实训任务8校园网服务器的安全检测与防护

1、计算机网络技术基础精品资源共享课实训任务指导书实训任务 8校园网服务器安全8.1 任务需求某高等职业学院已经组建了校园园区网，校园各区域均已连通，校园网有两条出口线路分别与 CHINANET和 CERNET连接，已实现了校园网所有用户对外访问，同时校园网的WEB、FTP、DNS、教务信息系统等较多服务器提供了校内外用户访问，为了保障校园网络安全，需要对校园网的服务器操作系统进行安全防护，请进行校园网服务器的安全检测和防护。8.2 实训目的了解操作系统安全的概念和原理，掌握操作系统安全的检测与防护方法。8.3 实训环境二台或两台以上装有Windows Server 2003计算机、微软安全扫描工

2、具MBSA8.4 相关知识点（ 1）系统漏洞系统漏洞是指网络操作系统本身所存在的技术缺陷。 系统漏洞往往会被病毒利用侵入并攻击用户计算机。 漏洞影响到的范围很大， 包括系统本身及其支撑软件， 网络客户和服务器软件，网络路由器和安全防火墙等。 换而言之， 在这些不同的软硬件设备中都可能存在不同的安全漏洞问题。在不同种类的软、硬件设备，同种设备的不同版本之间，由不同设备构成的不同系统之间，以及同种系统在不同的设置条件下，都会存在各自不同的安全漏洞问题。Windows 系统漏洞问题是与时间紧密相关的。一个windows 系统从发布的那一天起，随着用户的深入使用，系统中存在的漏洞会被不断暴露出来，这些

3、早先被发现的漏洞也会不断被系统供应商微软公司发布的补丁软件修补，或在以后发布的新版系统中得以纠正。而在新版系统纠正了旧版本中具有漏洞的同时，也会引入一些新的漏洞和错误。Windows 操作系统供应商将计算机网络技术基础精品资源共享课程建设组计算机网络技术基础精品资源共享课实训任务指导书定期对已知的系统漏洞发布补丁程序， 用户只要定期下载并安装补丁程序， 可以保证计算机不会轻易被病毒、黑客入侵。一般情况下， 在网络边界处企业都会部署硬件或软件防火墙，能根据企业的安全策略控制出入网络的信息流，防火墙本身具有较强的抗攻击能力。但是防火墙也存在一定的局限性：防火墙不能解决来自内部网络的攻击和安全问题，

4、对于防火墙内部各主机间的攻击行为，防火墙也无法处理；防火墙无法解决TCP/IP 等协议的漏洞，例如Dos 攻击（拒绝服务攻击） 。防火墙对于合法开发端口的攻击无法阻止。例如利用开放的FTP、远程桌面端口漏洞提升权限问题。防火墙不能防止受病毒感染文件或木马文件的传输。防火墙本身不具备查杀病毒、木马的功能。防火墙不能防止数据驱动式的攻击。有些数据邮寄或传输到内部主机被执行时，可能会发生数据驱动式的攻击。防火墙不能防止内部的泄密行为以及自身安全漏洞的问题。（ 2）漏洞扫描漏洞扫描是网络安全防御中的一项重要技术，其原理是采用模拟攻击的形式对目标可能存在的已知安全漏洞进行逐项检查。其目标是服务器、工作站

5、、交换机、数据库应用、WEB应用等各种应用设施，然后根据扫描结果向网络管理员提供可靠的安全性评估分析报告，以便管理员能及时进行漏洞修补和加强安全防护，从而提高网络安全整体水平。漏洞扫描主要通过以下两种方法来检查目标主机是否存在漏洞：在端口扫描后得知目标主机开启的端口以及端口上的网络服务，将这些相关信息与网络漏洞扫描系统提供的漏洞库进行匹配，查看是否有满足匹配条件的漏洞存在；通过模拟黑客的攻击手法，对目标主机系统进行攻击性的安全漏洞扫描，如测试弱势口令等。若模拟攻击成功，则表明目标主机系统存在安计算机网络技术基础精品资源共享课程建设组计算机网络技术基础精品资源共享课实训任务指导书全漏洞。在网络安

