【導讀】衛(wèi)生局新辦公樓辦公網(wǎng)設計方案。湖南工業(yè)職業(yè)技術學院網(wǎng)絡技術專業(yè)教學資源庫

　　

【正文】 v2c，沒有增加安全特性，其安全能力與 SNMPv1 相同。 SNMPv3 的安全性 SNMPv3 對協(xié)議的安全性給出了全面的解決方案。 SNMPv3 繼承了 SNMPv2u 的很多優(yōu)點，并且從系統(tǒng)的角度進行了優(yōu)化。它提供了一個 SNMP NMS 和 AGENT 的完整的系統(tǒng)框架。從安全角度來講， SNMPv3 使用了基于用戶的安全模式（ USM）和基于視圖的訪問控制模式（ VACM）。 USM 使用 MD5 或者 SHA 對報文進行驗證，使用 DES 對報文進行加密。這樣保證了數(shù)據(jù)的完整性和正確性。 VACM 則對當前用戶的訪問權限進行檢查，看當前用戶是否可以對管理數(shù)據(jù)進行操作。關于 USM 和 VACM 的詳細介紹可以參見 RFC2574 和RFC2575。 網(wǎng)管訪問控制列表 在大多數(shù)網(wǎng)絡中，合法的 SNMP 報文將來自于某幾個網(wǎng)管站。 SNMP Agent 應使用訪問列表對 SNMP 報文進行限制，僅僅允許指定 IP 地址的網(wǎng)管站訪問。 HTTP 訪問 HTTP 訪問方式通過 HTTP 協(xié)議對設備進行配置和監(jiān)控，同樣是對設備的一種交互訪問方式。 HTTP 用戶驗證 對 HTTP 客戶端進行身份認證，可以選擇采用本地或 RADIUS、 TACACS 協(xié)議等多種方式進行認證。但目前 HTTP 協(xié)議本身僅支持明文驗證。 HTTP 訪問控制列表 與訪問受限的網(wǎng)管站和 tel 客戶端一樣， 限制那些 HTTP 客戶端能夠對設備進行訪問。 設備服務安全 網(wǎng)絡設備存在很多默認打開的服務，可能對網(wǎng)絡構成潛在威脅。針對網(wǎng)絡需求的實際情況，關閉不必要的服務，可以增強網(wǎng)絡設備的健壯性。對于具體網(wǎng)絡環(huán)境，我們建議關閉以下一些應用或服務： （ 1） 關閉 TCP 和 UDP 的小端口服務； 早期的 TCP/UDP 端口服務，設計比較簡單，沒有考慮網(wǎng)絡安全問題，這類小端口服務可能被惡意攻擊者利用。 例如， 7 號 UDP 端口服務“ echo”回應所有發(fā)送給它的包， 19 號 UDP 端口服務“ chargen”自動發(fā)送字符串。常見網(wǎng)絡攻擊中， UDP 洪水就是利用 chargen 和 echo 來傳送毫無用處的占湖南工業(yè)職業(yè)技術學院 網(wǎng)絡技術專業(yè)教學資源庫 20 滿帶寬的數(shù)據(jù)：通過偽造與某一主機的 Chargen 服務之間的一次的 UDP 連接，回復地址指向開著 Echo 服務的一臺主機，這樣就生成在兩臺主機之間的足夠多的無用數(shù)據(jù)流，從而消耗網(wǎng)絡帶寬。其他常見的端口服務索引參見 RFC1700。 如果網(wǎng)絡設備實現(xiàn)了這些早期的小端口服務，應能通過一條指令關閉所有的小端口服務。 作為網(wǎng)絡設備，最好不實現(xiàn)這些無用的小端口服務。 （ 2） 關閉協(xié)議服務 設備上提供很多服務和應用，在不同的網(wǎng)絡環(huán)境中這些服務可能是不必要的，若開啟這些服務將對 設備自身性能造成影響，因此需要這些關閉服務；有些服務還會帶來潛在的安全問題，也同樣需要關閉。 關閉 ftp 服務 利用 ftp 服務，遠程主機可登錄到網(wǎng)絡設備進行文件上傳，若被惡意攻擊者利用，則可導致網(wǎng)絡設備 關閉 finger 服務 設備上提供很多服務和應用，在不同的網(wǎng)絡環(huán)境中這些服務可能是不必要的，若開啟這些服務將對設備自身性能造成影響，因此需要這些關閉服務；有些服務還會帶來潛在的安全問題，也同樣需要關閉。 關閉 NTP 協(xié)議服務 NTP 協(xié)議用來在整個網(wǎng)絡發(fā)布精確時鐘。通常在設備上指定特定的接口去發(fā)送和接收 NTP報文； 同時在某些特定接口上禁止接收 NTP 報文，以減少對設備性能的損耗。 關閉 sourceroute、 ARP 代理、定向廣播服務； 關閉 ICMP 網(wǎng)絡不可達、 IP 重定向、路由器掩碼回應服務； 網(wǎng)絡攻擊防護 欺騙類型攻擊防護 隨著網(wǎng)絡病毒與黑客工具的泛濫，網(wǎng)絡環(huán)境中經常存在有病毒攻擊或者黑客攻擊所引起的欺騙類型攻擊，如 DHCP 欺騙攻擊、 ARP 欺騙攻擊等。 （ 1） DHCP 欺騙防護 辦公網(wǎng) 采用“純靜態(tài) IP 地址”分配模式，因此需要從接入交換機中禁止 DHCP Relay 功能，同時通過訪問控制列表，拒絕所有 DHCP 報文，禁止 DHCP 應用在 辦公網(wǎng) 使用。 （ 2） ARP 欺騙防護 湖南工業(yè)職業(yè)技術學院 網(wǎng)絡技術專業(yè)教學資源庫 21 XX 接入層交換機通過 ARPCHECK 技術，對每一個 ARP 報文進行深度的檢測，即檢測 ARP報文中的源 IP 和源 MAC 是否和可信任的 IPMAC 對應表一致，如果不一致，視為非法欺騙報文，進行丟棄，這樣可有效防止安全端口上的 ARP 欺騙，防止非法信息點冒充網(wǎng)絡關鍵設備的 IP（如服務器），造成網(wǎng)絡通訊混亂。 DoS 類型攻擊防護 通過在 XX 接入層設備部署防止 DOS 攻擊，掃描攻擊，能夠有效的避免這二種攻擊行為，節(jié)省了網(wǎng)絡帶寬，避免了網(wǎng)絡設備、服務器遭受到此類攻擊時導致的網(wǎng) 絡中斷。 網(wǎng)絡病毒控制 對于常見的比如沖擊波、振蕩波病毒等對網(wǎng)絡危害特別嚴重的網(wǎng)絡病毒，本次投標的所有 XX 交換機內置了豐富的 ACL 功能，能夠對這些病毒進行防范，一旦某個用戶不小心感染上了這種類型的病毒，不會影響到網(wǎng)絡中的其他用戶，保證了 辦公網(wǎng) 帶寬的有效利用。 最有效的防病毒配置文件如下： ip accesslist extended lan deny udp any any eq 136 deny udp any any eq biosns deny udp any any eq biosdgm deny udp any any eq biosss deny udp any any eq 445 deny udp any any eq 593 deny udp any any eq 1434 deny tcp any any eq 135 deny tcp any any eq 136 deny tcp any any eq 137 deny tcp any any eq 138 deny tcp any any eq 445 deny tcp any any eq 593 deny tcp any any eq 4444 deny tcp any any eq 5800 deny tcp any any eq 5900 湖南工業(yè)職業(yè)技術學院 網(wǎng)絡技術專業(yè)教學資源庫 22 deny tcp any any eq 6667 deny tcp any any eq 5554 deny tcp any any eq 9996 permit ip any any 端口 135 服務 Location Service 說明 Microsoft 在這個端口運行 DCE RPC endpoint mapper 為它的 DCOM 服務。這與 UNIX 111 端口的功能很相似。使用 DCOM 和 RPC 的服務利用計算機上的 endpoint mapper 注冊它們的位置。遠端客戶連接到計算機時，它們查找 endpoint mapper 找到服務的位置。 HACKER掃描計算機的這個端口是為了找到這個計算機上運行 Exchange Server 嗎？什么版本？還有些 DOS 攻擊直接針對這個端口。 端口 13 13 139 服務 NETBIOS Name Service 說明其中 13 138 是 UDP 端口，當通過網(wǎng)上鄰居傳輸文件時用這個端口。而 139 端口通過這個端口進入的連接試圖獲得 NetBIOS/SMB 服務。這個協(xié)議被用于 windows 文件和打印機共享和 SAMBA。還有 WINS Regisrtation 也用它。 端口 445 說明： 445 端口和 139 端口一樣，都是用來開啟 SMB 服務的端口。在 2020 系統(tǒng)里， 445開啟 NBT（共享文件）服務，利用它，你才能看見網(wǎng)上鄰居上的其他電腦，利用這個端口可以獲取主機的相關信息?；ヂ?lián)網(wǎng)上的蠕蟲病毒以及其他病毒，利用這個端口對該機以外的其他 機器進行病毒傳播。在遠程控制方面這個端口作用不是特別大，但是病毒傳播的效果是很明顯的。 應該封閉這些端口，主要有： TCP 13 13 44 59 1025 端口和 UDP 13 1313 445 端口，一些流行病毒的后門端口（如 TCP 274 312 6129 端口），以及遠程服務訪問端口 338 4444 端口 網(wǎng)絡風暴控制 當 LAN 中存在過量的廣播、多播或未知名單播包時，就會導致網(wǎng)絡變慢和報文傳輸超時幾率大大增加。這種情況我們稱之為 LAN 風暴。協(xié)議棧的執(zhí)行錯誤或對網(wǎng)絡的錯誤配置都有可 能導致風暴的產生。我們可以分別針對廣播、多播和未知名單播數(shù)據(jù)流進行風暴控制。當湖南工業(yè)職業(yè)技術學院 網(wǎng)絡技術專業(yè)教學資源庫 23 接口接收到的廣播、多播或未知名單播包的速率超過所設定的閥值時，設備將只允許通過所設定閥值帶寬的報文，超出閥值部分的報文將被丟棄，直到數(shù)據(jù)流恢復正常，從而避免過量的泛洪報文進入 LAN 中形成風暴。 網(wǎng)絡流量控制 為防止網(wǎng)絡中部分用戶遭受病毒攻擊后向網(wǎng)絡發(fā)送大量的攻擊報文，影響單個局域網(wǎng)的穩(wěn)定性，根據(jù)用戶的業(yè)務類型及流量需求分析，對不同的接入用戶進行帶寬控制。通過在接入層交換機的端口開啟 in 方向基于端口的速率限制實現(xiàn)。