网站组建管理与维护第4章.ppt

1、2019/6/3,山东师范大学管理学院,第4章 Web网站安全部署,知识要点：Web系统的安全弱点，系统服务包和安全补丁，限制用户权限，文件系统安全，删除或禁用不必要的组件和服务，日志和审核，系统防病毒策略与案例。IIS的安全机制，设置IP地址限制、设置用户身份验证，设置Web服务器权限，控制IIS应用程序，审核IIS日志记录，安全加固工具及应用。防火墙和路由器应用，使用网络DMZ，虚拟专用网络。 重点知识：Web系统的安全弱点，系统服务包和安全补丁，删除或禁用不必要的组件和服务，日志和审核，系统防病毒策略，IIS的安全机制，身份验证，审核IIS日志记录，保护网络边界。 难点知识：Web系统的

2、安全弱点分析，审核IIS日志记录，保护网络边界。,2019/6/3,山东师范大学管理学院,4.1 Web系统的安全弱点,4.1.1 影响Web系统最常见的弱点 操作系统和应用程序的默认安装 使用弱口令或空口令的账号 无备份或者备份不完整 大量打开的端口 没有用于更正输入和输出地址的报文筛选 无日志或者日志不完善 易受攻击的CGI程序 恶意代码,2019/6/3,山东师范大学管理学院,4.1.2 与平台相关的弱点,Unicode弱点（Web服务器文件夹遍历） 使用Microsoft的Unicode会产生弱点。通过将一个精心构造的包含无效Unicode UTF-8序列的URL发送到IIS服务器，攻

3、击者可以强制该服务器遍历某个目录和执行任意的脚本。这种类型称为目录遍历攻击（Directory Traversal Attack）。如果攻击者一直前进，到达标为“executabil”的Microsoft IIS目录时，攻击者可以让自己加入的程序在该服务器上运行 。,2019/6/3,山东师范大学管理学院,4.1.2 与平台相关的弱点,缓冲区溢出 有几个DLL（如idq.dll）中包含了程序设计错误，这些错误允许攻击者设置缓冲区溢出攻击，并安全控制IIS Web服务器。 大块的编码内存在默认时与IIS 5.0一同安装在ASP ISAPL扩展处理的过程中，会存在远程缓冲区溢出。 第三个缓冲区溢出

4、情形，存在于提供限定符安全检查的方法中（适用于IIS 5.0与5.1） 缓冲区溢出弱点，还存在于服务器对文件名的有效性与大小检查的过程中。 当启用FTP服务时，IIS中会存在DoS弱点。,2019/6/3,山东师范大学管理学院,4.1.2 与平台相关的弱点,无保护的Windows网络共享 Windows中的文件共享特性支持网络（NetBIOS协议）上的文件共享 。 使用称为服务器消息块（SMB，Server Message Block）协议（该协议支持Windows文件共享）的Windows文件共享，也被攻击者用来获取敏感的系统信息。 通过空会话连接泄漏信息 SYSTEM账号具有事实上无限制的

5、特权，并且在访问时不需要口令，因此管理员不能以SYSTEM登录。SYSTEM有时需要其他机器上的信息，如SMB共享、用户名等，即网上邻居类型的功能。因为它不能使用用户ID和口令登录到其他系统上，所以它使用空会话来获取访问权限。这样也就给攻击者提供了以空会话来进行登录的机会。,2019/6/3,山东师范大学管理学院,4.1.2 与平台相关的弱点,安全账号管理器中的弱散列法 LAN Manager散列的主要缺点是它们总是被填充，或者截短至14个字符并被分解成两个部分，每部分7个字符，这种模式使得它们易于破解。口令破解程序只须破解两个7字符口令，甚至不需要测试小写字母。此外，LAN Manager易

