网络安全与规划实验报告

1、网络安全与规划实训报告郑州轻工业学院院系：计算机与通信工程学院班级：指导老师： 姓名：学号：日期：目录实训目的3小组讨论系统构成3小组分析系统风险4检查系统已有安全措施7评测系统总体安全设计8设计系统安全改进方案和实施步骤8实训心得18实训目的本实训是从系统总体的角度来考察网络信息系统的安全性，审视网络信息系统面临的安全风险，分析网络信息系统的安全设计，检查网络信息系统的安全措施，检测网络信息系统的安全应用，改进网络信息系统的安全防护手段，即：从总体的角度考察，分析，改进网络信息系统的安全性。根据实训要求做出实训分析，进行分组讨论。从以下几个方面展开：系统构成，外部风险，安全审计，安全检查，安

2、全评测和改进设计。本次实训着重的是对系统安全设计方面的改进，故主要以安全设计展开。根据实训要求对每部分进行小组讨论，一一做出分析。小组讨论系统构成网络信息系统是一个软硬件结合以软件为主的分布式网络应用系统，其目的是管理网络，使得网络高效正常运行。网络信息系统是一个软硬件结合以软件为主的分布式网络应用系统，其目的是管理网络，使网络高效正常运行。网络管理功能一般分为性能管理，配置管理，安全管理，计费管理和故障管理等五大管理功能。网络管理对象一般包括路由器，交换机，HUB等。通常，系统安全与性能和功能是一对矛盾的关系。如果某个系统不向外界提供任何服务（断开），外界是不可能构成安全威胁的。但是，企业接

3、入国际互连网络，提供网上商店和电子商务等服务，等于将一个内部封闭的网络建成了一个开放的网络环境，各种安全包括系统级的安全问题也随之产生。构建网络安全系统，一方面由于要进行认证、加密、监听，分析、记录等工作，由此影响网络效率，并且降低客户应用的灵活性；另一方面也增加了管理费用。但是，来自网络的安全威胁是实际存在的，特别是在网络上运行关键业务时，网络安全是首先要解决的问题。选择适当的技术和产品，制订灵活的网络安全策略，在保证网络安全的情况下，提供灵活的网络服务通道。访问控制：通过对特定网段、服务建立的访问控制体系，将绝大多数攻击阻止在到达攻击目标之前。检查安全漏洞：通过对安全漏洞的周期检查，即使攻

4、击可到达攻击目标，也可使绝大多数攻击无效。攻击监控：通过对特定网段、服务建立的攻击监控体系，可实时检测出绝大多数攻击，并采取相应的行动（如断开网络连接、记录攻击过程、跟踪攻击源等）。加密通讯：主动的加密通讯，可使攻击者不能了解、修改敏感信息。认证：良好的认证体系可防止攻击者假冒合法用户。备份和恢复：良好的备份和恢复机制，可在攻击造成损失时，尽快地恢复数据和系统服务。多层防御，攻击者在突破第一道防线后，延缓或阻断其到达攻击目标。隐藏内部信息，使攻击者不能了解系统内的基本情况。设立安全监控中心，为信息系统提供安全体系管理、监控，渠护及紧急情况服务。信息系统纵向构成体系网络信息系统层次结构从下到上通

5、常可以分为：（安保层）、硬件层、系统层、网络层和应用层。信息系统横向构成体系网络信息系统横向范围结构从外到内通常可分为：外部网络、系统边界、内部分区、区内环境、系统主机、服务软件。小组分析系统风险网络信息系统存在的外部风险：入侵、木马、病毒、蠕虫、逻辑炸弹、隐蔽信道、DoS、劫持、垃圾信息、通信信息篡改等。网络信息系统存在的内部风险：非法操作、误操作、信息泄漏、口令丢失、无认证登陆、内部攻击等。网络信息系统自身存在的风险：系统漏洞、系统崩溃、数据损坏、数据丢失、硬件故障、软件故障等。主要可能发生风险原因有，1.系统安全配置不恰当。如：系统虽然设有防火墙，但配置不当，结果只能起部分作用或起不到作

