【正文】 統(tǒng)需檢查的內(nèi)容和對(duì)應(yīng)命令。 應(yīng)急保障措施描述升級(jí)中出現(xiàn)問題時(shí)，如何實(shí)施應(yīng)急保障和恢復(fù)，并提供對(duì)應(yīng)的命令。6 特定的安全配置下面涉及特定的安全配置不是所有設(shè)備都具有的，同時(shí)考慮到部分特定的安全設(shè)置是通過 ACL 實(shí)現(xiàn)的， 為了確保設(shè)備性能，在具體實(shí)施時(shí)，最好 獲取廠商的建議實(shí)施。在這只能對(duì)部分共有的設(shè)備特定安全配置進(jìn)行描述，對(duì)一些設(shè)備特有的，在各分冊(cè)中具體描述。 更改標(biāo)準(zhǔn)端口由于部分服務(wù)，如 Tel、HTTP、SNMP 等本身存在的一些安全缺陷，為提高設(shè)備的安全性，建議更改部分應(yīng)用的標(biāo)準(zhǔn)端口號(hào)，特別時(shí)網(wǎng)管協(xié)議的端口號(hào)，如 Tel、HTTP、SNMP 等。將協(xié)議運(yùn)行在非標(biāo)準(zhǔn)端口上，如“49152 至 65535。25 / 32強(qiáng)烈建議，如要使用 HTTP、Tel、SNMP 服務(wù)進(jìn)行管理時(shí)，更改其標(biāo)準(zhǔn)端口號(hào)（如果支持的話），并對(duì) 其進(jìn)行強(qiáng)口令認(rèn)證和訪問地址限制。注意不是所有的設(shè)備都支持此項(xiàng)功能。各設(shè)備規(guī)范分冊(cè)提供詳細(xì)的設(shè)置命令。 關(guān)閉不必要的服務(wù)有些網(wǎng)絡(luò)設(shè)備本身提供了許多比較危險(xiǎn)的服務(wù)如 CISCO 設(shè)備的 CDP、TCP和 UDP Small、Finger、HTTP、BOOTp、ARPProxy、IP Directed Broadcast、IP Classless、WINS 和 DNS 等等，Extreme 的 EDP、HTTP 等， 這些服務(wù)存在潛在的安全漏洞，并存在信息泄漏的問題。 對(duì)該類服務(wù)的建 議是，如果不需要服 務(wù)，強(qiáng)烈關(guān)閉這些服務(wù)，尤其是 HTTP 服務(wù)。各設(shè)備規(guī)范分冊(cè)對(duì)上述服務(wù)的問題進(jìn)行描述，并提供設(shè)置的相關(guān)命令。 防 DOS 攻擊DoS（拒絕服務(wù)攻擊）是通過使你的服務(wù)計(jì)算機(jī)崩潰或把它壓跨來阻止你提供服務(wù)。簡單的來說，就是讓你的計(jì)算機(jī)提供可能多的服務(wù)從而使你的計(jì)算機(jī)陷入崩潰的邊緣或崩潰。一般服 務(wù)拒絕攻擊有如下的一些常用的手法有：死亡之 ping （ping of death）、淚滴（ teardrop）、UDP 洪水（UDP flood）、TCP SYN（SYN flood）、 攻擊等。目前 DoS 攻擊又出現(xiàn)了新的攻擊方式，如 DDoS。DDoS(分布式拒絕服務(wù))，它的英文全稱為 Distributed Denial of Service，它是一種基于 DoS 的特殊形式的拒絕服務(wù)攻擊，是一種分布、協(xié)作的大規(guī)模攻擊方式，主要瞄準(zhǔn)比較大的站點(diǎn)，象商業(yè)公司，搜索引擎和政府部門的站點(diǎn)。26 / 32對(duì) DoS 攻擊在發(fā)生前完全阻止 DoS 攻擊幾乎是不可能的事，但通過設(shè)備上的相關(guān)過濾和限速技術(shù)，可以最大限度地降低此類攻擊的影響。但對(duì)上述技術(shù)的實(shí)施有可能會(huì)對(duì)設(shè)備的性能造成影響，在實(shí)施時(shí)建議獲取設(shè)備提供商的意見。對(duì) DoS 攻擊的有效防范方法之一是監(jiān)視具體的分組，配置過濾器，在分 組數(shù)量達(dá)到用戶規(guī)定的門限時(shí)丟棄分組。另一種方法是開啟相關(guān)限速功能，如在所有邊緣限制網(wǎng)絡(luò)接納的 ICMP 分組數(shù)量，從而降低 smurf 攻擊的影響。下面分別對(duì)幾類典型的 DoS 攻擊及防范作一介紹。 Smurf 進(jìn)攻的防范。Smurf 攻擊是向包含大量主機(jī)的網(wǎng)絡(luò)執(zhí)行帶有特定請(qǐng)求（如 ICMP 回應(yīng)請(qǐng)求）的包，攻擊者的 IP 地址并不是這個(gè)廣播 ping 的信源地址，而是將源地址 偽裝成想要攻擊的主機(jī)地址。