6、受口令散列的偷听攻击。这种缺陷影响Microsoft Windows NT和Windows 2000 计算机 。 安全警告 一个易受攻击的Web站点，应立刻使用能够修复这些问题的Microsoft Service Packs 和Security Updates。,2019/6/3,山东师范大学管理学院,攻击手段,安全攻击基本手段,2019/6/3,山东师范大学管理学院,非法权限类,特洛伊木马 系统欺骗 拒绝服务 入侵 窃取,2019/6/3,山东师范大学管理学院,一种未经授权的程序，或在合法程序中有一段未经授权的程序代码，或在合法程序中包含有一段用户不了解的程序功能。上述程序对用户来说具有恶意

7、的行为。,PKZIP300,特洛伊木马,非法权限类,信息窃取类 逻辑炸弹类,陷阱入口类 功能欺骗类,2019/6/3,山东师范大学管理学院,信息窃取类 攻击系统权限,2019/6/3,山东师范大学管理学院,信息窃取类攻击系统权限-1,2019/6/3,山东师范大学管理学院,信息窃取类攻击系统权限-2,2019/6/3,山东师范大学管理学院,攻击口令,信息窃取类,伪造登 录现场,LOGIN特洛伊木马,2019/6/3,山东师范大学管理学院,指示输入错 误，重输入,捕获口 令退出,LOGIN特洛伊木马,信息窃取类攻击口令-1,2019/6/3,山东师范大学管理学院,真实登 录现场,Pale Rid

8、er,密码被窃取,采用TSR技术也可达到同样的目的,输入正确 进入系统,信息窃取类攻击口令-2,2019/6/3,山东师范大学管理学院,伪造ATM是典型的欺骗类特洛伊木马案件。,信息窃取类攻击口令-3,2019/6/3,山东师范大学管理学院,逻辑炸弹,逻辑炸弹是程序中的一部分，满足一定条件时激活某种特定的程序，并产生系统自毁，并附带破坏。,2019/6/3,山东师范大学管理学院,逻辑炸弹-1,潜伏代码,满足条 件否？,满足而 爆炸,满足而 爆炸,2019/6/3,山东师范大学管理学院,陷阱入口,2019/6/3,山东师范大学管理学院,4.2 加固操作系统的安全,操作系统是Web服务器的基础，虽

9、然操作系统本身在不断完善，对攻击的抵抗能力日益提高，但是要提供完整的系统安全保证，仍然有许多安全配置和管理工作要做。,2019/6/3,山东师范大学管理学院,4.2.1系统服务包和安全补丁,微软提供的安全补丁有两类：服务包（Service Pack）和热补丁（Hot fixes）。 服务包已经通过回归测试，能够保证安全安装。每一个Windows的服务包都包含着在此之前所有的安全补丁。微软公司建议用户及时安装服务包的最新版。安装服务包时，应仔细阅读其自带的Readme文件并查找已经发现的问题，最好先安装一个测试系统，进行试验性安装。 安全热补丁的发布更及时，只是没有经过回归测试。 在安装之前，应

10、仔细评价每一个补丁，以确定是否应立即安装还是等待更完整的测试之后再使用。在Web服务器上正式使用热补丁之前，最好在测试系统上对其进行测试。,2019/6/3,山东师范大学管理学院,安全补丁下载,2019/6/3,山东师范大学管理学院,Windows Update自动更新服务,Windows 自动更新是 Windows 的一项功能，当适用于您的计算机的重要更新发布时，它会及时提醒您下载和安装。 使用自动更新可以在第一时间更新您的操作系统，修复系统漏洞，保护您的计算机安全。,2019/6/3,山东师范大学管理学院,Windows Update自动更新服务,2019/6/3,山东师范大学管理学院,W

11、indows Update自动更新服务,1.选择“开始”，“运行”，输入gpedit.msc，打开组策略窗口。,2019/6/3,山东师范大学管理学院,Windows Update自动更新服务,2.选择“管理模板”，然后从菜单中选择“操作”，“添加/删除模板”。,2019/6/3,山东师范大学管理学院,Windows Update自动更新服务,3.在“添加/删除模板”窗口中选择“添加”。,2019/6/3,山东师范大学管理学院,Windows Update自动更新服务,4.在“策略模板”中选择“wuau.adm”，并选择“打开”。,2019/6/3,山东师范大学管理学院,Windows Upd

