【文章內(nèi)容簡介】 統(tǒng)安全體系必須建立一個智能化的實時攻擊識別和響應系統(tǒng)，管理和降低網(wǎng)絡安全風險，保證網(wǎng)絡安全防護能力能夠不斷增強。目前網(wǎng)絡入侵安全問題主要采用網(wǎng)絡入侵監(jiān)測系統(tǒng)和入侵防御系統(tǒng)等成熟產(chǎn)品和技術(shù)來解決。因此，需要在外網(wǎng)交換機、內(nèi)網(wǎng)交換機和服務器前端等流量主通路上配置相關(guān)的千兆或百兆 IPS （————）安全規(guī)劃方案 第 14 頁系統(tǒng)，負責辨別并且阻斷各種基于應用的網(wǎng)絡攻擊和危險應用，同時實現(xiàn)基于應用的網(wǎng)絡管理，達到網(wǎng)絡安全、健壯和流暢運行的最終目的? 第三，建立端點準入控制系統(tǒng)網(wǎng)絡安全問題的解決，三分靠技術(shù)，七分靠管理，嚴格管理是（————）網(wǎng)絡用戶免受網(wǎng)絡安全問題威脅的重要措施。事實上，用戶終端都缺乏有效的制度和手段管理網(wǎng)絡安全。網(wǎng)絡用戶不及時升級系統(tǒng)補丁、升級病毒庫的現(xiàn)象普遍存在；隨意接入網(wǎng)絡、私設代理服務器、私自訪問保密資源等行為在企業(yè)網(wǎng)中也比比皆是。管理的欠缺不僅會直接影響用戶網(wǎng)絡的正常運行，還可能使機關(guān)蒙受巨大的損失。為了解決現(xiàn)有網(wǎng)絡安全管理中存在的不足，應對網(wǎng)絡安全威脅，網(wǎng)絡需要從用戶終端準入控制入手，整合網(wǎng)絡接入控制與終端安全產(chǎn)品，通過安全客戶端、安全策略服務器、網(wǎng)絡設備以及防病毒軟件產(chǎn)品、軟件補丁管理產(chǎn)品的聯(lián)動，對接入網(wǎng)絡的用戶終端強制實施企業(yè)安全策略，嚴格控制終端用戶的網(wǎng)絡使用行為，可以加強用戶終端的主動防御能力，大幅度提高網(wǎng)絡安全。? 第四，是構(gòu)建完善的病毒防范機制對于建立完善的防病毒系統(tǒng)來說，同樣也是當務之急的，必須配備網(wǎng)絡版的防病毒系統(tǒng)進行文件病毒的防護。另外，對于網(wǎng)絡病毒來說，如果能夠做到在網(wǎng)絡出口處就將其封殺、截留的話，不僅能夠降低病毒進入網(wǎng)絡內(nèi)部所造成的安全損失風險，更重要的是防止了病毒進入內(nèi)部所帶來的帶寬阻塞或損耗，有效地保護了網(wǎng)絡帶寬的利用率。因此，這種前提下，可以在互聯(lián)網(wǎng)出口處配置硬件病毒網(wǎng)關(guān)或者基于應用的入侵防御系統(tǒng)的方式進行解決。特別是，對于消耗網(wǎng)絡帶寬，造成網(wǎng)絡通信中斷的蠕蟲病毒是一個十分有效的措施。? 第五，是加強網(wǎng)絡的抗攻擊能力拒絕服務攻擊是一種對網(wǎng)絡危害巨大的惡意攻擊。其中，具有代表性的攻擊手段包括 SYN flood、 ICMP flood、UDP flood 等其原理是使用大量的偽造的連接請求報文攻擊網(wǎng)絡服務所在的端口，比如 80（WEB）， 造成服務器的資源耗盡，系統(tǒng)停止響應甚至崩潰。而連接耗盡攻擊這種攻擊則使用真實的 IP 地址，發(fā)起針對網(wǎng)絡服務的大量的真實連接來搶占帶寬，也可以造成 WEB Server 的資源耗盡，導致服務中止。隨著（————）信息化工作的深入開展，其網(wǎng)絡中存在著大量的網(wǎng)絡設備、安全設備、服務器設備等，如何保護它們和整個網(wǎng)絡不受 DDOS 的攻擊則是網(wǎng)絡整體防范中的重點。