企业网络安全与速度的完美结合

企业网络安全与速度的完美结合

ISAServer用ISASERVER服务器

保障企业的信息安全

提高企业信息共享的速度

***微软(中国)有限公司***

SystemsEngineerTrainerMicrosoftCertifiedSystemEnginering演讲人信息舒骋

计算机科学工学硕士工学及管理学双学士微软(中国)公司高级技术顾问

微软全球认证讲师(MCT)

微软全球认证系统工程师(MCSE)

微软全球认证方案开发工程师(MCSD)

微软全球认证数据库管理专家(MCDBA)交流专用E-mail：FORRESTSHU@263.NET MCDBAMCSDTrainerTrainerMicrosoftCertifiedDBA讲演安排大纲：*网络安全背景介绍+网络安全理念讲解*代理服务器防火墙产品的

评估与选型(与系统平台集成)*案例分析为何选用ISASERVER2000*ISASERVER突出优势的见证：

*功能强大：代理服务器功能与防火墙功能兼备；*配置简单，管理方便，一切基于GUI界面；*与Windows服务器级平台深入集成；

当今网络安全发展的现状网络应用日益广泛，而网络安全问题普遍存在，且人们的防范意识薄弱；代理服务器广泛应用，使用代理服务器后，更多网络安全问题会随之而来。网络攻击的手段越来越多，手法更加诡异，有的就利用代理服务器的安全漏洞；黑客(HACKERs)与骇客(CRACKERs)并存,均有较大危害；网民学习“网络攻击”的途径越来越多，稍加训练，普通的计算机技术人员也能变成“黑客”；用户面临的防火墙的选择也很多，各种防火墙技术参差不齐。第一部分

网络安全背景介绍

网络防范理念讲解

以下是针对网络安全的综述

议题1:热点问题分析议题2:网络安全的定义议题3:攻击和破坏的方式议题4:如何防范议题5:制定企业的安全策略议题1:热点问题分析红色代码CodeRedIandII尼母达Nimada特洛伊木马TrojanHorse“红色代码”病毒的工作原理病毒利用IIS的.ida

漏洞进入系统并获得SYSTEM权限

(微软在2001年6月份已发布修复程序MS01-033)病毒产生100个新的线程99个线程用于感染其它的服务器第100个线程用于检查本机,并修改当前首页在7/20/01时所有被感染的机器回参与对白宫网站的自动攻击.尼母达Nimada的工作原理4种不同的传播方式IE浏览器:利用IE的一个安全漏洞(微软在2001年3月份已发布修复程序MS01-020)IIS服务器:和红色代码病毒相同,或直接利用它留下的木马程序.

(微软在红色代码爆发后已在其网站上公布了所有的修复程序和解决方案)电子邮件附件:

(已被使用过无数次的攻击方式)文件共享:针对所有未做安全限制的共享特洛伊木马TrojanHorse黑客首先监测用户端口；摸索进出数据流的规律；将TrojanHorse的黑客程序附在用户的正常数据流中，跟进用户系统，潜伏；根据逻辑条件定时发作；骗取用户的管理权限，或秘密监控得到数据并返回；利用超级管理特权进行远程控制和破坏微软公司的应对措施及时发布对应的清除方法及时发布新的安全工具及时向用户提供清除工具对微软公司各种软件产品

的认识与使用安全性的操作系统网络平台如：WINDOWS2000,WINDOWSXP等各种基于微软操作系统的系统软件

如：IIS(WEB服务器平台);MSPROXY;

ISASERVER等各种基于微软操作系统的应用软件

如：OFFICE2000;OFFICEXP;IE6等问题：如何保证更安全地使用这些产品。议题2:网络安全的定义网络安全的物理范围网络安全的语义范围网络安全的级别威胁来自哪里网络安全的物理范围网络安全的语义范围

