操作系統(tǒng)安全第十一章安全操作系統(tǒng)應(yīng)用-資料下載頁(yè)
2025-01-09 21:49本頁(yè)面
【正文】 由于許多網(wǎng)絡(luò)工具，如防火墻，入侵檢測(cè)系統(tǒng) (功 S)也在內(nèi)部作了分片組裝，如果處理不當(dāng)，也同樣會(huì)遭受攻擊，如著名的 checkpoint的防火墻 FW1某些版本 (最新的已經(jīng)改正了 )便同樣會(huì)受到碎片 DOS攻擊。碎片也可以用來(lái)逃避 IDS檢測(cè)，許多網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的機(jī)理是單 IP包檢測(cè)，沒(méi)有處理分片，即使是象 ISS這樣的公司也是在最新的 能，更不用說(shuō) snort了，其 IP組裝插件經(jīng)常造成系統(tǒng)錯(cuò)誤，因此大多數(shù)人都將此功能關(guān)閉了。 ? （ 2）對(duì)碎片攻擊的防御 ? 這里主要介紹安全操作系統(tǒng)網(wǎng)絡(luò)的碎片組裝程序，首先對(duì)關(guān)鍵數(shù)據(jù)結(jié)構(gòu)描述。 ? 在我們的安全防火墻操作系統(tǒng)中，用四元組 (數(shù)據(jù)包的功號(hào)，源 IP地址，目的 IP地址，協(xié)議號(hào) )，表示一個(gè) IP碎片，四個(gè)值都相同的碎片在一個(gè) IPQ鏈中按到達(dá)操作系統(tǒng)的先后次序連接，所有的 IP碎片通過(guò)哈稀表組織起來(lái)。哈稀表的大小為 64，哈稀計(jì)算表達(dá)式為： ? ? ((id)1)^(saddr)^(daddr)^(prot))amp。(IPQ_HASHSZ1)) ? 其中 id為數(shù)據(jù)包的 ID號(hào)， saddr為源 IP地址，daddr為目的 IP地址， proto為協(xié)議號(hào)，IPQ_HASHSZ為哈稀表的最大值，在此為64。 ^表示邏輯異或算法。具體的數(shù)據(jù)結(jié)構(gòu)可以表示為如圖 。 本章小結(jié) ? 在本章中 ,我們針對(duì)安全操作系統(tǒng)的兩種應(yīng)用 ,即 WWW安全與防火墻系統(tǒng)安全。首先介紹了 WWW服務(wù)系統(tǒng)中 HTTP協(xié)議中的常用命令，并且對(duì)目前流行的 WWW服務(wù)器的特性和支持的操作系統(tǒng)作了比較。然后介紹了基于 Web通信中存在的弱點(diǎn)，提出了安全 Web服務(wù)器的概念，同時(shí)為了將多級(jí)安全機(jī)制整合到 Web服務(wù)器中，介紹了一種基于 BLP形式化模型的安全 Web服務(wù)器系統(tǒng) — SecWeb。最后，介紹了防火墻為核心技術(shù)：包過(guò)濾防火墻、代理防火墻、狀態(tài)監(jiān)控防火墻；論述了最常用的防火墻的類型即堡壘主機(jī)網(wǎng)關(guān)、雙穴主機(jī)網(wǎng)關(guān)、被屏蔽主機(jī)網(wǎng)關(guān)。重點(diǎn)介紹了防火墻涉及的安全技術(shù)和防火墻利用安全操作系統(tǒng)的保護(hù)機(jī)制。 實(shí)驗(yàn)：配置 Linux下的防火墻 【 實(shí)驗(yàn)?zāi)康?】 通過(guò)本實(shí)驗(yàn)，掌握在 Linux系統(tǒng)平臺(tái)下用 ipchains配置防火墻的方法。 【 實(shí)驗(yàn)準(zhǔn)備 】 1. 網(wǎng)絡(luò)中包括兩個(gè)子網(wǎng) A和 B。子網(wǎng) A的網(wǎng)絡(luò)地址為，網(wǎng)關(guān)為 host A。 Host A有兩個(gè)接口，eth0和 eth1。 Eth0連接子網(wǎng) A， IP地址為 。eth1連接外部網(wǎng)絡(luò)， Ip地址為 。子網(wǎng) B的網(wǎng)絡(luò)地址為 ，網(wǎng)關(guān)為 host B。 Host B有兩個(gè)網(wǎng)絡(luò)接口， eth0和 eth1。 Eth0連接子網(wǎng) B， IP地址為。 eth1連接外部網(wǎng)絡(luò)， Ip地址為 。