内蒙古大学-校园网计算机安全防护服务器安全ppt课件

.,内蒙古大学网络信息中心,校园网计算机安全防护-服务器安全,.,内容提要,办公电脑安全,Web服务器安全,等级保护安全防护,良的使用习惯,1,2,3,.,办公电脑安全,系统安全维护安装防护软件上网浏览安全遵守计算机使用规定,.,一、系统安全维护,关闭不必要的系统服务（XP/Win7）我的电脑右键管理服务和应用程序服务,.,.,关闭不必要的系统服务,如果以下名称对应的状态为”已启用”请关闭它们Messenger、Telnetservices、DHCPClient、DNSClient、Printspooler、RemoteRegistryservices（选程修改注册表服务）、SNMPServices、TerminalServices选中某一项,单击鼠标右键-属性,.,.,更改”启动类型”为”已禁用”单击”停止”按钮单击”确定”按钮以此方法对以上所有服务执行禁用,.,为用户加上密码,右键单击我的电脑-”管理”,.,保留那些全名和描述都清楚的用户,比如Administrator,IUSR_*,IWAM_*,删除来历不明的用户选中要删除的用户,单击鼠标右键,选择”删除”更改Administrator帐户名选中Administrator帐户,单击鼠标右键,选择”重命名”,尽量取一些有字母有下划线有数字搭配的名称,.,更改帐户密码(千万不要不设密码)选中帐户,单击鼠标右键,选择”设置密码”,尽量将密码设置得复杂一些,尽量包含字母数字和下划线,.,关闭硬盘各分区的默认共享和局域网共享我的电脑右键管理服务和应用程序服务Server右键属性启动类型已禁用。,.,为系统打上补丁(推荐使用系统自动升级服务)（XP）开始-控制面板-自动更新注：微软对XP其免费安全性更新将持续到2014年4月8日，建议升级至win7/8（Win7）开始-控制面板-系统和安全-检查更新,.,.,.,关闭驱动器自动播放(XP/Win7),1、点击“开始”选择“运行”，输入gpedit.msc，并运行，打开“组策略”窗口；2、在左栏的“本地计算机策略”下，打开“计算机配置_管理模板_系统”，再点“系统”，然后在右栏的“设置”标题下，双击“关闭自动播”；,.,.,使用资源管理器浏览文件,强烈建议:浏览各磁盘及文件夹使用资源管理器左侧文件夹窗口打开,避免双击直接打开(因为此过程很可能激活某些自动启动类型病毒和木马)资源管理器的打开:我的电脑-右键-资源管理器.Win7系统已经默认使用资源管理器,.,二、安装防护软件,360安全卫士1、下载并安装：,.,利用360进行系统检测双击屏幕右下角的360图标,启动360-检测根据检测结果依次进行系统的修复和更新开启360的arp防火墙(经常断网、网速慢)启动360-,.,安装McAfee杀毒软件,杀毒软件：,.,三、上网浏览安全,使用正规而专业的搜索引擎查看搜索结果时候，建议以快照方式查看,.,.,.,尽量避免浏览非熟悉网站看新闻建议到新浪、搜狐、中华网、凤凰网等大型门户网站，如果不知道网址可以通过搜索引擎查找,.,强烈建议不使用IE上网，替换方案：FireFox，MaxthonFireFox官方下载：,.,Email安全,不轻易打开来历不明的邮件，特别是含有的附件，不浏览广告邮件E-mail账号不要设置过于简单、容易猜出的密码申请流程如下：1在,.,下载安全,如果使用专业的下载工具，如flashget,迅雷Thunder，建议一定要保持下载工具的及时更新下载的文件建议先进行查毒，特别是可执行程序(.exe)右键单击下载的文件-用安装的杀毒软件扫描文件,.,四、遵守计算机使用规定,三分技术加上七分管理重要文件进行冗余备份按IP分配使用自己的ip，不随意更改，发现自己ip长期冲突，请速与本部门网络管理人员或实验室管理人员联系，有管理人员先行处理或通知网络中心（2504）发现计算机使用异常而无法解决，请速与相关管理人员联系,.,Web服务器安全,Web服务器安全现状Window2003/5与IIS6.0/7.0安全相关配置防范SQL注入式漏洞,.,一、web服务器安全现状,据报道，现在全世界平均每20秒就发生一次计算机网络入侵事件。现在，我们日常使用的U盘、CD、VCD、DVD都可能携带病毒;E-mail、上网浏览、下载以及聊天都可能感染病毒。甚而有之，用户可能不做任何事情就会感染病毒。