保密性

完整性可用性可控性

安全的级别PublicInternalConfidentialSecretWebSite

DataMarketing

DataPayroll

DataTrade

SecretsTypeofDataWhatisatRiskPublicPrestige,Trust,RevenueInternalOperationsConfidentialOperations,InternalTrustSecretIntellectualProperty威胁来自哪里议题3:攻击的方法攻击的类型攻击的工具和步骤成功的攻击=目的+手段+系统漏洞常见的攻击方式社会工程SocialEngineering病毒virus,木马程序Trojan,蠕虫Worm拒绝服务和分布式拒绝服务攻击Dos&DDosIP地址欺骗和IP包替换IPspoofing,Packetmodification邮件炸弹Mailbombing宏病毒MarcoVirus口令破解Passwordcrack攻击的工具和步骤标准的TCP/IP工具(ping,telnet…)端口扫描和漏洞扫描(ISS-Safesuit,Nmap,protscanner…)网络包分析仪(sniffer,networkmonitor)口令破解工具(lc3,fakegina)木马(BO2k,冰河,…)…有同样多的方法和工具保护您的系统PacketFilteringDMZsOperatingSystemConfigurationApplicationSecurityEventMonitoringPKIVPNVirusScanningHotfixesChangeControlGoodOperationalPracticeIPSecSSLISAServer主题4:如何防范(1)保障Internet访问的安全控制(2)Internet上信息发布的安全(3)充分利用服务器操作系统安全管理模块(4)保障远程用户和网络的安全控制(5)保障邮件系统的安全(6)保障客户端的安全(7)及时使用微软发布的安全工具与方法(8)主动检测攻击行为从这里开始：

/security

安全问题公告

安全工具

安全操作指南

安全白皮书

可订阅的安全警告信息

…Internet访问的安全控制FirewallInternetDMZInternalNetwork远程用户和网络的安全控制使用ＶＰＮ确保远程用户和远程网络的安全Internet远程客户端VPN服务器远程网络防火墙Web服务器(1)Internet上信息发布的安全安装所需的ServicePack和Hotfix按照安全配置列表(SecurityChecklist)对服务器做正确配置

信息发布过程的安全管理权限管理流程管理Web应用程序设计的安全数据库连接(2)IIS的安全配置IIS安全检查列表(SecurityChecklist)/technet/treeview/default.asp?url=/technet/security/tools/tools.aspIIS安全配置文件(Hisecuweb.inf)IISLockdownTool(3)利用服务器安全管理模块安装和配置管理只安装必要的服务,记录和备份当前配置使用NTFS文件系统ServicePack和Hotfix帐号管理口令管理–长度,复杂度,寿命,尝试次数登录控制–终端锁定的时间,登录名显示特权帐号管理–administrator,guest…系统平台各种安全和加密策略:

GPO,CA,KerberosV5使用先进的身份验证方式NTLM,智能卡,生物识别技术(3)利用服务器安全管理模块(续)安全审计和性能监控EventViewerPerformanceMonitor网络连接和传输过程的安全PortFilterIPSec使用负载平衡和容错技术NLBCluster部署防病毒系统(4)邮件系统的安全ServicePackandHotfix拒绝服务式攻击将服务分布于多台服务器限制传入邮件的大小严格控制邮件附件关闭RelayHost选项通过邮件传播病毒部署服务器端和客户端的防病毒软件在防火墙使用邮件过滤技术在Outlook客户端使用安全限制(5)邮件系统的安全在邮件传输过程中窃取信息S/MIMESSL假冒身份发送邮件数字签名(6)客户端安全管理普通用户缺乏安全意识是最大的安全问题认为安全是系统管理员的事随意下载机密信息到本地共享信息时不做任何安全限制随意让他人使用自己的机器随意执行不清楚用途的应用程序随意的口令管理…利用Win2000中的组策略实现对桌面系统的控制和自动的软件分发利用SMS或其它网管软件(7)微软产品提供的安全功能Windows2000VPN(PPTP,L2TP),PKI,GrouppolicyIPSec,EFS,SmartCardSupportWindowsXPICFISA服务器集成的防火墙和代理服务器MOM

统一的网络监控SMS

网络监控和软件分发(7)微软新近发布的安全工具HFNetChkURLScanIISLockdownToolMicrosoftPersonalSecurityAdvisor(MPSA)累加的Hotfix和QChain(8)如何主动检测非法攻击行为使用任务管理器和性能监测器发现服务器异常使用TCP/IP工具和网络监视器检查网络通信使用事件察看器检查异常的帐号活动利用Web服务器或防火墙日志找出攻击来源利用第三方工具Symantec，CA等题目4:制订安全策略明确一下以下问题“我们力图保护的是些什么资源?”“计算机系统必须防范谁?”“我们需要什么级别的安全?”