12、ate自动更新服务,5.选择“关闭”，关闭“添加/删除模板”窗口。,2019/6/3,山东师范大学管理学院,Windows Update自动更新服务,6.选择“计算机配置”-“管理模板”-“Windows 组件”-“Windows Update”，并选择“配置自动更新”。,2019/6/3,山东师范大学管理学院,Windows Update自动更新服务,7.在“配置自动更新”的属性窗口中，选择“启用”，并选择“确定”。,2019/6/3,山东师范大学管理学院,Windows Update自动更新服务,8.在“指定Intranet Microsoft更新服务器位置”的属性窗口中，选择“启用”，并

13、在“设置检测更新的Intranet更新服务：”框中输入“http:/服务器域名或IP地址”，在“设置Intranet统计服务器：”框中输入“http:/服务器域名或IP地址”，并选择确定。 9.关闭组策略窗口。,2019/6/3,山东师范大学管理学院,注意：一般运行完更新脚本后更新并不会立刻开始，需要等待一段时间(30min以内)，请放心，您的电脑一旦发现有新的更新存在会立刻自动给出下载安装的提示以及各种更新的详细说明(屏幕右下角会冒出来一个图标)。此更新服务目前不提供对 Windows9x/Windows Me/Windows NT 更新的支持，以下系统直接支持自动更新： Microsoft

14、 Windows 2000 SP3 或更高版本 Microsoft Windows XP SP1 或更高版本 Microsoft Windows Server(tm) 2003 使用此更新同微软的在线升级并无冲突，您仍然可以随时访问 http:/ 来进行在线升级。,Windows Update自动更新服务,2019/6/3,山东师范大学管理学院,4.2.2 限制用户权限-1,禁止或删除不必要的账户 （如Guest ） 设置增强的密码策略 密码长度至少9个字符。设置一个与系统或网络相适应的最短密码存留期（典型的为17天）。 设置一个与系统或网络相适应的最长密码存留期（典型的不超过42天）。设置密

15、码历史至少6个。这样可强制系统记录最近使用过的几个密码。,2019/6/3,山东师范大学管理学院,4.2.2 限制用户权限-2,设置账户锁定策略,（1）复位账户锁定计数器。用来设置连续尝试的时限。 （2）账户锁定时间。用于定义账户被锁定之后，保持锁定状态的时间。 （3）账户锁定阈阀值。用于设置允许用户连续尝试登录的次数。,2019/6/3,山东师范大学管理学院,4.2.2 限制用户权限-3,加强管理员账户的安全性 （1）将Administrator重命名，改为一个不易猜测的名字。 （2）为Administrator账户设置一个复杂密码，由多种字符类型（字母、数字和标点符号等）构成，密码长度不能

16、少于9个字符。 （3）建立一个伪账户，其名字虽然是Administrator，但是没有任何权限。定期审查事件日志，查找对该账户的攻击企图。 （4）使用Passprop.exe工具设置管理员账户的锁定阀值。 （5）除管理员账户外，有必要再增加一个属于管理员组（Administrators）的账户，作为备用账户。,2019/6/3,山东师范大学管理学院,Web服务器的用户账户尽可能少 严格控制账户特权 可使用本地安全策略（或域安全策略）管理器来设置用户权限指派，检查、授予或删除用户账户特权、组成员以及组特权。,4.2.2 限制用户权限-4,2019/6/3,山东师范大学管理学院,4.2.3加固文件

17、系统的安全,确保使用NTFS文件系统安装Windows 2000服务器时，最好将硬盘的所有分区设置为NTFS分区，而不要先使用FAT分区，再转换为NTFS分区。Web服务器软件应该安装在NTFS分区上。 设置NTFS权限保护文件和目录 要使用NTFS权限来保护目录或文件，必须具备两个条件。 要设置权限的目录或文件必须位于NTFS分区中。 对于要授予权限的用户或用户组，应设立有效的Windows账户。,禁用NTFS的8.3文件名生成,2019/6/3,山东师范大学管理学院,4.2.4删除或禁用不必要的组件和服务,禁止或删除不必要的系统服务 ClipBookSewer。该服务允许通过网络取得系统剪

