病毒進(jìn)入網(wǎng)絡(luò)內(nèi)部所造成的安全損失風(fēng)險，更重要的是防止了病毒進(jìn)入內(nèi)部所帶來的帶寬阻塞或損耗，有效地保護(hù)了網(wǎng)絡(luò)帶寬的利用率。因此，這種前提下，可以在互聯(lián)網(wǎng)出口處配置硬件病毒網(wǎng)關(guān)或者基于應(yīng)用的入侵防御系統(tǒng)的方式進(jìn)行解決。特別是，對于消耗網(wǎng)絡(luò)帶寬，造成網(wǎng)絡(luò)通信中斷的蠕蟲病毒是一個十分有效的措施。? 第五，是加強(qiáng)網(wǎng)絡(luò)的抗攻擊能力拒絕服務(wù)攻擊是一種對網(wǎng)絡(luò)危害巨大的惡意攻擊。其中，具有代表性的攻擊手段包括 SYN flood、 ICMP flood、UDP flood 等其原理是使用大量的偽造的連接請求報文攻擊網(wǎng)絡(luò)服務(wù)所在的端口，比如 80（WEB）， 造成服務(wù)器的資源耗盡，系統(tǒng)停止響應(yīng)甚至崩潰。而連接耗盡攻擊這種攻擊則使用真實的 IP 地址，發(fā)起針對網(wǎng)絡(luò)服務(wù)的大量的真實連接來搶占帶寬，也可以造成 WEB Server 的資源耗盡，導(dǎo)致服務(wù)中止。隨著（————）信息化工作的深入開展，其網(wǎng)絡(luò)中存在著大量的網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器設(shè)備等，如何保護(hù)它們和整個網(wǎng)絡(luò)不受 DDOS 的攻擊則是網(wǎng)絡(luò)整體防范中的重點(diǎn)。而對付大規(guī)模的 DDOS 攻擊的最好的方式除了及時對網(wǎng)絡(luò)設(shè)備、服務(wù)器設(shè)備進(jìn)行漏洞掃描，升級補(bǔ)丁 （————）安全規(guī)劃方案 第 15 頁進(jìn)行主機(jī)系統(tǒng)加固外，還有一種方式就是在互聯(lián)網(wǎng)出口或者核心服務(wù)器前端配置防 DOS 攻擊設(shè)備，來保護(hù)內(nèi)部網(wǎng)絡(luò)的安全。? 第六，建立網(wǎng)絡(luò)系統(tǒng)漏洞的評估分析機(jī)制最后，網(wǎng)絡(luò)安全的建設(shè)是一個動態(tài)的、可持續(xù)的過程，當(dāng)網(wǎng)絡(luò)中增加了新的網(wǎng)絡(luò)設(shè)備、主機(jī)系統(tǒng)或應(yīng)用系統(tǒng)，能夠及時發(fā)現(xiàn)并迅速解決相關(guān)的安全風(fēng)險和威脅，實施專門地安全服務(wù)評估掃描工具是很有必要的。通過專業(yè)的網(wǎng)絡(luò)漏洞掃描系統(tǒng)對整個網(wǎng)絡(luò)中的網(wǎng)絡(luò)設(shè)備、信息資產(chǎn)、應(yīng)用系統(tǒng)、操作系統(tǒng)、人員以及相關(guān)的管理制度進(jìn)行評估分析，找出相關(guān)弱點(diǎn)，并及時提交相關(guān)解決方法，使得網(wǎng)絡(luò)的安全性得到動態(tài)的、可持續(xù)的發(fā)展，保證了整個網(wǎng)絡(luò)的安全性。? 