由于综合等方面的原因，web服务器的安全问题一直隐患重重。据了解，由于现在攻击的多样性复杂性，使得大部分web服务器都存在漏洞。我校部分站点是由学生设计完成，学生安全相关知识了解不全面，设计的站点容易被攻击防范Web服务器被攻击非常必要,.,一、web服务器安全现状,1、Web攻击无处不在攻击形式越来越多攻击方式越来越傻瓜化，攻击人数增多许多学校很多站点都有被攻击的经历如上传ASP木马植入病毒框架甚至篡改主页，删除文件,提高Web服务器的安全防范非常重要,.,一、web服务器安全现状,恐怖的WebShell,.,一、web服务器安全现状,某学院网页服务器上的攻击记录,.,一、web服务器安全现状,校内很多站点目前仍有较明显的安全隐患,还有很多问题不容忽视,.,一、web服务器安全现状,2、我校Web服务器采用平台及技术分析98%的服务器采用Windows平台（Win2000和Win2003/5），2%采用Linux服务器Web开发技术分析：ASP-50%ASP.NET-30%PHP10%JSP10%ASP危险的隐患,.,二、Windows2003及IIS6配置,1、Win2003-Web服务器安全基本配置安装操作系统补丁安装杀毒软件及恶意软件清除工具安装防火墙，并封堵不需要的端口无特殊需求，Web服务器只开放80端口,.,二、Windows2003及IIS6配置,采用远程桌面管理的服务器，建议更改默认端口3389,端口更改方法：注册表编辑器HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminalServerWdsrdpwdTdstcp把PortNumber设置为不重复的端口号,.,二、Windows2003及IIS6配置,2、一些重要的配置技巧2.1使用Access数据库应防止数据库被下载错误做法：把mdb改扩展名为asp正确做法：把mdb文件放到虚拟目录外，程序中以绝对路径调用（如E:dbsina.mdb)正确做法2：添加合适的ISAPI映射.NET在ISAPI映射方面非常优秀，可以用来借鉴C:WINDOWSMicrosoft.NETFrameworkv2.0.50727aspnet_isapi.dll,.,二、Windows2003及IIS6配置,添加合适的ISAPI映射的方法：IIS管理器,.,二、Windows2003及IIS6配置,例：通过ISAPI禁止rar文件的下载,.,二、Windows2003及IIS6配置,2.2SqlServer数据服务器防范只开放1433端口或更改默认端口Sa用强口令（若sa密码泄露，后果很严重）防火墙配置只对需要的服务器开放端口2.3IIS里除特别需要外，不能开放目录浏览权限，不要用容易被猜测的名称做为路径！http:/*,.,二、Windows2003及IIS6配置,*,.,二、Windows2003及IIS6配置,3、其它高级技巧NTFS磁盘权限设置停掉没有必要的服务(同办公电脑设置)卸载不使用的隐患组件FileSystemObjectshellregsvr32/uc:windowsSystem32wshom.ocx（Windows本地脚本对象运行时相关文件）delC:windowsSystem32wshom.ocxregsvr32/uC:windowssystem32shell32.dlldelC:windowssystem32shell32.dll,.,三、防范SQL注入式漏洞,1、什么是SQL注入式漏洞？SQL注入是从正常的WWW端口访问，而且表面看起来跟一般的Web页面访问没什么区别，所以目前市面的防火墙都不会对SQL注入发出警报，如果管理员没查看IIS日志的习惯，可能被入侵很长时间都不会发觉。SQL注入式漏洞是当前网站最大的威胁SQL注入式漏洞也存在于Window程序中,.,三、防范SQL注入式漏洞,2、SQL注入式漏洞原理例1：用户登录SELECTCount(*)FROMUserWHEREuserName=”+textBox1.Text+“password=”+textBox2.Text”+”如果恶意用户键入：or1=1？则生成的SQL为：?