18、贴板内容的访问权。该服务很容易被非法滥用，应禁止这项服务。 Computer Browser。该服务会引起网络性能的下降以及名字解析的问题。对于Web服务器来说没有必要使用该服务，可以考虑禁止。 Net Logon。用于网络认证。对于Web服务器来说没有必要，可以考虑禁止。 Network DDE and DDE DSDM。如果不需要动态数据交换，应禁止该项服务。 Remote Registor Service。该服务允许进行远程注册表操作，应禁止该项服务。 Routing and Remote Access Service。用于支持远程访问及路由功能。对于Web服务器可考虑禁止该项服务。 S

19、chedule。运行计划作业所需的服务。如果不用高度任务，应禁止该服务。 Server。用于将本系统的资源共享。对于Web服务器来说，不应当提供文件及打印共享，应禁止该服务。 Elephony Server。用于支持RAS。如果不使用RAS，应禁止该服务。 Time Service。进行时钟同步的服务，可以将本地时钟校准成选定的某个远程主机上的当前时钟。如果不需要时钟同步，可以禁止该服务。 UPS。用于支持不间断电源系统。如果服务器不监控UPS，则禁止该服务。 WorkStation。用于访问其他Windows 2000系统的共享资源。如果服务器不需要访问其他Windows 2000系统的共享

20、资源，可考虑禁止该服务。,2019/6/3,山东师范大学管理学院,禁用某项系统服务操作：,在“计算机管理”控制台中打开“服务”项目，停止某项系统服务，并更改启动类型，最好设置为“已禁用” 。,2019/6/3,山东师范大学管理学院,删除某组件操作：,要彻底清除某些服务，可通过删除Windows组件的方式来实现。从控制面板中选择“添加/删除程序”“添加/删除Windows组件”，启动Windows组件向导来删除某些组件,2019/6/3,山东师范大学管理学院,禁止或删除不必要的网络协议,Web服务器系统只保留TCP/IP协议，删除NetBEUI、IPX/SPX协议。卸载“Microsoft网络的

21、文件和打印机共享”。从“网络和拨号连接”文件夹中打开任一连接的属性设置对话框，鼠标单击“卸载”按钮删除该组件。,卸载“文件和打印机共享”,禁用TCP/IP上的NetBIOS,2019/6/3,山东师范大学管理学院,尽可能减少不必要的应用程序,如果不是绝对需要，就应该避免在服务器上安装应用程序。例如，不要安装E-mail客户端、Office产品及工具；或者对于服务器正常运行并不必需的工具。如果已经计划用服务器提供Web服务，那么不必为服务器添加外部应用程序。然而，当配置Web服务器以及开发Web站点时，为了实现其功能，可能会为其添加必要的工具。,删除不必要的OS/2和POSIX子系统 OS/2和

22、POSIX子系统分别支持为OS/2和POSIX开发的应用程序。在安装Windows 2000的同时这些子系统也会被安装，应删除这些子系统。操作系统的任何部分都存在弱点，可能被攻击，删除这些额外的部分可以堵住可能出现的漏洞。,2019/6/3,山东师范大学管理学院,4.2.5网络共享控制,Web服务是通过HTTP或FTP而不是文件共享来进行文件访问。默认情况下，Windows 2000提供不少网络共享资源，这对局域网内部的网络管理和网络通信很方便；但对Web服务器系统却是一个重大的安全隐患。应该删除掉所有不必要的文件共享，以避免造成重要信息的泄漏。 应该取消默认隐藏的管理性共享（如C、D等），其

23、办法是修改注册表。在注册表键HKEY LOCAL MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters下面增加一个键值。对于Server版，添加键值“AutoShareServer”，类型为“REG DWORD”，值为“0”。,2019/6/3,山东师范大学管理学院,保护注册表系统注册表存储了关于系统的重要数据，这些数据关系到系统正常运行和安全。必须有效地保护注册表，防止攻击者非法存取和修改注册表，导致的系统崩溃或重要信息被窃取。 注册表安全设置 （1）阻止SYN泛洪攻击 （2）禁止空连接访问 （3）禁止Internet打印