6、用。2.系统本身存在缺陷，有些计算机系统建立是并未采取有效的安全措施，如随便允许与其他网络互联，共享文件没有保护，备份不及时，这样容易被闯入系统或者被使用之轻易地将共享文件修改删除，而且不易恢复。3.系统权限层次设置过少，用户口令短而简单。有些口令没有及时更新。4.审核不严，有的计算机系统曾加新的应用软件或对软件升级前，没有对这些软件进行必要和严格的测试，容易将不安全因素带入系统。可采取对策:信息系统总体规划，制定明确，持续的风险管理策略，按照信息系统的敏感程度对各个集成要素进行分析和评估，并实施有效控制。在网络方面，要将内部和外部隔离，通过防火墙或代理服务器连接。通过隔离连接减少系统暴露面，

7、发现问题系统及时报告处理。在信息系统建设上，借鉴成熟的运行系统，采取成熟的信息技术，加强软件版本管理；在系统运行方面，应建立健全信息系统相关的规章制度，技术规范，明确与信息系统相关人员的职责权限，建立制约机制，实行最小授权。安全审计审计风险是指被审计单位财务数据中存在重大错报和漏报，审计人员发表了不恰当审计意见的可能性。审计风险主要由两方面风险构成：一是被审计单位财务数据存在重大错弊未被发现；二是被审计单位实际不存在信息错误，而审计人员做出与客观事实不相适应的结论。信息系统审计风险是指被审计单位信息系统中因信息系统参数设置不当、业务数据处理过程存在漏洞或者故意设置系统后门，致使信息系统管理的业

8、务数据结果不真实、不完整，形成较大的资金管理漏洞而审计人员未能发现的审计风险，此外，审计报告未能穷尽信息系统审计发现的问题也是审计风险之一。（二）成因1、信息系统审计风险的外部原因（1）经济环境对审计风险的影响。随着经济的发展，被审计单位的行为存在较大的不确定性，主要表现在：政府部门机构改革、管理职能的调整和变化；事业部门既要代行政府管理职能又要从事事业经营；企业存在改组、兼并、重组等事项。这就使审计人员对被审计单位变化状况难以有全面的了解和评价，获取正确结论的难度加大，从而增加了审计风险。（2）信息系统业务环境对审计风险的影响。被审计单位信息系统主要集成了被审计单位日常经济管理业务，在内部控

9、制制度不全和内部控制制度执行不力情况下，相关业务规范流程未能有效执行，使审计人员不能及时发现问题。安全检查1、口令是否安全密码设置过于简单(比如：生日、纪念日、等)作为密码，容易被他人记住、推测到；全数字、全字母密码，容易使用软件暴力破解。n 是否安装系统升级补丁系统漏洞补丁就是一个重要的防毒功能，病毒利用某些漏洞发布与漏洞修复之间入侵计算机。2、是否安装杀毒软件计算机病毒的危害：计算机系统运行速度减慢、计算机系统经常无故发生死机、文件长度发生变化、存储的容量异常减少、系统引导速度减慢、丢失文件或损坏文件、出现异常显示、对存储系统异常访问、键盘输入异常、文件的日期、时间、属性等发生变化、文件无

10、法正确读取、复制或打开、命令执行出现错误、虚假报警、换当前盘。有些病毒会将当前盘切换到C盘、Windows操作系统无故频繁出现错误、系统异常重新启动、一些外部设备工作异常、异常要求用户输入密码。3、检查是否安装U盘管理软件危害：无法主动控制U盘得交叉使用，可能会造成由于误操作将涉密U盘接入到普通计算机中，无法保证涉密U盘中数据的安全性。n4 、检查计算机共享目录危害：其他PC可以查看已知和未知共享目录的资源。5、检查计算机是否使用保密移动存储介质危害：由于U盘交叉使用可以导致数据交叉感染。或者通过摆渡木马造成数据交叉导致信息丢失。需要通过对应U盘信息检查是否有U盘交叉使用的情况。6、检查计算机