可以绕过用户登录,例：sql注入成功登录后台,.,三、防范SQL注入式漏洞,例2：新闻显示页面Detail.aspx?id=2SQL:“SELECT*FROMNewsWHEREid=“+Request“id”如果恶意用户输入：Detail.aspx?id=2;DELETEFROMUser还有比这更严重的后果,例：一些比较严重的攻击后果execmaster.dbo.xp_cmdShelldelc:1.txt,.,三、防范SQL注入式漏洞,3、SQL注入式漏洞防范采用存储过程或参数化SQL编程（最有效）抛弃原来字符串连接的数据库编程方法对输入和页面数据进行有效的校验校验textBox的输入校验Request参数的输入Request“id”内是否包括号、SELECT、UPDATE、DELETE、%等非法字符例：采用存储过程或参数化SQL设计Web网站,参见ASP防止注入.txt,.,等级防护安全,等级保护划分等级保护技术要求等级保护管理要求,.,信息系统安全保护等级划分,第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益；第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全；第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害；第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害；第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。,.,各级别的概念,四级强制保护，比如中央核心系统，重要行业核心业务系统，建设内容很多，每年都要检查，但是该级别信息系统数量很少，门槛很高。,三级监督保护，比如省级信息系统，核心业务系统等大都是此级别，此类项目需要备案，测评，并且每年检查一次，建设内容包括产品集成、安全服务，重点是集成,二级指导保护，比如市级信息系统，非核心业务系统都是此级别，此类系统需要备案，测评，等保建设以设备检查为主，有少量的安全服务。重点是设备,一级自主建设，基本没多少内容，只有少量的要求,.,等级保护基本安全要求,某级系统,物理安全,技术要求,管理要求,基本要求,网络安全,主机安全,应用安全,数据安全,安全管理机构,安全管理制度,人员安全管理,系统建设管理,系统运维管理,.,基本安全要求,其中包括三类基本要求S类业务信息安全保护类关注的是保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改。A类系统服务安全保护类关注的是保护系统连续正常的运行，避免因对系统的未授权修改、破坏而导致系统不可用。G类通用安全保护类既关注保护业务信息的安全性，同时也关注保护系统的连续可用性。,.,安全保护系统的控制类及控制项,.,保护系统安全保护要求物理安全,物理安全主要涉及的方面包括环境安全（防火、防水、防雷击等）设备和介质的防盗窃防破坏等方面。物理安全具体包括：10个控制点物理位置的选择（G）、物理访问控制（G）、防盗窃和防破坏（G）、防雷击（G)、防火（G）、防水和防潮（G）、防静电（G）、温湿度控制（G）、电力供应（A）、电磁防护（S）,.,物理位置的选择,基本防护能力,高层、地下室,物理访问控制,基本出入控制,分区域管理,在机房中的活动,电子门禁,防盗窃和防破坏,存放位置、标记标识,监控报警系统,防雷击,建筑防雷、机房接地,设备防雷,防火,灭火设备、自动报警,自动消防系统,区域隔离措施,防静电,关键设备,主要设备,防静电地板,电力供应,稳定电压、短期供应,主要设备,冗余/并行线路,备用供电系统,电磁防护,线缆隔离,接地防干扰,电磁屏蔽,防水和防潮,温湿度控制,物理安全的整改要点,.,物理位置选择,物理访问控制,防盗窃和防破坏,防雷击、防火、防水和防潮、防静电、温湿度控制,电力供应,电磁防护,不做硬性要求,.,系统安全保护要求网络安全,网络安全主要关注的方面包括：网络结构、网络边界以及网络设备自身安全等。