24、（4）禁止匿名登录,4.2.6 保护注册表及安全设置,2019/6/3,山东师范大学管理学院,4.2.7 日志和审核,对于系统安全来说，应当启用日志和审核功能，以记录攻击者入侵安全事件，便于管理员审查和跟踪。Windows 2000的安全日志可以记录安全事件，如有效的和无效的登录尝试，以及与创建、打开或删除文件等资源使用相关联的事件。管理器可以指定在安全日志中记录事件。例如，如果已启用登录审核，登录系统的尝试将记录在安全日志里。,设置审核策略,定义审核的事项,2019/6/3,山东师范大学管理学院,安全事件查看,对审核结果，要通过事件查看器来查看。打开事件查看器窗口，鼠标双击大目录树中的“安全

25、日志”，详细信息窗格中显示安全日志，如下图所示。,2019/6/3,山东师范大学管理学院,4.2.8 文件系统加密,EPS在Windows 2000中可通过一个高级文件属性使得对文档加密有效。要加密一个文件夹的内容，在Windows资源管理器中定位到该文件夹，鼠标右键单击文件夹，鼠标左键单击“属性”打开“属性”窗口，如左图所示。,文件夹属性窗口,加密文件或文件夹窗口,2019/6/3,山东师范大学管理学院,4.2.9 系统防病毒策略与案例,系统防病毒策略 病毒是系统中最常见的安全威胁，提供有效的病毒防范措施是系统安全的一项重要任务。对于Web服务器来说，安装防病毒软件并对病毒库进行及时更新显然

26、是非常必要的。在为Web服务器选择病毒解决方案时，应考虑以下几个方面。 尽可能选择服务器专用版本的防病毒软件，如瑞星杀毒软件（网络）服务器版。 注意网络病毒的实时预防和查杀功能。 考虑是否提供对软盘启动后NTFS分区病毒的查杀功能，这样可以解决因系统恶性病毒而导致系统不能正常启动的问题。,2019/6/3,山东师范大学管理学院,应用案例-分布式病毒防御系统,瑞星网络版的防杀毒系统,2019/6/3,山东师范大学管理学院,4.3 设置Web服务器的安全,4.3.1 IIS的安全机制,（1）客户端Web服务器提出请求。 （2）如果服务器需要进行身份验证，则向客户端提出身份验证请求信息。浏览器既可以

27、提示用户输入用户名和密码，也可以自动提供这些信息。 （3）服务器将接收的客户IP地址同限制访问的IP地址进行比较，如果IP地址是禁止访问的，则请求失败；同时用户收到“403禁止访问”消息，否则继续下面的审查。 （4）IIS检查用户是否拥有有效的Windows用户账户。如果用户没有，则请求失败；同时用户收到“403访问禁 图4.15 IIS访问控制过程 止”消息。否则继续下面的审查。 （5）IIS检查用户是否具有请求资源的Web权限。如果用户没有，则请求失败；同时用户将得到“403访问禁止”消息。否则继续下面的审查。 （6）IIS检查资源的NTFS权限。如果用户不具备资源的NTFS权限，则请求失

28、败，同时用户将得到“401访问被拒绝”消息。 （7）如果用户具有NTFS权限，则可完成该请求。,2019/6/3,山东师范大学管理学院,4.3.2 设置IP地址限制,IIS可以通过设置IP地址访问限制，来防止或者允许某些特定的计算机、计算机组甚至整个网络访问Web站点。 当用户的计算机通过代理服务器或地址转换服务器（NAT）访问远程Web服务器时，IIS接受到的是代理服务器或地址转换服务器的IP地址，而不是用户计算机的IP地址。,IP地址及域名限制,2019/6/3,山东师范大学管理学院,4.3.3 设置用户身份验证,2019/6/3,山东师范大学管理学院,4.3.3 设置用户身份验证,IIS

