.系统增强技术PPT课件

系统增强技术 计算机网络安全技术 1 授课教师 叶家炜计算机科学技术学院网络与信息安全研究所邯郸校区逸夫楼409室Phone 65643187Mobilemail jwye 2 主要内容 概述操作系统安全增强基本思路增强措施典型操作系统的安全增强手段特定应用服务安全增强数据库系统增强Apache服务安全增强案例讨论 3 概述 系统增强系统 指的是主机系统 可以将此概念扩大到网络系统 存储系统等等系统增强 指的是系统安全性增强 即通过补丁 配置 裁剪等技术手段 提高系统的安全性系统增强的目的 消除安全隐患降低系统安全风险 4 概述 系统增强的基本过程系统应用需求分析系统安全性评估设计系统增强方案制订系统备份和恢复流程制订应急响应预案部署系统增强措施系统增强的基本要求不影响原有系统应用的功能和性能有效消除系统隐患 5 操作系统安全增强 基本思路增强措施更新补丁及最小化服务增强用户认证与访问控制系统漏洞扫描与入侵检测安全审计及其它典型操作系统的安全增强手段WindowsLinux Unix 6 操作系统安全增强 基本思路特定的安全操作系统优点 安全性高缺点 实施难度大 成本高 缺乏通用性 兼容性差对通用操作系统进行增强与改进优点 实施简单 实施周期短 开发成本较低 不影响原操作系统的功能 具有很好的兼容性和通用性缺点 受原操作系统的架构限制 安全性提升有限 7 操作系统安全增强 增强措施更新补丁更新补丁的目的 修补系统漏洞 预防病毒入侵和黑客攻击更新补丁的方法手动更新在线更新更新补丁需要注意的问题兼容性问题系统停止时间 8 操作系统安全增强 增强措施最小化服务最小化服务的目的减少系统对外的通信端口 降低系统被攻击的可能性降低无用服务对系统资源的占用 提升系统效率最小化服务的方法分析系统的应用和服务现状关闭不必要的服务关闭不必要的启动项最小化服务需要注意的问题谨慎对待系统服务注意服务之间的依赖关系回滚机制与应急预案 9 操作系统安全增强 增强措施增强用户认证和访问控制增强操作系统的用户认证和访问控制 目的从用户认证 权限分配和管理 访问控制的角度 提升操作系统的安全性一般手段增强密码管理 复杂度要求 定期修改等 权限最小化原则限制超级用户 Administrator root 限制远程登录使用工具 LIDS TCPWrapper等 10 操作系统安全增强 增强措施系统漏洞扫描利用工具对操作系统的安全状况进行分析与检测 寻找已知的漏洞或不安全配置 为系统增强提供依据两种类型的工具针对操作系统中的文件系统 共享文件 权限设置 密码策略等进行扫描和分析 需要安装在主机内 DumpSec COPS 通过网络对主机进行扫描 嗅探可能存在的漏洞 Nmap Nessus 11 操作系统安全增强 增强措施入侵检测监控系统被入侵的情况两种基本方式安装入侵检测工具 实时发现入侵行为通过对系统日志进行分析和审查 事后发现入侵行为分析入侵行为的要点When 时间规律 Where 漏洞或突破点 What 做了什么事 留了什么后门等 Who 涉及哪些用户 12 操作系统安全增强 增强措施系统完整性检查检查主机系统中文件系统的完整性 及时发现潜在的针对文件系统的无意或恶意的更改必要性攻击者在入侵成功后 经常在文件系统中安装后门或者木马程序 以方便后继的攻击活动 攻击者还可能安装非授权的特定程序 并且替换掉特定的系统程序 以掩盖非授权程序的存在 为了防止攻击活动的痕迹 攻击者还可能删除若干重要系统日志文件中的审计记录 入侵者还可能为了达成拒绝服务攻击目的或者破坏目的 恶意修改若干重要服务程序的配置文件或者数据库数据 包括系统安全策略的配置信息等 13 操作系统安全增强 增强措施系统完整性检查基本思想对所要检查的每个目标文件生成一个惟一标识符 并将它们存储到一个数据库中 进行检查时 对每个目标文件重新生成新的标识符 并将新标识符与数据库中存储的旧版本进行比较 确定目标文件是否发生了更改 TripWire 使用单向消息摘要算法 计算每个目标文件的校验和特征信息 然后将其存储到可靠的安全存储介质上 只读光盘等 系统定时地计算目标文件的校验和特征 并与预先存储的特征信息进行比较 如果出现了差异 则向系统管理员发出报告信息 14 操作系统安全增强 增强措施系统配置分析通过检查系统的当前配置情况 来判断系统系统是否已经受到入侵活动的侵害 或者存在有可能被入侵的危险COPS系统 所检查的系统安全范围包括类型众多 有文件 目录和设备的访问权限模式 脆弱的口令设置 口令文件和组用户文件的安全性 格式和内容 检查在 etc rc 目录和cron中指定运行的文件和程序 等11项U Kuang系统 对UNIX系统文件系统的配置情况进行基于规则的安全分析 检查安全配置的错误之处 15 操作系统安全增强 增强措施安全审计利用系统日志或专门的审计软件 对系统中的事件和操作行为进行记录 便于事后追踪和分析其它主机端防火墙防病毒软件 16 操作系统安全增强 典型操作系统的安全增强手段Windows本地安全策略密码策略账户锁定策略审核策略用户权限分配安全选项 17 操作系统安全增强 典型操作系统的安全增强手段Windows用户账户管理禁用Guest账户删除多余账户合理分配权限设置强口令及时更新系统补丁 18 操作系统安全增强 