本期總體安全規(guī)劃建設(shè)完成后的效果通過在本期總體安全規(guī)中包括的幾個重要方面的安全防護(hù)建設(shè)，包括構(gòu)建完善的網(wǎng)絡(luò)邊界防范措施、網(wǎng)絡(luò)內(nèi)部入侵防御機(jī)制、移動用戶遠(yuǎn)程安全訪問機(jī)制、完善的防病毒機(jī)制、增強(qiáng)的網(wǎng)絡(luò)抗攻擊能力以及網(wǎng)絡(luò)系統(tǒng)漏洞安全評估分析機(jī)制等，最終可以使（————）網(wǎng)絡(luò)初步具備較高的抗黑客入侵能力，全面的防毒、查殺毒能力以及對整網(wǎng)漏洞的評估分析能力，從而建立起全防御體系的信息安全框架，基本達(dá)到《GB 17859》中規(guī)定的二級安全防護(hù)保障能力。. 基礎(chǔ)設(shè)施安全部署. 分級設(shè)置用戶口令H3C 系列路由器、交換機(jī)的登錄口令分為 4 級：參觀級、監(jiān)控級、配置級、管理級，不同的級別所能做的操作都不相同。? 參觀級：網(wǎng)絡(luò)診斷工具命令（ping 、tracert ）、從本設(shè)備出發(fā)訪問外部設(shè)備的命令（包括：Tel 客戶端、SSH 客戶端、RLOGIN）等，該級別命令不允許進(jìn)行配置文件保存的操作。? 監(jiān)控級：用于系統(tǒng)維護(hù)、業(yè)務(wù)故障診斷等，包括 display、debugging 命令，該級別命令不允許進(jìn)行配置文件保存的操作。? 配置級：業(yè)務(wù)配置命令，包括路由、各個網(wǎng)絡(luò)層次的命令，這些用于向用戶提供直接網(wǎng)絡(luò)服務(wù)。 （————）安全規(guī)劃方案 第 16 頁? 管理級：關(guān)系到系統(tǒng)基本運(yùn)行，系統(tǒng)支撐模塊的命令，這些命令對業(yè)務(wù)提供支撐作用，包括文件系統(tǒng)、FTP、TFTP、Xmodem 下載、配置文件切換命令、電源控制命令、背板控制命令、用戶管理命令、級別設(shè)置命令、系統(tǒng)內(nèi)部參數(shù)設(shè)置命令（非協(xié)議規(guī)定、非 RFC 規(guī)定）等。建議分級設(shè)置登錄口令，以便于對于不同的維護(hù)人員提供不同的口令。. 對任何方式的用戶登錄都進(jìn)行認(rèn)證建議對于各種登錄設(shè)備的方式（通過 TELNET、CONSOLE 口、AUX 口）都進(jìn)行認(rèn)證。在默認(rèn)的情況下，CONSOLE 口不進(jìn)行認(rèn)證，在使用時建議對于 CONSOLE 口登錄配置上認(rèn)證。對于安全級別一般的設(shè)備，建議認(rèn)證方式采用本地認(rèn)證，認(rèn)證的時候要求對用戶名和密碼都進(jìn)行認(rèn)證，配置密碼的時候要采用密文方式。用戶名和密碼要求足夠的強(qiáng)壯。對于安全級別比較高的設(shè)備，建議采用 AAA 方式到 RADIUS 或 TACACS+服務(wù)器去認(rèn)證。H3C 系列路由器、交換機(jī)支持 RADIUS 和 TACACS+認(rèn)證協(xié)議。. 對網(wǎng)絡(luò)上已知的病毒所使用的端口進(jìn)行過濾現(xiàn)在網(wǎng)絡(luò)上的很多病毒（沖擊波、振蕩波）發(fā)作時，對網(wǎng)絡(luò)上的主機(jī)進(jìn)行掃描搜索，該攻擊雖然不是針對設(shè)備本身，但是在攻擊過程中會涉及到發(fā) ARP 探詢主機(jī)位置等操作，某些時候?qū)τ诰W(wǎng)絡(luò)設(shè)備的資源消耗十分大，同時會占用大量的帶寬。對于這些常見的病毒，通過分析它們的工作方式，可知道他們所使用的端口號。為了避免這些病毒對于設(shè)備運(yùn)行的影響，建議在設(shè)備上配置 ACL，對已知的病毒所使用的TCP、UDP 端口號進(jìn)行過濾。