29、验证用户身份有三种方式:,2019/6/3,山东师范大学管理学院,设置匿名账号 要更改匿名用户账户，在“验证方法”对话框中，单击“匿名访问”区域中的“编辑”，打开如下图所示的“匿名用户账户”对话框，输入要用于匿名访问的有效Windows用户账户。,4.3.3 设置用户身份验证,2019/6/3,山东师范大学管理学院,4.3.4 设置Web服务器权限,应慎重设置Web站点目录的访问权限，防止攻击者利用。不要对目录授予“写入”和“目录浏览”的权限，更不要授予“脚本资源访问”权限，以防止攻击者从ASP应用程序的脚本中查看敏感信息。对于脚本应用程序目录，不要选中“索引此资源”。,2019/6/3,山东

30、师范大学管理学院,4.3.5 控制IIS应用程序,设置执行许可,只有在有执行文件（如DLL文件）时，才选择“脚本和可执程序”。 对于ASP文件目录，在“执行许可”中只授予“纯脚本”的权限，不要授予“执行”权限。,2019/6/3,山东师范大学管理学院,可以， 我在这里。,应用程序映射属性页,使用应用程序映射属性页可以将文件扩展名映射到处理这些文件的程序或解释器。映射的应用程序包括ASP应用程序、IDC应用程序等。例如，当 Web服务器收到扩展名为.asp的页的请求时，将通过应用程序映射，调用可执行文件asp.dll 来处理.asp的页。,2019/6/3,山东师范大学管理学院,删除不必要的II

31、S扩展名映射,一般应删除.htr、.idc、.stm、shtm、shtml、.printer、.htw、.ida和.idp等脚本映射。 右图中列出了与可执行文件和可执行文件名相关联的文件扩展名。如果“（all）”显示在列表中，则所有动作都将发送到应用程序。“（all）”不是动作。,2019/6/3,山东师范大学管理学院,禁止父路径选项,因为该选项允许用户在调用函数（如MapPath）时使用“”，这样会带来安全隐患。,2019/6/3,山东师范大学管理学院,4.3.6 设置目录或文件的NTFS权限,表4.2 NTFS权限与Web服务器权限的比较,2019/6/3,山东师范大学管理学院,设置目录或

32、文件的NTFS权限, 对于根目录，应拒绝匿名用户账户的访问，并选中“允许将来自父系的可继承权限传播给该对象”选项，将此访问权限覆盖子目录中的设置；然后再根据不同子目录中数据的类型为其设置访问权限，这样可进一步保障Web站点的安全。 最好将不同类型的文件存放在不同的目录中，授予不同的NTFS权限。例如，将可执行程序和脚本文件分离。 对于包含可执行程序（如CGI程序）的目录，只授予“运行”权限，不要授予“读取”权限，并拒绝匿名用户访问。 对于包含脚本文件（ASP页面）的目录，只授予“运行”权限，不要授予“读取”权限，并拒绝匿名用户访问。 对于服务器端包含指令的文件（如INC、SHTM和SHTML等

33、）的目录，只授予“运行”权限，并拒绝匿名用户访问。 SHTML是一种用于SSI（Server Side Include）技术的文件。一些Web Server若有SSI功能，则会对SHTML文件特殊处理。先扫描一次SHTML文件看没有特殊的SSI指令存在，若有就按Web Server设定规则解释SSI指令，解释完后与一般HTML一起调去客户端。 对于包含静态页面文件（如HTML、JPG和GIF等）的目录，只允许匿名用户有“读取”权限。 最好为每个文件类型创建一个新目录，在每个目录上设置NTFS权限，并允许权限传递给各个文件。例如，静态页面单独一个目录，图形、像单独一个目录，脚本文件单独一个目录。