Host A和 Host B構(gòu)成子網(wǎng) C，網(wǎng)絡(luò)地址是 ，通過(guò)交換機(jī)連接到 Host C，然后通過(guò) host C連接 Inter。Host C的內(nèi)部網(wǎng)絡(luò)接口為 eth0， IP地址為 。 實(shí)驗(yàn)：配置 Linux下的防火墻 2. 在 host A、 host B、 host C上都已經(jīng)裝好 Linux系統(tǒng)，并且在hostC上已經(jīng)設(shè)置好了 Squid代理服務(wù)器。 【 實(shí)驗(yàn)要求 】 在 host A上用 ipchains配置防火墻，實(shí)現(xiàn)如下規(guī)則： 1. 允許轉(zhuǎn)發(fā)數(shù)據(jù)包，保證 host A的路由功能； 2. 允許所有來(lái)自子網(wǎng) A內(nèi)的數(shù)據(jù)包通過(guò)； 3. 允許子網(wǎng) A內(nèi)的主機(jī)對(duì)外發(fā)出請(qǐng)求后返回的 TCP數(shù)據(jù)包進(jìn)入子網(wǎng) A； 4. 只允許子網(wǎng) A外的客戶機(jī)連接子網(wǎng) A內(nèi)的客戶機(jī)的 22號(hào) TCP端口，也就是只允許子網(wǎng) A外的主機(jī)對(duì)子網(wǎng) A內(nèi)的主機(jī)進(jìn)行 SSH連接； 實(shí)驗(yàn)：配置 Linux下的防火墻 5. 禁止子網(wǎng) A外的主機(jī) ping子網(wǎng) A內(nèi)的主機(jī)，也就是禁止子網(wǎng) A外的 ICMP包進(jìn)入子網(wǎng) A。 【 實(shí)驗(yàn)步驟 】 1. 配置防火墻 （ 1）登錄到 host A，清空所有鏈中的規(guī)則： ipchains –F （ 2）添加默認(rèn)策略，允許所有數(shù)據(jù)包通過(guò)： ipchains –P input accept ipchains –P output accept ipchains –P forward accept （ 3）允許來(lái)自子網(wǎng) A內(nèi)的數(shù)據(jù)包通過(guò)： ipchains –A input –I ethl –s –j accept ipchains –A input –I eth0 –s –j deny （ 4）允許子網(wǎng) A外的主機(jī)對(duì) A內(nèi)的主機(jī)進(jìn)行 SSH連接，而禁止所有其他的初始連接： ipchains –A input –I eth0 –d ! 22 –p tcp –y –j deny 實(shí)驗(yàn)：配置 Linux下的防火墻 （ 5）禁止子網(wǎng) A外的主機(jī) ping子網(wǎng) A內(nèi)的主機(jī)： ipchains –A input –I eth0 –d –p icmp –y –j deny （ 6）查看配置： ipchains –L input 2. 檢測(cè)配置 （ 1）登錄到子網(wǎng) A內(nèi)的一臺(tái)主機(jī)，連接 B中的主機(jī)和 host C，檢測(cè)是否能夠連通（不要用 ping）。 （ 2）登錄到子網(wǎng) B內(nèi)的一臺(tái)主機(jī)，用 SSH命令連接子網(wǎng) A內(nèi)的一臺(tái)開有 SSH服務(wù)的主機(jī)，看是否能連通： ssh –u root （ 3）嘗試連接子網(wǎng) A內(nèi)的主機(jī)的其他服務(wù)端口，檢測(cè)是否能連通。 （ 4）用 ping命令檢測(cè) A內(nèi)的主機(jī)。 【 實(shí)驗(yàn)總結(jié) 】 ? 通過(guò) Linux系統(tǒng)平臺(tái)下進(jìn)行防火墻配置，了解并掌握了網(wǎng)絡(luò)操作系統(tǒng)安全應(yīng)用的實(shí)踐，對(duì)加深理解防火墻利用安全操作系統(tǒng)的保護(hù)機(jī)制有很大用處。 課后習(xí)題 ? ？ ? ，如何理解安全操作系統(tǒng)解決方案？ ? ？防火墻利用安全操作系統(tǒng)的保護(hù)機(jī)制有哪些？
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1