11、上是否有文件越级处理、存放即：非涉密机存放有涉密文件，或者低密级计算机存放有高密级文件。危害：文件越级存放可能会造成数据掌握情况失控、又由于密级不同，防护等级不同。可能会造成重要文件的泄露。n7、通过恢复已经删除的文件，检查计算机是否有越级处理、存放文件。危害：普通的删除方式无法彻底删除文件，若曾经处理过重要数据，可以通过其他方式进行恢复。n8、检测计算机是否开启不必要的端口危害：危险端口的开放，容易被利用，以此入侵到使用者的电脑当中，甚至感染其他计算机。安全评测分层次评测系统各层次安全性，硬件层、系统层、网络层和应用层，评估安全性是否达到所要求的安全效果。安全性也可以从数据存储安全、数据传输

12、安全、系统安全、应用安全、管理安全等五方面考虑。数据存储安全考虑主要体现在对系统历史数据的管理维护上，一般可以通过磁带库备份、RAID磁盘阵列、以及异地容灾等方式实现；数据传输安全确保数据在传输过程中不被截获，即使被截获，截获者也无法得到真正内容，可通过数据加密实现；系统级安全确保整个系统中的服务器、客户端系统安全，防止病毒侵入，系统遭到非法访问，一般可通过防病毒软件，及系统安全审计完成；应用级安全是指在应用软件系统使用中如何防止用户密码被他人盗取，防止非系统用户进入系统，确保用户只能看到自己使用范围内的东西；应用级安全一般采用权限分级、模块授权、身份认证等方式进行；管理级安全是唯一的非技术性

13、的安全级别，主要是通过加强管理，通过管理加强系统安全，如制定严格的操作规范、定期培训等方式，加强系统安全。 检查系统已有安全措施关于系统安全现有措施，安全措施主要包括保护网络安全、保护应用服务安全和保护系统安全三个方面，各个方面都要结合考虑安全防护的物理安全、防火墙、信息安全、Web安全、媒体安全等等保护网络安全。网络安全是为保护各方网络端系统之间通信过程的安全性。保证机密性、完整性、认证性和访问控制性是网络安全的重要因素。保护网络安全的主要措施如下：1）全面规划网络平台的安全策略。2）制定网络安全的管理措施。3）使用防火墙。4）尽可能记录网络上的一切活动。5）注意对网络设备的物理保护。6）检

14、验网络平台系统的脆弱性。7）建立可靠的识别和鉴别机制。保护应用安全，主要是针对特定应用（如Web服务器、网络支付专用软件系统）所建立的安全防护措施，它独立于网络的任何其他安全防护措施。虽然有些防护措施可能是网络安全业务的一种替代或重叠，如Web浏览器和Web服务器在应用层上对网络支付结算信息包的加密，都通过IP层加密，但是许多应用还有自己的特定安全要求。保护系统安全，与网络系统硬件平台、操作系统、各种应用软件等互相关联。涉及网络支付结算的系统安全包含下述一些措施：1）在安装的软件中，如浏览器软件、电子钱包软件、支付网关软件等，检查和确认未知的安全漏洞。2）技术与管理相结合，使系统具有最小穿透风

15、险性。如通过诸多认证才允许连通，对所有接入数据必须进行审计，对系统用户进行严格安全管理。3）建立详细的安全审计日志，以便检测并跟踪入侵攻击等。评测系统总体安全设计分层次评测系统各层次安全性，硬件层、系统层、网络层和应用层，评估安全性是否达到所要求的安全效果。安全性也可以从数据存储安全、数据传输安全、系统安全、应用安全、管理安全等五方面考虑。数据存储安全考虑主要体现在对系统历史数据的管理维护上，一般可以通过磁带库备份、RAID磁盘阵列、以及异地容灾等方式实现；数据传输安全确保数据在传输过程中不被截获，即使被截获，截获者也无法得到真正内容，可通过数据加密实现；系统级安全确保整个系统中的服务器、客户