安全防护体系防火墙入侵检测系统主机加固容错和自动恢复功能:阻止入侵工具:ISAServer功能:检测入侵工具:第三方产品Eventlog,IISlog,Networkmonitor…功能:抵抗入侵工具:安全模版,Checklist,lockdowntool…功能:自动恢复工具:NLB,receptionmonitor,crs…制订安全策略确定安全需求确定安全需求的范围评估面临的风险制订可实现的安全目标制订安全规划本地网络:帐户,文件,邮件…远程网络:远程用户,远程分支机构…Internet:浏览,文件传输…

制订系统的日常维护计划制订安全策略–案例分析一家软件公司,为保护它的日常工作,软件财产和客户利益需要制定一个安全策略…

安全需求:确保它的源代码不会丢失,不会泄密,并让开发人员随时可以得到…

安全目标:所有超过1天以上的开发工作的结果都应被保存;严格的权限控制,确保只有开发部门具有修改权限,其它部门只有读权限;每年服务器宕机时间不超过24小时…

安全计划:使用VSS控制开发过程;在服务器端设定不同用户的权限;使用服务器容错技术;建立异地的备份中心…

维护计划:确定备份方案,灾难恢复计划和针对安全策略。这些目标只有使用合适的系统平台＋多层防火墙才可以达到常用的安全规范和安全评估机构TCSEC(美国1985)ITSEC(欧洲1991)CTCPEC(加拿大1993)FC(美国1992)CC(欧美1999)CNISTEC(中国1998)防火墙的重要性公网和内网的隔离带公网和内网的连接桥梁可以对网络行为实行统一的控制但是，必须选择令人满意的…

防火墙产品的评估与选型(防火墙选型的重要原则：与系统平台集成者优先)第二部分防火墙选择时的决定因素

和权重

权重安装15%配置15%管理和控制25%功能25%性能25%我们的拳头安全产品ISASERVER,您的明智选择WhatisISAserver?ISAServer提供了企业级的网络安全+管理+加速解决方案ISA的设计目标

Secure,fastInternetconnectivity多功能，多层次控制的防火墙

高性能的，可扩展的Web缓存

灵活方便的策略管理，统一的帐号控制安全的Internet访问快速的Web访问统一和灵活的管理开放的，可扩展的平台强大的扩展能力和定制化能力ISA通过国际权威的

ICSA认证

ICSA国际认证ISA的产品特性（PARTI）MicrosoftInternetSecurityandAccelerationServer2000提供了安全、快速、可管理的Internet连接性。ISAServer包括一个可扩展的、多层的企业防火墙，该防火墙能够进行动态的数据包过滤、透明的、SecureNAT、“智能的”数据感知的应用程序过滤器、系统硬化以及内置的入侵检测。它的高性能缓存加速了Web访问速度，而同时节约了带宽，并且可以进行按比例放大以获得有效的、动态的负荷平衡。

ISA的产品特性（PARTII）统一，灵活的管理工具为用户、应用程序、目的地、计划和内容类型提供了多层策略。同时与Windows200的虚拟专用网(VPN，virtualprivatenetworking)和带宽控制进行了集成。ISAServer是一个进行扩展和自定义的丰富的平台，它包括一个广泛的软件开发工具包(SDK)和多个用于进行管理、应用程序过滤器、Web过滤器和缓存控制的应用程序设计接口(API)ISA的一些竞争对手

ISA的长处与优势：

网络安全与速度的完美结合

其他产品的基本特点

*硬件防火墙，如：CiscoPIX等；

*其他软件防火墙，如：CheckPointFW-1等。FirewallProductComparisonFirewallProductComparison

MicrosoftISAServerCheckPointFW-1CiscoPIXAxentRaptorNAIGauntletPacketFilteringStateless,StatefulStateless,StatefulStateless,StatefulStateless,StatefulStateless,StatefulNetworkAddressTranslationApplicationLevelProxy+LimitedLimited+CentralizedPolicyManagement++LimitedLimitedIntegratedWebCache+EmbeddedIntrusionDetectionseparateseparateseparateEmbeddedVPNLimitedBandwidthManagementseparateseparateseparateseparateBuilt-inReportingseparateLimitedFirewallInternet应用范例