接到 這個(gè)廣播 ping 的所有主機(jī)都會(huì)向攻 擊者標(biāo)明的主機(jī)作出回應(yīng)，結(jié)果導(dǎo)致受攻擊 的主機(jī)超載，與 該主機(jī)相 連的多條鏈路都會(huì)飽和。Smurf 如下圖所示：27 / 32Intermediary Hosts (Several on Same Sub)：中間主機(jī)（多臺(tái)中間主機(jī)位于同一個(gè)子網(wǎng)上）Attacker39。s Workstation：攻擊者的工作站Your Server：你的服 務(wù)器Smurf 攻擊分成兩種類型：對(duì)路由器的攻擊和對(duì)網(wǎng)絡(luò)上主機(jī)的攻擊。此外，smurf 攻 擊目 標(biāo)路由器的方式也有兩種：路由器可以是中間路由器，也可以是真正的攻擊目標(biāo)。有些路由器默認(rèn)取消了定向廣播功能，這使得定向廣播功能不能通過，如juniper 的 M 系列路由器。有些設(shè)備本身具有限制指向路由器的 ICMP 回應(yīng)請(qǐng)求速率功能，這使得路由器即使在遭受攻擊時(shí)，仍能 繼續(xù)進(jìn)行正常處理工作，juniper 的 M 系列路由器支持該功能。在設(shè)備分冊(cè)中，對(duì)各類設(shè)備 smurf 攻擊的發(fā)現(xiàn)和防范方法作了詳細(xì)介紹。28 / 32 TCP SYN 的防范。利用 TCP 連 接機(jī)制的攻擊。 Synflood: 該攻擊以多個(gè)隨機(jī)的源主機(jī)地址向目的主機(jī)發(fā)送 SYN 包，而在收到目的主機(jī)的 SYN ACK 后并不回應(yīng)，這樣，目的主機(jī)就為這些源主機(jī)建立了大量的連接隊(duì)列，而且由于沒有收到 ACK 一直維護(hù)著這些隊(duì)列，造成了資源的大量消耗而不能向正常請(qǐng)求提供服務(wù)。而正確的信息交換過程應(yīng)該是：客戶機(jī) 服務(wù)器SYN SYN_ACKACK一般來說，半個(gè)會(huì)話不會(huì)導(dǎo)致重大損害，因 為服務(wù)器會(huì)認(rèn)為會(huì)話超時(shí)， 繼續(xù)進(jìn)行正常的處理工作。在 SYN 泛濫的情況下，假冒客戶機(jī)發(fā)起半個(gè)會(huì)話，因此不能完成三方詢問。攻擊者以非?？斓乃俣劝l(fā)起這些 SYN 攻擊，操作系統(tǒng)會(huì)預(yù)留資源，等待永遠(yuǎn)不會(huì)到來的最終 ACK，其 對(duì)服務(wù)器的影響包括耗盡內(nèi)存，導(dǎo)致系統(tǒng)癱瘓，直至使用所有可用服務(wù)，從而拒 絕能夠建立 連接的合法用戶。29 / 32網(wǎng)絡(luò)設(shè)備一般可以以多種方式最大限度地降低了對(duì)主機(jī)的SYN攻擊，如：? 通過限制了設(shè)備上服務(wù)數(shù)量； ? 正確配置設(shè)備，使得只能從信任的地址建立服務(wù)；通過上述限制，使得即使從保護(hù)的地址上發(fā)起SYN泛濫，由于它限制了內(nèi)核允許的連接數(shù)量，因此不會(huì)出現(xiàn)內(nèi)存耗盡的問題。在設(shè)備分冊(cè)中，對(duì)各類設(shè)備 TCP SYN 攻擊的發(fā)現(xiàn)和防范方法作了詳細(xì)介紹。 進(jìn)攻的防范攻擊者將一個(gè)包的源地址和目的地址都設(shè)置為目標(biāo)主機(jī)的地址，然后將該包通過 IP 欺騙的方式發(fā)送給被攻擊主機(jī)， 這種包可以造成被攻擊主機(jī)因試圖與自己建立連接而陷入死循環(huán)，從而很大程度地降低了系統(tǒng)性能。在 攻擊中，一個(gè)特別打造的 SYN 包它的原地址和目標(biāo)地址都被 設(shè)置成某一個(gè)服務(wù)器地址，此舉將導(dǎo)致接受服務(wù)器向它自己的地址發(fā)送 SYNACK 消息，結(jié)果這個(gè)地址又發(fā)回 ACK 消息并創(chuàng)建一個(gè)空連接，每一個(gè)這樣的連接都將保留直到超時(shí)掉，對(duì) 攻擊反 應(yīng)不同， 許多 UNIX 實(shí)現(xiàn)將崩潰，NT 變的極其緩慢（大約持續(xù)五分鐘）。