16、端系统安全，防止病毒侵入，系统遭到非法访问，一般可通过防病毒软件，及系统安全审计完成；应用级安全是指在应用软件系统使用中如何防止用户密码被他人盗取，防止非系统用户进入系统，确保用户只能看到自己使用范围内的东西；应用级安全一般采用权限分级、模块授权、身份认证等方式进行；管理级安全是唯一的非技术性的安全级别，主要是通过加强管理，通过管理加强系统安全，如制定严格的操作规范、定期培训等方式，加强系统安全。 设计系统安全改进方案和实施步骤根据上述各项实训结果，提出系统安全改进方面的建议，并实施这些改进。鉴于时间和条件的限制，本实训仅就“系统”“网络”和“应用”三个方面展开系统安全改进实施。系统层安全就系

17、统层而言，其安全风险主要有以下几种：1）被他人盗取密码； 2）系统被木马攻击； 3）泄漏信息； 4）病毒感染；5）系统存在漏洞使他人攻击自己。相关的防护方法主要是： 1）察看本地共享资源，删除不必要共享 2）终端服务配置，禁用不必要服务 3）账号密码的安全原则 4）设置本地策略，包括本地安全策略、用户权限策略、用户和组策略。下面是其具体操作：（1）察看本地共享资源，删除不必要共享命令：net share 共享资源名 /delete （2）终端服务配置，禁用不必要服务如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有可能是黑客使用控制程序的服务端。

18、（3）账号密码原则首先禁用guest帐号，将系统内建的administrator帐号改名，而且要设置一个密码，最好是8位以上字母数字符号组合。如果你使用的是其他帐号，最好不要将其加进administrators组，如果加入administrators组，一定也要设置一个足够安全的密码，将sam文件删除，从而更改系统的administrator的密码！密码必须符合复杂要求性.启用密码最小值.禁用“用可还原的加密来存储密码”。 （5）设置本地策略操作：管理工具|本地安全设置|本地策略|审核策略，执行： 审核策略更改，审核登陆事件，审核对象访问，审核跟踪过程，审核目录服务访问，审核特权使用，审核系统

19、事件，审核帐户登陆时间，审核帐户管理。（6）本地安全策略交互式登陆.不需要按Ctrl+Alt+Del启用 根据个人需要 网络访问.不允许SAM帐户的匿名枚举启用 网络访问.可匿名的共享将后面的值删除 网络访问.可匿名的命名管道将后面的值删除 网络访问.可远程访问的注册表路径将后面的值删除 网络访问.可远程访问的注册表的子路径将后面的值删除 网络访问.限制匿名访问命名管道和共享（7）用户权限分配策略 从网络访问计算机 里面一般默认有5个用户，除Admin外删除4个，当然，等下我们还得建一个属于自己的ID；从远程系统强制关机，Admin帐户也删除，一个都不留；拒绝从网络访问这台计算机 将ID删除；

20、从网络访问计算机，Admin也可删除，如果你不使用类似3389服务；通过远端强制关机 删掉。 （8）用户和用户组执行：删除用户等等，只留下你更改好名字的adminisrator权限。（9）本地安全策略当登陆时间用完时自动注销用户(本地)防止黑客密码渗透。登陆屏幕上不显示上次登陆名(远程)如果开放3389服务，别人登陆时，就不会残留有你登陆的用户名.对匿名连接的额外限制 禁止按alt+crtl +del(没必要）允许在未登陆前关机防止远程关机/启动、强制关机/启动 只有本地登陆用户才能访问cd-rom只有本地登陆用户才能访问软驱 取消关机原因的提示： 打开控制面板窗口，双击“电源选项”图标，在随

21、后出现的电源属性窗口中，进入到“高级”标签页面；在该页面的“电源按钮”设置项处，将“在按下计算机电源按钮时”设置为“关机”，单击“确定”按钮，来退出设置框；以后需要关机时，可以直接按下电源按键，就能直接关闭计算机了。网络层安全网络信息系统在网络层面临的安全风险主要有：（1）被动钓鱼网络攻击（2）主动网络攻击（3）对通信软件的攻击相关的安全防护措施主要有：（1）删除ipc$空连接（2）关闭自己的139端口（3）445端口的关闭（4）3389的关闭（5）4899的防范（6）查看本机打开的端口和过滤下面是具体的操作方法：（1）删除ipc$空连接命令：开始|运行|regedit| 查找HKEY-LOC