-小型网络或分公司的配置企业內部网络AccessPolicyrules-IP封包,应用程式,使用者,群组等的存取规则Bandwidthrules

-不同Internetrequest所分配不同带宽的规则Publishingrules-将Internet服务(如web,ftp,mail)透过防火墙

的保护公布給外界大众IntrusionDetection-防火墙入侵监测与警示MonitorandLogging–进出流量分析与报表Web缓存-所有放火墙的安全策存内容略会被自动应用到缓存内容之上DMZ方式1:一个防火墙连接3个网络(3-homed)Internet内部网络DMZ区ISA服务器应用范例

–广域网络的配置总部分支机构ISAISP加速分支机构的访问速度(chain的部署）实现内部的安全控制（不同部门和网络之间部署防火墙)统一的策略管理DMZ方式2:“背靠背”模式Internet内部网DMZ区Web服务器数据库服务器ISA服务器ISA服务器ISA和VPN在远程网络的部署Internet远程客户端VPN服务器远程网络ISA服务器Web服务器可以选择让VPN服务器和ISA安装在同一台机器上或分开ISA企业级防火墙企业资源的强大防火墙保护保护资产，如Web服务器、数据库服务器和E-mail服务器免受黑客、病毒和未授权使用的侵扰。保护内部计算机和用户的身份，以免被外部Internet用户获取。在允许使用敏感性的计算资源之前执行强大的用户身份验证。外发和外来网络通信量的控制定义允许穿过防火墙的数据类型；默认情况下，通信被拒绝。利用用于高级筛选的应用程序感知的过滤器对数据内容进行检查。利用动态的会话状态管理和状态检查，自动地限制打开端口的数量防火墙安全性的活动监控利用事件驱动的报警系统，通知管理员并实施计数器测量。利用集成的入侵检测功能，对潜在的、已知的攻击进行检测。ISA企业级Web缓存

用于更快的Web访问的高性能Web缓存通过在本地而不是拥挤的Internet提供内容，从而使得Web访问更快更可靠。自动预取和刷新Web缓存以提供最新的内容。利用SMP多处理器支持和负荷平衡群集，提高性能。更智能、更经济合算的Internet使用将Internet访问限制为批准的Web内容、目的地和应用程序。通过降低外发的Internet通信量和本地提供内容，节约带宽。将Web内容发布到距离客户更近的位置既有效又经济合算地将网络分段，并将Web服务器和电子商务应用程序发布到距离更近的位置。ISA提供企业级灵活统一的管理丰富的访问控制和管理按用户和组、应用程序类型、时刻、目的地集合等对访问进行限制。利用分两层的策略，委派不同水平的管理权限。分配带宽以满足商务优先权。面向大型企业的集中管理将多个分布式的服务器作为一个可以很容易进行扩展的逻辑阵列进行管理。从一个位置集中管理访问策略、计算机配置和用户信息。简化的管理工具利用图形化的任务板(taskpad)和安装向导，可以很容易地配置和管理安全性、Web访问和缓存。为了进行一致的控制，集成管理合并了防火墙和Web访问的管理。通过集中的通信量日志记录、趋势报告、会话监控和报警系统，对防火墙和Web活动进行监控。简单概括ISA特性微软的ISA=防火墙+代理服务器+反向代理ISA的安全特性支持IP包过滤,进程级过滤和应用级过滤支持流媒体和多址广播报表功能入侵检测功能SystemHarden通过ICSA认证第三部分案例分析

为何选用ISASERVER使用ISA时应有的正确理念不要将所有家当，全都押在某种安全产品上，这是很危险的；使用ISASERVER，应该充分发挥其突出优势，即：利用其与微软平台WINDOWS2000/XP良好的集成性，这是ISASERVER在MICROSOFT平台上，无可动摇的优势；部署ISASERVER时，将多种安全措施并用，形成从上到下立体的网络安全体系。必须根据当前需求，并考虑未来的网络发展，选用合适的ISASERVER版本。功能标准版企业版▲服务器的建置单机运作多机的集中管理▲原则的设定(policysupport)服务器本机服务器阵列▲硬件支持4颗CPU无限制Web缓存▲扩展性适合小型企业适合中大型企业▲分散式与阶层式缓存仅阶层式皆有统一的管理▲Windows®2000ActiveDirectory整合有限完全▲多层次原则无有▲多服务器管理无有Microsoft®ISAServer2000