而對付大規(guī)模的 DDOS 攻擊的最好的方式除了及時對網(wǎng)絡設備、服務器設備進行漏洞掃描，升級補丁 （————）安全規(guī)劃方案 第 15 頁進行主機系統(tǒng)加固外，還有一種方式就是在互聯(lián)網(wǎng)出口或者核心服務器前端配置防 DOS 攻擊設備，來保護內(nèi)部網(wǎng)絡的安全。? 第六，建立網(wǎng)絡系統(tǒng)漏洞的評估分析機制最后，網(wǎng)絡安全的建設是一個動態(tài)的、可持續(xù)的過程，當網(wǎng)絡中增加了新的網(wǎng)絡設備、主機系統(tǒng)或應用系統(tǒng)，能夠及時發(fā)現(xiàn)并迅速解決相關(guān)的安全風險和威脅，實施專門地安全服務評估掃描工具是很有必要的。通過專業(yè)的網(wǎng)絡漏洞掃描系統(tǒng)對整個網(wǎng)絡中的網(wǎng)絡設備、信息資產(chǎn)、應用系統(tǒng)、操作系統(tǒng)、人員以及相關(guān)的管理制度進行評估分析，找出相關(guān)弱點，并及時提交相關(guān)解決方法，使得網(wǎng)絡的安全性得到動態(tài)的、可持續(xù)的發(fā)展，保證了整個網(wǎng)絡的安全性。? 本期總體安全規(guī)劃建設完成后的效果通過在本期總體安全規(guī)中包括的幾個重要方面的安全防護建設，包括構(gòu)建完善的網(wǎng)絡邊界防范措施、網(wǎng)絡內(nèi)部入侵防御機制、移動用戶遠程安全訪問機制、完善的防病毒機制、增強的網(wǎng)絡抗攻擊能力以及網(wǎng)絡系統(tǒng)漏洞安全評估分析機制等，最終可以使（————）網(wǎng)絡初步具備較高的抗黑客入侵能力，全面的防毒、查殺毒能力以及對整網(wǎng)漏洞的評估分析能力，從而建立起全防御體系的信息安全框架，基本達到《GB 17859》中規(guī)定的二級安全防護保障能力。. 基礎設施安全部署. 分級設置用戶口令H3C 系列路由器、交換機的登錄口令分為 4 級：參觀級、監(jiān)控級、配置級、管理級，不同的級別所能做的操作都不相同。? 參觀級：網(wǎng)絡診斷工具命令（ping 、tracert ）、從本設備出發(fā)訪問外部設備的命令（包括：Tel 客戶端、SSH 客戶端、RLOGIN）等，該級別命令不允許進行配置文件保存的操作。? 監(jiān)控級：用于系統(tǒng)維護、業(yè)務故障診斷等，包括 display、debugging 命令，該級別命令不允許進行配置文件保存的操作。? 配置級：業(yè)務配置命令，包括路由、各個網(wǎng)絡層次的命令，這些用于向用戶提供直接網(wǎng)絡服務。 （————）安全規(guī)劃方案 第 16 頁? 管理級：關(guān)系到系統(tǒng)基本運行，系統(tǒng)支撐模塊的命令，這些命令對業(yè)務提供支撐作用，包括文件系統(tǒng)、FTP、TFTP、Xmodem 下載、配置文件切換命令、電源控制命令、背板控制命令、用戶管理命令、級別設置命令、系統(tǒng)內(nèi)部參數(shù)設置命令（非協(xié)議規(guī)定、非 RFC 規(guī)定）等。建議分級設置登錄口令，以便于對于不同的維護人員提供不同的口令。. 對任何方式的用戶登錄都進行認證建議對于各種登錄設備的方式（通過 TELNET、CONSOLE 口、AUX 口）都進行認證。在默認的情況下，CONSOLE 口不進行認證，在使用時建議對于 CONSOLE 口登錄配置上認證。對于安全級別一般的設備，建議認證方式采用本地認證，認證的時候要求對用戶名和密碼都進行認證，配置密碼的時候要采用密文方式。