當(dāng)今的網(wǎng)絡(luò)運(yùn)營商正在經(jīng)歷一個(gè)令人振奮的信息爆炸時(shí)代,-資料下載頁
2025-09-20 08:20本頁面
【導(dǎo)讀】九個(gè)月就要增加一倍。數(shù)據(jù)業(yè)務(wù)作為其中起主導(dǎo)作用的主要業(yè)務(wù)類型，要求并驅(qū)動網(wǎng)絡(luò)結(jié)。構(gòu)開始發(fā)生根本性的改變。光互聯(lián)網(wǎng)的出現(xiàn)為基于IP技術(shù)的網(wǎng)絡(luò)應(yīng)用奠定了新的基礎(chǔ)。由于國際形勢的變化，加劇了爆發(fā)“網(wǎng)絡(luò)戰(zhàn)爭”的可能。性，保障網(wǎng)絡(luò)及信息安全直接關(guān)系到國家的經(jīng)濟(jì)安全甚至國家安全。系統(tǒng)不受黑客和間諜的入侵，已成為國家電信基礎(chǔ)網(wǎng)絡(luò)健康發(fā)展所要考慮的重要問題。由于電信部門的特殊性，傳遞重要信息、是整個(gè)國民通信系統(tǒng)的基礎(chǔ)。而只有使用國內(nèi)自主研制的信息安全產(chǎn)品、具有自主版權(quán)的安全產(chǎn)品，才能真正掌握信息戰(zhàn)場上的主動權(quán)，才能從根本上防范來自各種非法的惡意攻擊和破壞。隨著網(wǎng)絡(luò)的互聯(lián)程度的擴(kuò)大，具體應(yīng)用的多元化，這種安全機(jī)制對。面對種種威脅，必須采取有力的措施來保證計(jì)算機(jī)網(wǎng)絡(luò)的。本方案根據(jù)電信網(wǎng)絡(luò)的具體網(wǎng)絡(luò)環(huán)境和具體的應(yīng)用，介紹如何建立一套針對電。絡(luò)安全事件中，70%的攻擊是來自內(nèi)部。
【正文】 要防止源 IP地址欺騙行為，可以采取以下措施來盡可能地保護(hù)系統(tǒng)免受這類攻擊 : (1)拋棄基于地址的信任策略 阻止這類攻擊的一種十分容易的辦法就是放棄以地址為基礎(chǔ)的驗(yàn)證。不允許 r類遠(yuǎn)程調(diào)用命令的使用 。刪除 .rhosts 文件 。清空 /etc/ 文件。這將迫使所有用戶使用其它遠(yuǎn)程通信手段，如 tel、 ssh、 skey等等。 (2)使用加密方法 在包發(fā)送到 網(wǎng)絡(luò)上之前，我們可以對它進(jìn)行加密。雖然加密過程要求適當(dāng)改變目前的網(wǎng)絡(luò)環(huán)境，但它將保證數(shù)據(jù)的完整性、真實(shí)性和保密性。 (3)進(jìn)行包過濾 可以配置路由器使其能夠拒絕網(wǎng)絡(luò)外部與本網(wǎng)內(nèi)具有相同 IP地址的連接請求。而且，當(dāng)包的 IP地址不在本網(wǎng)內(nèi)時(shí)，路由器不應(yīng)該把本網(wǎng)主機(jī)的包發(fā)送出去。有一點(diǎn)要注意，路由器雖然可以封鎖試圖到達(dá)內(nèi)部網(wǎng)絡(luò)的特定類型的包。但它們也是通過分析測試源地址來實(shí)現(xiàn)操作的。因此，它們僅能對聲稱是來自于內(nèi)部網(wǎng)絡(luò)的外來包進(jìn)行過濾，若你的網(wǎng)絡(luò)存在外部可信任主機(jī)，那么路由器將無法防止別人冒充這些主機(jī)進(jìn)行 IP欺騙。 防止源 IP地址欺騙行為 目錄 網(wǎng)絡(luò)安全地帶 黑客帝國 為了防止拒絕服務(wù)攻擊，我們可以采取以下的預(yù)防措施 : (1) 建議在該網(wǎng)段的路由器上做些配置的調(diào)整，這些調(diào)整包括限制 Syn半開數(shù)據(jù)包的流量和個(gè)數(shù)。 (2)要防止 SYN數(shù)據(jù)段攻擊，我們應(yīng)對系統(tǒng)設(shè)定相應(yīng)的內(nèi)核參數(shù)，使得系統(tǒng)強(qiáng)制對超時(shí)的 Syn請求連接數(shù)據(jù)包復(fù)位，同時(shí)通過縮短超時(shí)常數(shù)和加長等候隊(duì)列使得系統(tǒng)能迅速處理無效的 Syn請求數(shù)據(jù)包。 (3)建議在路由器的前端做必要的 TCP攔截，使得只有完成 TCP三次握手過程的數(shù)據(jù)包才可進(jìn)入該網(wǎng)段，這樣可以有效地保護(hù)本網(wǎng)段內(nèi)的服務(wù)器不受此類攻擊。 (4)對于信息淹沒攻擊，我們應(yīng)關(guān)掉可能產(chǎn)生無限序列的服務(wù)來防止這種攻擊。比如我們可以在服務(wù)器端拒絕所有的 ICMP包，或者在該網(wǎng)段路由器上對 ICMP包進(jìn)行帶寬方面的限制，控制其在一定的范圍內(nèi)。 總之，要徹底杜絕拒絕服務(wù)攻擊，最好的辦法是惟有追根溯源去找到正在進(jìn)行攻擊的機(jī)器和攻擊者。要追蹤攻擊者可不是一件容易的事情，一旦其停止了攻擊行為，很難將其發(fā)現(xiàn)。