一方面保證了設(shè)備資源不被病毒消耗，另一方面阻止了病毒的傳播，保護(hù)了網(wǎng)絡(luò)中的主機(jī)設(shè)備。. 采用網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)保護(hù)內(nèi)部網(wǎng)絡(luò)地址轉(zhuǎn)換，用來實現(xiàn)私有網(wǎng)絡(luò)地址與公有網(wǎng)絡(luò)地址之間的轉(zhuǎn)換。地址轉(zhuǎn)換的優(yōu)點(diǎn)在于屏蔽了內(nèi)部網(wǎng)絡(luò)的實際地址；外部網(wǎng)絡(luò)基本上不可能穿過地址代理來直接訪問內(nèi)部網(wǎng)絡(luò)。 （————）安全規(guī)劃方案 第 17 頁通過配置，用戶可以指定能夠通過地址轉(zhuǎn)換的主機(jī)，以有效地控制內(nèi)部網(wǎng)絡(luò)對外部網(wǎng)絡(luò)的訪問。結(jié)合地址池，還可以支持多對多的地址轉(zhuǎn)換，更有效地利用用戶的合法 IP 地址資源。H3C系列路由器可以提供靈活的內(nèi)部服務(wù)器的支持，對外提供 WEB、FTP、SMTP 等必要的服務(wù)。而這些服務(wù)器放置在內(nèi)部網(wǎng)絡(luò)中，既保證了安全，又可方便地進(jìn)行服務(wù)器的維護(hù)。. 關(guān)閉危險的服務(wù)如果在 H3C 系列路由器上不使用以下服務(wù)的時候，建議將這些服務(wù)關(guān)閉，防止那些通過這些服務(wù)的攻擊對設(shè)備的影響。? 禁止 HDP(Huawei Discovery Protocol)；? 禁止其他的 TCP、UDP Small 服務(wù)。路由器提供一些基于 TCP 和 UDP 協(xié)議的小服務(wù)如：echo、chargen 和 discard。這些小服務(wù)很少被使用，而且容易被攻擊者利用來越過包過濾機(jī)制；? 禁止 Finger、NTP 服務(wù)。Finger 服務(wù)可能被攻擊者利用查找用戶和口令攻擊。NTP 不是十分危險的，但是如果沒有一個很好的認(rèn)證，則會影響路由器正確時間，導(dǎo)致日志和其他任務(wù)出錯；? 建議禁止 HTTP 服務(wù)。路由器操作系統(tǒng)支持 Http 協(xié)議進(jìn)行遠(yuǎn)端配置和監(jiān)視，而針對Http 的認(rèn)證就相當(dāng)于在網(wǎng)絡(luò)上發(fā)送明文且對于 Http 沒有有效的基于挑戰(zhàn)或一次性的口令保護(hù)，這使得用 Http 進(jìn)行管理相當(dāng)危險；? 禁止 BOOTp 服務(wù)；? 禁止 IP Source Routing；? 明確的禁止 IP Directed Broadcast；? 禁止 IP Classless；? 禁止 ICMP 協(xié)議的 IP Unreachables,Redirects,Mask－Replies；? 如果沒必要則禁止 WINS 和 DNS 服務(wù)；? 禁止從網(wǎng)絡(luò)啟動和自動從網(wǎng)絡(luò)下載初始配置文件；? 禁止 FTP 服務(wù)，網(wǎng)絡(luò)上存在大量的 FTP 服務(wù)，使用不同的用戶名和密碼進(jìn)行嘗試登錄設(shè)備，一旦成功登錄，就可以對設(shè)備的文件系統(tǒng)操作，十分危險。 （————）安全規(guī)劃方案 第 18 頁. 使用 SNMP 協(xié)議時候的安全建議在不使用網(wǎng)管的時候，建議關(guān)閉 SNMP 協(xié)議。