對(duì) 攻擊的最好防范是對(duì)進(jìn)入 IP 流量的源地址 進(jìn)行限制。 ICMP 協(xié)議的安全配置。ICMP 的全名是 Inter Control and Message Protocal 即因特網(wǎng)控制消息/錯(cuò)誤報(bào)文協(xié)議，這個(gè)協(xié)議主要是用來進(jìn)行錯(cuò)誤信息和控制信息的傳遞，例如著名的30 / 32Ping 和 Tracert 工具都是利用 ICMP 協(xié)議中的 ECHO request 報(bào)文進(jìn)行的（請(qǐng)求報(bào)文 ICMP ECHO 類型 8 代碼 0，應(yīng)答報(bào)文 ICMP ECHOREPLY 類型 0 代碼 0）。ICMP 協(xié)議有一個(gè)特點(diǎn)它是無連結(jié)的，也就是說只要發(fā)送端完成 ICMP 報(bào)文的封裝并傳遞給路由器，這個(gè)報(bào)文將會(huì)象郵包一樣自己去尋找目的地址，這個(gè)特點(diǎn)使得 ICMP 協(xié)議非常靈活快捷，但是同時(shí)也帶來一個(gè)致命的缺陷易偽造（郵包上的寄信人地址是可以隨便寫的），任何人都可以偽造一個(gè) ICMP 報(bào)文并發(fā)送出去，偽造者可以利用 SOCK_RAW 編程直接改寫報(bào)文的 ICMP 首部和 IP 首部，這樣的報(bào)文攜帶的源地址是偽造的，在目的端根本無法追查，（攻擊者不怕被抓那還不有恃無恐？）根據(jù)這個(gè)原理，外面出現(xiàn)了不少基于 ICMP 的攻擊軟件，有通過網(wǎng)絡(luò)架構(gòu)缺陷制造 ICMP 風(fēng)暴的，有使用非常大的報(bào)文堵塞網(wǎng)絡(luò)的，有利用ICMP 碎片攻擊消耗服務(wù)器 CPU 的，甚至如果將 ICMP 協(xié)議用來進(jìn)行通訊，可以制作出不需要任何 TCP/UDP 端口的木馬）。考慮到 ICMP 協(xié)議存在的問題，有必要 對(duì)設(shè)備 ICMP 協(xié)議的使用進(jìn)行控制，如禁止 ICMP 協(xié)議的 ECHO、Redirect、Mask request 對(duì)設(shè)備的訪問；同時(shí)對(duì)于流出的 ICMP 流，可以允許 ECHO、Parameter Problem、Packet too big。 其他特定的安全配置由于特定的安全設(shè)置在不同設(shè)備上的表現(xiàn)不同，在這只能提出一些思路，具體見各設(shè)備分冊(cè)，還有下列安全配置可以考慮：? 對(duì) COM/AUX 等端口的管理要求? 禁止從網(wǎng)絡(luò)啟動(dòng)和自動(dòng)從網(wǎng)絡(luò)下載初始配置文件。? 禁止未使用或空閑的端口31 / 32? banner 的 設(shè)置要求? 對(duì) TraceRoute 命令使用的限制。? IP 欺騙得簡單防護(hù)。32 / 32第四部分 附表附件一：中國移動(dòng)通信集團(tuán)網(wǎng)絡(luò)設(shè)備安全配置規(guī)范juniper 路由器附件二：中國移動(dòng)通信集團(tuán)網(wǎng)絡(luò)設(shè)備安全配置規(guī)范－思科路由器分冊(cè)附件三：中國移動(dòng)通信集團(tuán)網(wǎng)絡(luò)設(shè)備安全配置規(guī)范－華為路由器分冊(cè)附件四：中國移動(dòng)通信集團(tuán)網(wǎng)絡(luò)設(shè)備安全配置規(guī)范extremm 交換機(jī)附件五：中國移動(dòng)通信集團(tuán)網(wǎng)絡(luò)設(shè)備安全配置規(guī)范－思科 catalyst 交換機(jī)分冊(cè)附件六：中國移動(dòng)通信集團(tuán)網(wǎng)絡(luò)設(shè)備安全配置規(guī)范－華為交換機(jī)分冊(cè)附件七：中國移動(dòng)通信集團(tuán)網(wǎng)絡(luò)設(shè)備安全配置規(guī)范－華為 NASMaster2 .1附件八：中國移動(dòng)通信集團(tuán)網(wǎng)絡(luò)設(shè)備安全配置規(guī)范－華為 NASMaster3 .5附件九：中國移動(dòng)通信集團(tuán)網(wǎng)絡(luò)設(shè)備安全配置規(guī)范－思科 pix 分冊(cè)附件十：中國移動(dòng)通信集團(tuán)網(wǎng)絡(luò)設(shè)備安全配置規(guī)范NetScreen 分