惟一可行的方法是在其進(jìn)行攻擊的時(shí)候，根據(jù)路由器的信息和攻擊數(shù)據(jù)包的特征，采用逐級回溯的方法來查找其攻擊源頭。這時(shí)需要各級部門的協(xié)同配合方可有效果。 防止拒絕服務(wù)攻擊 目錄 網(wǎng)絡(luò)安全地帶 黑客帝國 網(wǎng)絡(luò)嗅探就是使網(wǎng)絡(luò)接口接收不屬于本主機(jī)的數(shù)據(jù)。一個(gè)能接收所有數(shù)據(jù)包的機(jī)器被稱為雜錯(cuò)節(jié)點(diǎn)。通常賬戶和口令等信息都以明文的形式在以太網(wǎng)上傳輸，一旦被黑客在雜錯(cuò)節(jié)點(diǎn)上嗅探到，用戶就可能會遭到損害。 對于網(wǎng)絡(luò)嗅探攻擊，我們可以采取以下措施進(jìn)行防范 : (1)網(wǎng)絡(luò)分段 一個(gè)網(wǎng)絡(luò)段包括一組共享低層設(shè)備和線路的機(jī)器，如交換機(jī)，動態(tài)集線器和網(wǎng)橋等設(shè)備，可以對數(shù)據(jù)流進(jìn)行限制，從而達(dá)到防止嗅探的目的。 (2)加密 一方面可以對數(shù)據(jù)流中的部分重要信息進(jìn)行加密，另一方面也可只對應(yīng)用層加密，然而后者將使大部分與網(wǎng)絡(luò)和操作系統(tǒng)有關(guān)的敏感信息失去保護(hù)。選擇何種加密方式這就取決于信息的安全級別及網(wǎng)絡(luò)的安全程度。 (3)一次性口令技術(shù) 口令并不在網(wǎng)絡(luò)上傳輸而是在兩端進(jìn)行字符串匹配，客戶端利用從服務(wù)器上得到的 Challenge 針對網(wǎng)絡(luò)嗅探的防范措施 和自身的口令計(jì)算出一個(gè)新字符串并將之返回給服務(wù)器。在服務(wù)器上利用比較算法進(jìn)行匹配，如果匹配，連接就允許建立，所有的 Challenge和字符串都只使用一次。 (4)禁用雜錯(cuò)節(jié)點(diǎn) 安裝不支持雜錯(cuò)的網(wǎng)卡，通常可以防止 IBM兼容機(jī)進(jìn)行嗅探。 目錄 網(wǎng)絡(luò)安全地帶 黑客帝國 緩沖區(qū)溢出攻擊是屬于系統(tǒng)攻擊的手段，通過往程序的緩沖區(qū)寫超出其長度的內(nèi)容，造成緩沖區(qū)的溢出，從而破壞程序的堆棧，使程序轉(zhuǎn)而執(zhí)行其它指令，以達(dá)到攻擊的目的。 緩沖區(qū)溢出對網(wǎng)絡(luò)系統(tǒng)帶來了巨大的危害，要有效地防止這種攻擊，應(yīng)該做到以下幾點(diǎn) : (1)程序指針完整性檢查 在程序指針被引用之前檢測它是否改變。即便一個(gè)攻擊者成功地改變了程序的指針，由于系統(tǒng)事先檢測到了指針的改變，因此這個(gè)指針將不會被使用。 (2)堆棧的保護(hù) 這是一種提供程序指針完整性檢查的編譯器技術(shù)，通過檢查函數(shù)活動記錄中的返回地址來 實(shí)現(xiàn)。在堆棧中函數(shù)返回地址后面加了一些附加的字節(jié)，而在函數(shù)返回時(shí)，首先檢查這個(gè)附加的字節(jié)是否被改動過。如果發(fā)生過緩沖區(qū)溢出的攻擊，那么這種攻擊很容易在函數(shù)返回前被檢測到。但是，如果攻擊者預(yù)見到這些附加字節(jié)的存在，并且能在溢出過程中同樣地制造他們，那么他就能成功地跳過堆棧保護(hù)的檢測。 (3)數(shù)組邊界檢查 所有的對數(shù)組的讀寫操作都應(yīng)當(dāng)被檢查以確保對數(shù)組的操作在正確的范圍內(nèi)進(jìn)行。最直接的方法是檢查所有的數(shù)組操作，通?？梢圆捎靡恍﹥?yōu)化技術(shù)來減少檢查次數(shù)。目前主要有這幾種檢查方法 :Compaq C編譯器、 Jones amp。 Kelly C數(shù)組邊界檢查、 Purify存儲器存取檢查等。 緩沖區(qū)溢出攻擊及其防范措施 目錄 網(wǎng)絡(luò)安全地帶 黑客帝國 未來的競爭是信息競爭，而網(wǎng)絡(luò)信息是競爭的重要組成部分。其實(shí)質(zhì)是人與人的對抗，它具體體現(xiàn)在安全策略與攻擊策略的交鋒上。為了不斷增強(qiáng)信息系統(tǒng)的安全防御能力，必須充分理解系統(tǒng)內(nèi)核及網(wǎng)絡(luò)協(xié)議的實(shí)現(xiàn)，真正做到洞察對方網(wǎng)絡(luò)系統(tǒng)的 “ 細(xì)枝末節(jié) ” ，同時(shí)應(yīng)該熟知針對各種攻擊手段的預(yù)防措施，只有這樣才能盡最大可能保證網(wǎng)絡(luò)的安全。 （來源： IT專家網(wǎng)，本作者編輯） 目錄 網(wǎng)絡(luò)安全地帶 黑客帝國 抵制非法入侵 享受健康生活 定價(jià)： 出版日期 :2020年 12月
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1