22、AL_MACHINESYSTEMCurrentControSetControlLSA，把项里数值名称RestrictAnonymous的数值数据由0修改为1。（2）关闭自己的139端口（ipc和RPC漏洞存在于此）操作：在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。（3）防止rpc漏洞（XPSP2与2000SP4不存在该漏洞）操作：控制面板|管理工具|服务|RPC(Remote Procedure Call (RPC)Locator)服务|

23、将故障恢复中的第一次失败，第二次失败，后续失败，都设置为不操作。（4）445端口的关闭操作：修改注册表，添加一个键值 HKEY_LOCAL_MACHINESystemCurrentControlSetServicesNetBTParameters在右面的窗口建立一个SMBDeviceEnabled为REG_DWORD类型键值为 0。（5）3389的关闭操作：（XP系统）我的电脑上点右键选属性-远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。（6）4899的防范只要你的电脑做了基本的安全配置，黑客是很难通过4899来控制你的。（7）终端服务配置（03server为例）操作：开始|管理工具|

24、终端服务配置，执行：打开后，点连接，右键，属性，远程控制，点不允许远程控制 常规，加密级别，高，在使用标准Windows验证上点! 网卡，将最多连接数上设置为0 高级，将里面的权限也删除.我没设置 再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话（8）防止QQ攻击或泄密QQ使用UDP协议作为数据传输协议，对UDP协议，QQ一般只会打开4000、8000或8080端口，那么使用QQ通信时只需要保留一个通信端口就可以了，建议只在本机使用4000端口，关闭其他端口。（9）查看本机打开的端口和过滤 使用防火墙软件查看本机打开的端口和过滤； 使用下列操作查看本机打开的端

25、口和过滤 （10）配置网络层安全协议IPSEC，应用层安全协议操作：本地连接属性|Internet协议（TCP/IP）属性|高级TCP/IP设置|IP安全机制属性|使用此IP安全策略|选中“安全服务器（要求安全设置）” 应用层安全（1） 系统安装：1）IIS6.0安装。2）系统补丁的更新点击开始菜单所有程序Windows Update 按照提示进行补丁的安装。3）备份系统，用GHOST备份系统。4）安装常用的软件，例如：杀毒软件、解压缩软件等；安装完毕后,配置杀毒软件,扫描系统漏洞,安装之后用GHOST再次备份系统。5）先关闭不需要的端口开启防火墙导入IPSEC策略6）修改3389远程连接端口

26、（2） 用户安全设置1）禁用Guest账号 2）限制不必要的用户3）把系统Administrator账号改名4）创建一个陷阱用户 5）把共享文件的权限从Everyone组改成授权用户 6）开启用户策略 7）不让系统显示上次登录的用户名（3） 密码安全设置1）使用安全密码 2）设置屏幕保护密码3）开启密码策略4）考虑使用智能卡来代替密码（4） 系统权限的设置）磁盘权限）本地安全策略设置）禁用不必要的服务开始-运行-services.msc）修改注册表修改注册表，让系统更强壮（5） IIS站点设置：1) 将IIS目录数据与系统磁盘分开，保存在专用磁盘空间内； 2) 启用父级路径； 3) 在IIS管

27、理器中删除必须之外的任何没有用到的映射（保留asp等必要映射即可）； 4) 在IIS中将HTTP404 Object Not Found出错页面通过URL重定向到一个定制HTM文件； 5) Web站点权限设定（建议）：读允许，写不允许，脚本源访问不允许，目录浏览建议关闭，日志访问建议关闭，索引资源建议关闭。执行推荐选择 “仅限于脚本” 。 6) 建议使用W3C扩充日志文件格式，每天记录客户IP地址，用户名，服务器端口。（6） IIS权限设置的思路1) 要为每个独立的要保护的个体（比如一个网站或者一个虚拟目录）创建一个系统用户，让这个站点在系统中具有惟一的可以设置权限的身份。 2) 在IIS的【站点属性或者虚拟目录属性目录安全性匿名访问和验证控制编辑匿名访问编辑】填写刚刚创建的那个用户名。3) 设置所有的分区禁止这个用户访问，而刚才这个站点的主目录对应的