标准版与企业版功能比较表ISA的用户制造业：BSH(ownedbyBoschandSiemens,3rdlargestWWappliancemanufacturer)

37000employeesDMZFirewall,InternalFirewallNSCP->ISA:Reliability,performance,Authentication能源工业：Shell75,000Win2kdesktopsrunningISAfirewallclient6ISAserversbedeployedonWin2kDCin3datacentersaroundtheworld.EvaluatingISAoverFirewall-1金融证券业：CelestialAsiaSecuritiesHoldings(Cash)WinoverFirewall-1fore-commercescenario(publishing)WinoverPIXforDMZscenario(secureinternetaccess)教育业：UniversityofTexas(德州大学）ISAinproductionasFirewall–10KusersISA的中国用户金融：上海浦发银行制造：贝尓中国有限公司西门子中国有限公司零售：左丹奴中国有限公司运输：中国远洋运输有限公司教育：上海浦东教育网能源：深圳燃气集团…一些具体的ISASERVER的部署场景

请看以下DOC文档中的一些具体的ISASERVER案例第四部分ISASERVER的配置ISASERVER的配置，突出优势的见证：

*功能强大；*配置简单，管理方便；*与Windows2000平台深入集成；企业确保网络安全的目标：目标1:安全的Internet访问目标2:快速的Web访问目标3:统一和灵活的管理目标4:开放和可扩展的平台目标1:安全的Internet访问

多层次控制方式的防火墙(Multilayer)入侵检测功能(IntrusionDetection)支持DMZ区(DMZZone)服务器发布功能(ServerPublishing)集成的VPN功能(IntegrationVPN)支持动态包过滤(DynamicFilter)支持NAT“安全锁紧”功能(SystemHarden)支持负载均衡多层次控制方式的防火墙

由下至上–保护每个层次IP层静态过滤动态过滤电路层基于会话的过滤基于连接的控制应用层智能的内容探测IP层Packet

level应用层Application

level电路层Circuit

levelIP包过滤利用IP包头信息分析IP包内容SrcDstpayloadport源地址?目标地址?内容是什么?请求的端口号需要什么服务）?IPHeaderUDP/TCPHDRPayload协议级的安全控制会话与连接之间的关系智能的监测和控制主连接服务器客户端主连接第二连接应用层的安全控制智能检查支持内容的过滤和锁定防范已知的安全漏洞ClientSMTP:VRFY*CompanyserverDNS:ZoneattackHTTP:Virus!HTTP:ForbiddensiteInternetISA服务器内置的应用过滤器安全控制过防火墙能力内容过滤FTPGet/PutPPH.323PPMediaStreamingPRPCPPSMTPPPDNSPSOCKSP邮件过滤功能

(MailScreen)入侵检测功能

IntrusionDetection检测和预警:AlltypesofPortScanPingofdeathUDPbombattackWinNukeLandattacks…Others入侵检测功能应用过滤器DNSIntrusionDetectionfilterFTPAccessfilterH.323filter

HTTPRedirectorfilter

POPIntrusionDetectionfilter

RPCfilterSMTPfilter(MessageScreener)

SOCKSV4filterStreamingMediaFilter支持开发自定义的应用过滤器入侵检测功能

(IntrusionDetection)服务器发布和DMZ区设置什么是服务器发布设置DMZ区的好处更好的保护内部网络隔离风险DMZ方式1:一个防火墙连接3个网络DMZ方式2:“背靠背”模式什么是服务器发布