6、全体系的建设中，安全扫描是一种花费低、效果好、见效快、独立于网络运行、安装运行简单的网络工具， 可以减少网络管理员大量的手工重复劳动， 有利于保持全网安全的稳定和统一标准。目前市场上有很多漏洞扫描工具，按照不同的技术（基于网络、基于主机、基于代理、 Client/Server ）、不同的特征、不同的报告方式和不同的监听模式，可以分为很多种。在选择漏洞扫描工具时要充分考虑各种技术和漏洞库信息，漏洞库信息是基于网络系统漏洞库的漏洞扫描的主要判断依据。 如果漏洞库信息不全面或得不到即时的更新， 不但不能发挥漏洞扫描的作用，还会给系统管理员以错误的引导， 从而对系统的安全隐患不能采取有效措施并及时的消

7、除。目前常用的漏洞扫描工具有：（ 3）微软安全扫描工具MBSAMBSA（MicrosoftBaselineSecurityAnalyzer）是微软公司提供的免费安全扫描工具，系统管理员可以通过它来对一些常用的微软安全漏洞进行评估，包括缺少的安全更新。MBSA 将扫 描 基 于Windows 的 计 算 机 ， 并 检 查 操 作 系 统 和 已 安 装 的 其 他 组 件 （ 如 ： InternetInformation Services（ IIS ）和 SQL Server ），以发现安全方面的配置错误，并及时通过推荐的安全更新进行修补。MBSA目前可以运行在Windows 2000 、W

8、indows XP 和 Windows Server 2003环境中。该软件可以检查到Windows 2000 、 Windows XP、 Windows Server 2003、 Internet InformationServer (IIS)、 SQL Server 、Internet Explorer和 Office等软件包中的结构性错误，还可以检查出Windows 2000 、 Windows XP、 Windows Server 2003、 IIS 、 SQL Server 、 InternetExplorer、 Office、 ExchangeServer 、 Windows Me

9、diaPlayer 、 MicrosoftDataAccessComponents (MDAC)、 MSXML、 MicrosoftVirtualMachine 、 Commerce Server 、 ContentManagement Server 、 BizTalk Server、 Host Integration Server中遗漏的安全更新。MBSA 2.0. 检查 Windows 操作系统的安全内容：计算机网络技术基础精品资源共享课程建设组计算机网络技术基础精品资源共享课实训任务指导书检查将确定并列出属于 Local Administrators组的用户账户。检查将确定在被扫描的计算

10、机上是否启用了审核。检查将确定在被扫描的计算机上是否启用了“自动登录”功能。检查是否有不必要的服务。检查将确定正在接受扫描的计算机是否为一个域控制器。检查将确定在每一个硬盘上使用的是哪一种文件系统，以确保它是NTFS文件系统。检查将确定在被扫描的计算机上是否启用了内置的来宾账户。检查将找出使用了空白密码或简单密码的所有本地用户账户。检查将列出被扫描计算机上的每一个本地用户当前采用的和建议的IE 区域安全设置。检查将确定在被扫描的计算机上运行的是哪一个操作系统。检查将确定是否有本地用户账户设置了永不过期的密码。检查将确定被扫描的计算机上是否使用了Restrict Anonymous注册表项来限制

11、匿名连接 Service Pack 和即时修复程序。MBSA 2.0. 检查 IIS的安全分析：检查将确定 MSADC（样本数据访问脚本）和脚本虚拟目录是否已安装在被扫描的IIS计算机上。检查将确定 IISADMPWD目录是否已安装在被扫描的计算机上。检查将确定 IIS是否在一个作为域控制器的系统上运行。检查将确定 IIS锁定工具是否已经在被扫描的计算机上运行。检查将确定 IIS日志记录是否已启用，以及W3C扩展日志文件格式是否已使用。计算机网络技术基础精品资源共享课程建设组计算机网络技术基础精品资源共享课实训任务指导书检查将确定在被扫描的计算机上是否启用了ASP EnableParentPa

12、ths设置。检查将确定下列IIS 示例文件目录是否安装在计算机上。MBSA 2.0 的 SQL Server安全分析功能：检查将确定Sysadmin 角色的成员的数量，并将结果显示在安全报告中。检查将确定是否有本地SQL Server 账户采用了简单密码（如空白密码）。检查将确定被扫描的SQL Server 上使用的身份验证模式。检查将验证SQL Server目录是否都将访问权只限制到SQL 服务账户和本地Administrators。检查将确定SQL Server 7.0和 SQL Server 2000 sa账户密码是否以明文形式写到%temp%sqlstp.log 和 %temp%set