网络安全具体包括：7个控制点结构安全(G)、访问控制(G)、安全审计(G)、边界完整性检查(A)、入侵防范(G)、恶意代码防范(G)、网络设备防护(G),.,结构安全,关键设备冗余空间,主要设备冗余空间,访问控制,访问控制设备（用户、网段）,应用层协议过滤,拨号访问限制,会话终止,安全审计,日志记录,审计报表,边界完整性检查,内部的非法联出,非授权设备私自外联,网络安全的整改要点,子网/网段控制,核心网络带宽,整体网络带宽,重要网段部署,路由控制,带宽分配优先级,端口控制,最大流量数及最大连接数,防止地址欺骗,审计记录的保护,定位及阻断,入侵防范,检测常见攻击,记录、报警,恶意代码防范,网络边界处防范,网络设备防护,基本的登录鉴别,组合鉴别技术,特权用户的权限分离,.,结构安全,访问控制,安全审计,增加违规外联检测阻断产品,边界完整性检查,入侵防范,增加网关型防毒墙产品,恶意代码防范,网络设备特别配置服务,网络设备防护,增加网络安全审计产品,.,系统安全保护要求主机安全,主机系统安全是包括服务器、终端/工作站等在内的计算机设备在操作系统及数据库系统层面的安全。主机安全具体包括：7个控制点身份鉴别(S)、访问控制(S)、安全审计(G)、剩余信息保护(S)、入侵防范(G)、恶意代码防范(G)、资源控制(A),.,身份鉴别,基本的身份鉴别,访问控制,安全策略,管理用户的权限分离,特权用户的权限分离,安全审计,服务器基本运行情况审计,审计报表,剩余信息保护,空间释放及信息清除,主机安全的整改要点,组合鉴别技术,敏感标记的设置及操作,审计记录的保护,入侵防范,最小安装原则,重要服务器：检测、记录、报警,恶意代码防范,主机与网络的防范产品不同,资源控制,监视重要服务器,最小服务水平的检测及报警,重要客户端的审计,升级服务器,重要程序完整性,防恶意代码软件、代码库统一管理,对用户会话数及终端登录的限制,.,身份鉴别,访问控制,安全审计,增加身份认证系统,剩余信息保护,入侵防范,访问控制策略配置服务,比较超前较难实现,主机入侵防范策略配置服务,恶意代码防范,资源控制,网管软件和主机配置服务,.,系统安全保护要求应用安全,应用系统的安全就是保护系统的各种应用程序安全运行。包括基本应用，如：消息发送、web浏览等；业务应用，如：电子商务、电子政务等。应用安全具体包括：9个控制点身份鉴别（S）、访问控制（S）、安全审计（G）、剩余信息保护（S）、通信完整性（S）、通信保密性（S）、抗抵赖（G）、软件容错（A）、资源控制（A）,.,身份鉴别,基本的身份鉴别,访问控制,安全策略,最小授权原则,安全审计,运行情况审计（用户级）,审计报表,剩余信息保护,空间释放及信息清除,应用安全的整改要点,组合鉴别技术,敏感标记的设置及操作,审计过程的保护,通信完整性,校验码技术,密码技术,软件容错,自动保护功能,资源控制,资源分配限制、资源分配优先级,最小服务水平的检测及报警,数据有效性检验、部分运行保护,对用户会话数及系统最大并发会话数的限制,审计记录的保护,通信保密性,初始化验证,整个报文及会话过程加密,敏感信息加密,抗抵赖,基本的身份鉴别,安全策略,最小授权原则,运行情况审计（用户级）,校验码技术,审计记录的保护,.,身份鉴别,访问控制,安全审计,应用软件本身配置或升级,剩余信息保护,通信完整性,访问控制策略配置服务,通信保密性,抗抵赖,软件容错,资源控制,系统审计配置服务,比较超前较难实现,增加通讯加密手段,建立统一的CA中心,比较超前较难实现,可通过配置服务达到部分要求,.,系统安全保护要求数据安全与备份恢复,数据安全主要是保护用户数据、系统数据、业务数据的保护。将对数据造成的损害降至最小。备份恢复也是防止数据被破坏后无法恢复的重要手段，主要包括数据备份、硬件冗余和异地实时备份。数据安全和备份恢复具体包括：3个控制点数据完整性（S）、数据保密性（S）、备份和恢复（A）,.,数据完整性,鉴别数据传输的完整性,备份和恢复,重要数据的备份,数据安全及备份恢复的整改要点,各类数据传输及存储,异地备份,网络冗余、硬件冗余,本地完全备份,硬件冗余,检测和恢复,数据保密性,鉴别数据存储的保密性,各类数据的传输及存储,每天1次,备份介质场外存放,.,数据完整性,数据保密性,备份与恢复,建立统一的CA中心,增加通讯加密手段,.,70,管理要求方面的整改,环境管理、资产管理、介质管理、设备管理、监控管理和安全管理中心、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理,信息系统,.,系统安全保护要求安全管理制度,安全管理制度包括信息安全工作的总体方针、策略、规范各种安全管理活动的管理制度以及管理人员或操作人员日常操作的操作规程。安全管理制度具体包括：3个控制点管理制度、制定和发布、评审和修订整改要点：形成信息安全管理制度体系、统一发布、定期修订等,.,