出于 SNMPv1/v2 協(xié)議自身不安全性的考慮，建議盡量使用 SNMPv3，除非網(wǎng)管不支持SNMPv3，只能用 SNMPv1/v2。在配置 SNMPv3 時，最好既鑒別又加密，以更有效地加強(qiáng)安全。鑒別協(xié)議可通過 MD5 或SHA，加密協(xié)議可通過 DES。在 SNMP 服務(wù)中，提供了 ACL 過濾機(jī)制，該機(jī)制適用于 SNMPv1/v2/v3 三個版本，建議通過訪問控制列表來限制 SNMP 的客戶端。SNMP 服務(wù)還提供了視圖控制，可用于 SNMPv1/v2/v3。建議使用視圖來限制用戶的訪問權(quán)限。在配置 SNMPv1/v2 的 munity 名字時，建議避免使用 public、private 這樣公用的名字。并且在配置 munity 時，將 RO 和 RW 的 munity 分開，不要配置成相同的名字。如果不需要 RW 的權(quán)限，則建議不要配置 RW 的 munity。. 保持系統(tǒng)日志的打開H3C 系列路由器、交換機(jī)的系統(tǒng)日志會記錄設(shè)備的運(yùn)行信息，維護(hù)人員做了哪些操作，執(zhí)行了哪些命令。系統(tǒng)日志建議一直打開，以便于網(wǎng)絡(luò)異常的時候，查找相關(guān)的記錄，并能提供以下幾種系統(tǒng)信息的記錄功能:? accesslist 的 log 功能：在配置 accesslist 時加入 log 關(guān)鍵字，可以在交換機(jī)處理相應(yīng)的報文時，記錄報文的關(guān)鍵信息；? 關(guān)鍵事件的日志記錄：對于如接口的 UP、DOWN 以及用戶登錄成功、失敗等信息可以作記錄；? Debug 信息：用來對網(wǎng)絡(luò)運(yùn)行出現(xiàn)的問題進(jìn)行分析。. 注意檢查設(shè)備的系統(tǒng)時間是否準(zhǔn)確為了保證日志時間的準(zhǔn)確性，建議定期（每月一次）檢查設(shè)備的系統(tǒng)時間是否準(zhǔn)確，和實際時間誤差不超過 1 分鐘。 （————）安全規(guī)劃方案 第 19 頁. 運(yùn)行路由協(xié)議的時候，增加對路由協(xié)議的加密認(rèn)證現(xiàn)網(wǎng)上已經(jīng)發(fā)現(xiàn)有對 BGP 的攻擊，導(dǎo)致 BGP 鏈路異常斷鏈。建議對于現(xiàn)在網(wǎng)絡(luò)上使用的 ISIS、BGP 路由協(xié)議，對報文進(jìn)行加密認(rèn)證。由于采用明文驗證的時候，會在網(wǎng)絡(luò)上傳播驗證密碼，并不安全，所以建議使用 MD5 算法，對于密鑰的設(shè)置要求足夠的強(qiáng)壯。在增加了對于路由協(xié)議報文的加密認(rèn)證會略微增加設(shè)備的 CPU 利用率，由于對于路由協(xié)議報文的處理在主控板，而對于數(shù)據(jù)的轉(zhuǎn)發(fā)是由接口板直接處理，所以路由協(xié)議增加了對報文的加密驗證，不會影響設(shè)備的轉(zhuǎn)發(fā)。. 設(shè)備上開啟 URPF 功能URPF 通過獲取報文的源地址和入接口，以源地址為目的地址，在轉(zhuǎn)發(fā)表中查找源地址對應(yīng)的接口是否與入接口匹配，如果不匹配，認(rèn)為源地址是偽裝的，丟棄該報文。通過這種方式，URPF 就能有效地防范網(wǎng)絡(luò)中通過修改源地址而進(jìn)行的惡意攻擊行為的發(fā)生。通過 URPF，可以防止基于源地址欺騙的網(wǎng)絡(luò)攻擊行為。H3C 系列核心路由器的各種板卡均支持 URPF