13、up.iss 文件中。检查将确定SQL Server Guest账户是否具有访问数据库（MASTER、 TEMPDB和 MSDB除外）的权限。检查将确定SQL Server 是否在一个担任域控制器的系统上运行。检查将确保Everyone组对 "HKLMSoftwareMicrosoftMicrosoft SQL Server"和"HKLMSoftwareMicrosoftMSSQLServer"两注册表项的访问权被限制为读取权限。如果 Everyone 组对这些注册表项的访问权限高于读取权限，那么这种情况将在安全扫描报告中被标记为严重安全漏洞。检查将确定

14、SQL Server服务账户在被扫描的计算机上是否为本地或DomainAdministrators组的成员，或者是否有SQL Server 服务账户在LocalSystem上下文中运行。MBSA 2.0 版本使用Windows Update Agent (WUA)2.0连接扫描结果。如果找到某个产品有新版本或更新，它会提供相关更新信息和下载连接。此外，MBSA还能识别出操作系统版本计算机网络技术基础精品资源共享课程建设组计算机网络技术基础精品资源共享课实训任务指导书和服务包。扫描报告还能列出需要升级的最近安装的更新。8.5 实训内容与步骤（ 1） MBSA安装MBSA作为免费的微软安全检测工具

15、，可以从微软网站免费下载。MBSA的当前最新版本为V2.1 ，提供了对Windows Vista、 Windows Server 2008、 SQL Server 2005等的支持。MBSA的安装非常简单，打开下载的安装文件MBSASetup-x86-EN.Exe ，根据向导提示单击“下一步”即可完成软件的安装，在安装过程中需要选择接受微软公司的“软件许可协议”。（ 2） MBSA使用1安装 MBSA软件后，运行即打开程序主界面，在这里可以选择是检测一台计算机还是检测多台计算机，如图8-1 所示。计算机网络技术基础精品资源共享课程建设组计算机网络技术基础精品资源共享课实训任务指导书图 8-1

16、MBSA 计算机安全检测主界面提醒：要扫描一台计算机，需要管理员访问权。在进行自动扫描时，用来运行MBSA的帐户必须是管理员或者是本地管理员组的一个成员。在要扫描多台计算机的情况下，也必须是每台计算机的管理员或者是域管理员。2如果要检测一台（通常是当前计算机，也可以是网络中其他有管理权限的计算机），则单击"Scan a computer"链接，打开如图8-2 所示对话框。在 "User name" 栏中默认显示的当前计算机名。用户也可以更改，或者在下面的"IP address"栏中输入要检测的其他计算机IP 地址。计算机名和IP 地址

17、仅需要选择一种即可。图 8-2选择需要安全检测的目标计算机对话框下面有许多复选框。其中主要涉及到选择要扫描检测的项目，包括 Windows 系统本计算机网络技术基础精品资源共享课程建设组计算机网络技术基础精品资源共享课实训任务指导书身、 IIS和 SQL等相关选项，也就是MBSA的 3 大主要功能。根据所检测的计算机系统中所安装的程序系统和实际需求来确定即可。3输入要检测的计算机，并选择好要检测的项目后，单击窗口下方【Start scan】按钮，程序则自动开始检测已选择的项目，显示“Scanning ”窗口，如图8-3 所示。图 8-3 安全检测过程4检测完成后会形成一个报告，如图8-4 所示。计算机网络技术基础精品资源共享课程建设组计算机网络技术基础精品资源共享课实训任务指导书图 8-4操作系统安全检测结果在报告中凡是检测到存在严重安全隐患的则以红色的“×”显示， 中等级别的则以黄色的“×”显示。而且用户还可以单击“ How to correct this ”链接，得知该如何配置才能纠正这些不正当的设置。安装、 部署一套服务器操作系统难度比较高，安全配置也是一项具有难度的网络技术，权限配置太严格，许多应用程序不能正常运行；权限配置的太松