ServerPublishingInternet

www.nwtraders.msft防火墙外网卡Web服务器防火墙内网卡内部网络ISA服务器通过ISA发布服务的好处严格限制外网对内网的访问支持地址转换(NAT)支持端口的重定向(PortMapping)支持Web站点的重定向(Redirect)支持SSL桥接技术(SSLBridging)DMZ方式1:一个防火墙连接3个网络(3-homed)Internet内部网络DMZ区ISA服务器DMZ方式2:“背靠背”模式Internet内部网DMZ区Web服务器数据库服务器ISA服务器ISA服务器发布服务和路由功能的关系服务器发布功能可以让外网访问内部网络的资源本地地址列表(LAT)区分了内网和外网采用3-homed方式设置的DMZ区被视为外网需要在两块外网卡之间配置路由利用包过滤功能对路由的信息进行安全控制发布服务和路由功能的关系没有DMZ区使用服务器发布功能“背靠背”模式的DMZ区在两台ISA上配置服务器发布3-Homed模式的DMZ区在外网到DMZ区之间设置路由功能；在DMZ区和内网之间使用服务器发布功能

便捷的服务器发布过程

(ServerPublishing)集成的VPN功能集成Windows2000的VPN功能2种隧道协议可供选择:L2TP/IPSecPPTP支持多种连接方式:ServertoServerClienttoServer方便的VPN功能发布向导一个典型的VPN远程访问图局域网协议远程访问协议公司的内部局域网局域网协议远程访问协议Internet远程访问客户端远程访问服务器数据传输协议（DataTransportProtocols）RemoteAccessServerRemoteAccessClientPPPSLIP(clientonly)MicrosoftRASARAP(serveronly)TCP/IPNWLinkNetBEUIAppleTalkRemoteAccessProtocolsLANProtocols虚拟专有网络协议

（VirtualPrivateNetworkProtocols）ClientServerPPTPInternetworkMustBeIPBasedNoHeaderCompressionNoTunnelAuthenticationBuilt-inPPPEncryptionL2TPInternetworkCanBeIP,FrameRelay,X.25,orATMBasedHeaderCompressionTunnelAuthenticationUsesIPSecEncryptionInternetPPTPorL2TP集成的VPN功能Internet远程客户端VPN服务器远程网络ISA服务器Web服务器可以选择让VPN服务器和ISA安装在同一台机器上或分开“安全锁紧”功能

SystemHarden自动配置ISA服务器自身的安全设置获得ICSA的防火墙认证经过严格的防火墙穿透测试

“BasedonourownevaluationofISAServer’ssecurityfeatures,I’mconfidentthatitwillcompetesuccessfullywithwell-establishedproductsinthesecurityfield”

-Foundstone，theauthorofabest-sellingbookonInternetsecurity,“HackingExposed”.ISA防火墙的性能Exodus(KeyLabs)对ISA的防火墙功能进行了标准的测试282mbpsoutof300mbps接近线路的最大饱和度(94%)远超过T4线路的带宽ISA在FireBench超过了FireWall-1的最好测试结果Claims246mbpsonlinuxwith1GBcard(~25%utilization)集成的Web缓存将进一步提高测试结果目标2:快速的Web访问改进的存储和检索机制内存缓存(RAMcaching)主动的和定时的内容下载支持阵列(Array&CARP)层次化的缓存系统NEWEnhancedNEWEnhancedEnhanced改进的存储和检索机制重新编写的存储和检索引擎检索速度远超过Proxy2.0评测中显示最佳性价比/results/内存缓存(RAMcaching)RAMDiskCache

DirectoryObjectsBackup

Cache

DirectoryObjectsISACache1GET２３主动的和定时的内容下载以TTL为基础ISA自动分析缓存内容的寿命ISA自动下载并更新缓存内容使用拨号访问Internet的用户应考虑使用定时下载内容的方式灵活的缓存管理机制TTLActiveCaching&ScheduleCachingCachingSizeDynamicContent…ISASERVER管理中

的高级特性（归纳）TieredpolicyandflexiblemanagementintegrateswithWindows2000

Policy&RulesEnterprise&array-levelAccesscontrolByuser/groupByapplicationBydestinationBycontenttypeByscheduleBandwidthprioritiesActivepolicy:AccessrulesISAservernamespaceTasksPadsandWizardsTasksPadsTheeasywaytosetupandmaintainWizardsStep-by-stepforcomplextasksCommontasksAlertingAlertingFlexiblealertdispatchmechanismIntrusionSystemeventViolationISAServerLogging,reporting,monitoringLoggingPacketlogSessionlogReportingDailysummariesPopularreportsMon