用戶名和密碼要求足夠的強壯。對于安全級別比較高的設備，建議采用 AAA 方式到 RADIUS 或 TACACS+服務器去認證。H3C 系列路由器、交換機支持 RADIUS 和 TACACS+認證協(xié)議。. 對網(wǎng)絡上已知的病毒所使用的端口進行過濾現(xiàn)在網(wǎng)絡上的很多病毒（沖擊波、振蕩波）發(fā)作時，對網(wǎng)絡上的主機進行掃描搜索，該攻擊雖然不是針對設備本身，但是在攻擊過程中會涉及到發(fā) ARP 探詢主機位置等操作，某些時候?qū)τ诰W(wǎng)絡設備的資源消耗十分大，同時會占用大量的帶寬。對于這些常見的病毒，通過分析它們的工作方式，可知道他們所使用的端口號。為了避免這些病毒對于設備運行的影響，建議在設備上配置 ACL，對已知的病毒所使用的TCP、UDP 端口號進行過濾。一方面保證了設備資源不被病毒消耗，另一方面阻止了病毒的傳播，保護了網(wǎng)絡中的主機設備。. 采用網(wǎng)絡地址轉(zhuǎn)換技術(shù)保護內(nèi)部網(wǎng)絡地址轉(zhuǎn)換，用來實現(xiàn)私有網(wǎng)絡地址與公有網(wǎng)絡地址之間的轉(zhuǎn)換。地址轉(zhuǎn)換的優(yōu)點在于屏蔽了內(nèi)部網(wǎng)絡的實際地址；外部網(wǎng)絡基本上不可能穿過地址代理來直接訪問內(nèi)部網(wǎng)絡。 （————）安全規(guī)劃方案 第 17 頁通過配置，用戶可以指定能夠通過地址轉(zhuǎn)換的主機，以有效地控制內(nèi)部網(wǎng)絡對外部網(wǎng)絡的訪問。結(jié)合地址池，還可以支持多對多的地址轉(zhuǎn)換，更有效地利用用戶的合法 IP 地址資源。H3C系列路由器可以提供靈活的內(nèi)部服務器的支持，對外提供 WEB、FTP、SMTP 等必要的服務。而這些服務器放置在內(nèi)部網(wǎng)絡中，既保證了安全，又可方便地進行服務器的維護。. 關(guān)閉危險的服務如果在 H3C 系列路由器上不使用以下服務的時候，建議將這些服務關(guān)閉，防止那些通過這些服務的攻擊對設備的影響。? 禁止 HDP(Huawei Discovery Protocol)；? 禁止其他的 TCP、UDP Small 服務。路由器提供一些基于 TCP 和 UDP 協(xié)議的小服務如：echo、chargen 和 discard。這些小服務很少被使用，而且容易被攻擊者利用來越過包過濾機制；? 禁止 Finger、NTP 服務。Finger 服務可能被攻擊者利用查找用戶和口令攻擊。NTP 不是十分危險的，但是如果沒有一個很好的認證，則會影響路由器正確時間，導致日志和其他任務出錯；? 建議禁止 HTTP 服務。路由器操作系統(tǒng)支持 Http 協(xié)議進行遠端配置和監(jiān)視，而針對Http 的認證就相當于在網(wǎng)絡上發(fā)送明文且對于 Http 沒有有效的基于挑戰(zhàn)或一次性的口令保護，這使得用 Http 進行管理相當危險；? 禁止 BOOTp 服務；? 禁止 IP Source Routing；? 明確的禁止 IP Directed Broadcast；? 禁止 IP Classless；? 禁止 ICMP 協(xié)議的 IP Unreachables,Redirects,Mask－Replies；? 如果沒必要則禁止 WINS 和 DNS 服務；? 禁止從網(wǎng)絡啟動和自動從網(wǎng)絡下載初始配置文件；? 