典型操作系统的安全增强手段Windows禁用不必要的系统服务AlerterComputerBrowserMessengerRemoteRegistryPrintSpooler禁用暂时不用的应用服务DNSServerDHCPServerSNMPFTPServerTelnetServerTerminalService 19 操作系统安全增强 典型操作系统的安全增强手段Linux Unix开启口令复杂性要求口令长度口令复杂度用户账户优化合理配置应用帐号或用户自建帐号权限 删除系统中多余的自建帐号 禁用或删除非root的超级用户 限制能够su为root的用户设置帐户锁定登录失败锁定次数 锁定时间修改帐户TMOUT值 设置自动注销时间 20 操作系统安全增强 典型操作系统的安全增强手段Linux Unix限制远程访问关闭多余的远程管理方式 使用SSH代替Telnet管理维护主机 设置访问控制策略限制能够访问本机的用户或IP地址 禁止root用户远程登录 在主机信任关系配置文件中 删除远程信任主机在不影响业务系统正常运行情况下 停止或禁用与承载业务无关的服务屏蔽与承载业务无关的网络端口关注系统漏洞公告 及时更新系统补丁 21 操作系统安全增强 典型操作系统的安全增强手段Linux Unix配置系统重要文件的访问控制策略 严格限制访问权限 如读 写 执行 避免被普通修改和删除 设置合理的初始文件权限合理配置日志配置系统日志策略配置文件 使系统对鉴权事件 登录事件 重要的系统管理 系统软硬件故障等进行审计 对审计产生的数据分配合理的存储空间和存储时间 设置合适的日志配置文件的访问控制避免被普通用户修改和删除 22 特定应用服务安全增强 数据库系统增强数据库是绝大多数应用系统的核心 其自身的安全性 关系到信息系统整体安全防护的效果数据库系统面临的安全威胁偶然的 无意识的侵犯或破坏人为的失误 或蓄意的侵犯和攻击病毒 特洛伊木马等恶意程序天窗 隐通道藏在合法程序内部的一段程序代码 信息的非正常的扩散 泄密 由授权读取的数据 通过推论得到不应访问的数据 对信息的非正常的修改 包括破坏数据一致性的非法修改以及删除 绕过DBMS直接对数据进行读写 23 特定应用服务安全增强 数据库安全增强基本思路关注系统漏洞 及时更新补丁加强权限管理 禁止非授权访问存储加密和通信加密精简数据库 删除示例数据库和多余的网络连接协议合理使用审计功能启用数据库自身的审计功能 记录各种操作行为利用第三方网络审计 记录针对数据库的访问行为 24 特定应用服务安全增强 数据库系统增强MySQL数据库安全增强账号管理及权限控制在操作系统用户中删除或禁用调试帐号禁止匿名访问限制应用用户在数据库中的权限 尽量保证最小化限制运行MySQL数据库服务用户的权限 删除其主目录 删除shell删除系统中多余的自建帐号为所有用户设置强口令 25 特定应用服务安全增强 数据库系统增强MySQL数据库安全增强数据访问控制严格限制MySQL数据库对象的访问权限 合理配置数据库权限级别限制数据库配置文件的访问限制 只允许管理员或root访问服务设置停止或禁用与承载业务无关的服务删除测试数据库和示例数据库删除历史命令记录 26 特定应用服务安全增强 数据库系统增强MySQL数据库安全增强网络访问控制在不影响应用的前提下 删除命名管道等应用协议 只保留TCP IP协议在不影响应用的前提下 更改MySQL默认的3306端口审计策略启用审计功能 使系统能够自动地记录对数据库的重要连接和系统更改行为配置日志管理策略 限制非法访问和修改审计日志文件删除数据库安装时默认生成的安装日志文件 或清除相关日志文件中保存的口令 27 特定应用服务安全增强 数据库系统增强MySQL数据库安全增强安装系统安全补丁 对扫描或手工检查发现的系统漏洞进行修补启用数据库的通信加密功能 保证与数据库系统通信的数据在网络传输过程中的安全 28 特定应用服务安全增强 Apache服务安全增强Apache使用最为广泛的Web服务器软件之一Web服务往往是入侵和攻击的主要对象安装Apache的服务器 不应成为入侵和攻击的跳板 29 特定应用服务安全增强 Apache服务安全增强数据访问控制禁止非授权用户和组对Apache启动文件 配置文件 根目录的写和执行权限使用 htaccess设置敏感目录或文件的访问权限编辑Apache配置文件 限制域 IP地址或者IP网段对敏感目录访问服务设置删除Apache不必要服务组件删除不需要的模块 30 特定应用服务安全增强 Apache服务安全增强审计策略开启Apache的日志记录功能 并设置适合的日志文件等级与格式修改Apache日志的存放路径 保证日志安全可靠存放修改日志访问权限 设置为只有属主和系统管理员才能访问启用Apache的连接超时中断功能 并设置恰当的超时时间安装补丁修补相关漏洞 31 特定应用服务安全增强 Apache服务安全增强使用mod security工具mod security是一个集入侵检测和防御引擎功能的开源web应用安全程序 或web应用程序防火墙 它以ApacheWeb服务器的模块方式运行 目标是增强web应用程序的安全性 防止web应用程序受到已知或未知的攻击 功能特点请求过滤 当请求提交时 在对提交的数据被web服务器或其他程序使用之前进行分析 避免逃避技术 在对数据进行分析之前将路径和参数一般化 以避免遗漏 理解HTTP协议 由于引擎能够理解HTTP协议 故能进行特殊的细粒度的检查POST数据分析 引擎将截取采用POST方式传递的数据审计纪录 能够详细记录每一组请求的内容 包括POST的内容 以备日后详细