禁止 FTP 服務，網(wǎng)絡上存在大量的 FTP 服務，使用不同的用戶名和密碼進行嘗試登錄設備，一旦成功登錄，就可以對設備的文件系統(tǒng)操作，十分危險。 （————）安全規(guī)劃方案 第 18 頁. 使用 SNMP 協(xié)議時候的安全建議在不使用網(wǎng)管的時候，建議關(guān)閉 SNMP 協(xié)議。出于 SNMPv1/v2 協(xié)議自身不安全性的考慮，建議盡量使用 SNMPv3，除非網(wǎng)管不支持SNMPv3，只能用 SNMPv1/v2。在配置 SNMPv3 時，最好既鑒別又加密，以更有效地加強安全。鑒別協(xié)議可通過 MD5 或SHA，加密協(xié)議可通過 DES。在 SNMP 服務中，提供了 ACL 過濾機制，該機制適用于 SNMPv1/v2/v3 三個版本，建議通過訪問控制列表來限制 SNMP 的客戶端。SNMP 服務還提供了視圖控制，可用于 SNMPv1/v2/v3。建議使用視圖來限制用戶的訪問權(quán)限。在配置 SNMPv1/v2 的 munity 名字時，建議避免使用 public、private 這樣公用的名字。并且在配置 munity 時，將 RO 和 RW 的 munity 分開，不要配置成相同的名字。如果不需要 RW 的權(quán)限，則建議不要配置 RW 的 munity。. 保持系統(tǒng)日志的打開H3C 系列路由器、交換機的系統(tǒng)日志會記錄設備的運行信息，維護人員做了哪些操作，執(zhí)行了哪些命令。系統(tǒng)日志建議一直打開，以便于網(wǎng)絡異常的時候，查找相關(guān)的記錄，并能提供以下幾種系統(tǒng)信息的記錄功能:? accesslist 的 log 功能：在配置 accesslist 時加入 log 關(guān)鍵字，可以在交換機處理相應的報文時，記錄報文的關(guān)鍵信息；? 關(guān)鍵事件的日志記錄：對于如接口的 UP、DOWN 以及用戶登錄成功、失敗等信息可以作記錄；? Debug 信息：用來對網(wǎng)絡運行出現(xiàn)的問題進行分析。. 注意檢查設備的系統(tǒng)時間是否準確為了保證日志時間的準確性，建議定期（每月一次）檢查設備的系統(tǒng)時間是否準確，和實際時間誤差不超過 1 分鐘。 （————）安全規(guī)劃方案 第 19 頁. 運行路由協(xié)議的時候，增加對路由協(xié)議的加密認證現(xiàn)網(wǎng)上已經(jīng)發(fā)現(xiàn)有對 BGP 的攻擊，導致 BGP 鏈路異常斷鏈。建議對于現(xiàn)在網(wǎng)絡上使用的 ISIS、BGP 路由協(xié)議，對報文進行加密認證。由于采用明文驗證的時候，會在網(wǎng)絡上傳播驗證密碼，并不安全，所以建議使用 MD5 算法，對于密鑰的設置要求足夠的強壯。在增加了對于路由協(xié)議報文的加密認證會略微增加設備的 CPU 利用率，由于對于路由協(xié)議報文的處理在主控板，而對于數(shù)據(jù)的轉(zhuǎn)發(fā)是由接口板直接處理，所以路由協(xié)議增加了對報文的加密驗證，不會影響設備的轉(zhuǎn)發(fā)。. 設備上開啟 URPF 功能URPF 通過獲取報文的源地址和入接口，以源地址為目的地址，在轉(zhuǎn)發(fā)表中查找源地址對應的接口是否與入接口匹配，如果不匹配，認為源地址是偽裝的，丟棄該報文。通過這種方式，URPF 就能有效地防范網(wǎng)絡中通過修改源地址而進行的惡意攻擊行為的發(fā)生。通過 URPF，可以防止基于源地址欺騙的網(wǎng)絡攻擊行為。H3C 系列核心路由器的各種板卡均支持 URPF