34、,2019/6/3,山东师范大学管理学院,4.3.7 审核IIS日志记录,设置日志审核步骤,选择日志格式和创建策略 在“日志文件目录”框中设置日志的文件路径。为安全起见，最好不要使用缺省的目录。应更换默认的日志路径，并设置日志文件目录的访问权限。只允许管理员和System账号具有完全控制权限，只允许对Everyone组账户授予读写权限。,2019/6/3,山东师范大学管理学院,对于单个计算机上有多个Web站点的情况，服务器IP地址和服务器端口这两个日志选项很有用。Win32状态选项有利于调试。例如，检查日志发现有错误代码，可通过执行命令net help msg err_no（err_no代表错

35、误代号）来了解更多的Win32错误。,日志记录扩充属性设置,2019/6/3,山东师范大学管理学院,日志审核示例,Web-IA网站分析与管理操作界面,2019/6/3,山东师范大学管理学院,4.3.8 IIS选项或相关组件筛选,删除Web服务之外的其他IIS服务 例如，只保留HTTP，删除SMTP、NNTP、FTP和Indexing Service（索引服务）等 。 删除FrontPage服务扩展FrontPage服务器扩展用于支持通过FrontPage开发的、具有某些特殊功能的Web页面，以及通过FrontPage Web站点工具发布Web内容。如果Web站点不是通过FrontPage开发的

36、，或者不需要这些特殊功能，Web服务器就不需要FrontPage支持，应当删除FrontPage服务器扩展。 停止或删除默认站点 在新的目录下新建Web站点，该目录不要放在Inetpubwwwroot下，最好放在与它不同的分区下 。 禁止或删除IIS的所有示例程序 禁止或删除不必要的COM组件,图 1.5 Web系统的组成结构,2019/6/3,山东师范大学管理学院,4.3.9 安全加固工具及应用,图1.8 Browser/Server三层体系结构,2019/6/3,山东师范大学管理学院,使用IIS锁定向导加固系统安全, 执行下载的文件iislockd.exe，启动向导进行配置，根据提示进行操

37、作。 当出现如右图所示的对话框时，选择所需的服务器模板。这里选择“Dynamic Web Server（ASP enabled）”。再选中“View template settings”复选框，出现更为详细的配置窗口。,选择服务器模板,2019/6/3,山东师范大学管理学院, 鼠标单击“下一步”，出现对话框后，选择要启动的IIS服务。 鼠标单击“下一步”，出现对话框后，设置要关闭的脚本映射。 鼠标单击“下一步”，出现对话框后，设置其他安全选项（右图）。,使用IIS锁定向导加固系统安全,2019/6/3,山东师范大学管理学院, 鼠标单击“下一步”，出现对话框后，决定是否安装URLScan。默认选

38、中“Install URLScan filter on the server”复选框。 鼠标单击“下一步”，出现“IIS Lockdown Wizard要改变内容”的提示。如果要改变选项，可单击“上一步”，重新设置。如果设置符合要求，即单击“下一步”，执行IIS锁定处理过程。如果要查看处理细节，可单击“View Report”按钮。 执行IIS锁定处理过程结束后，出现“Completing the Internet Information Services Lockdown Wizard”的对话框后，鼠标单击“完成”。,使用IIS锁定向导加固系统安全,URLScan安装为ISAPI筛选器,20

39、19/6/3,山东师范大学管理学院,4.3.10 使用ASP保护页面,Customer Log On/TITLEUser name:password:,创建一个表单用以收集访问者的用户名和密码，以检查他们是否存在于Web网站的用户数据库中。,2019/6/3,山东师范大学管理学院,4.4保护网络边界,网络边界,2019/6/3,山东师范大学管理学院,4.4.1 防火墙和路由器应用 -1,边界安全设备叫做防火墙。防火墙阻止试图对组织内部网络进行扫描，阻止企图闯入网络的活动，防止外部进行拒绝服务（DoS，Denial of Service）攻击，禁止一定范围内黑客利用Internet来探测用户内部

40、网络的行为。阻塞和筛选规则由网管员所在机构的安全策略来决定。防火墙也可以用来保护在Intranet中的资源不会受到攻击。不管在网络中每一段用的是什么类型的网络（公共的或私有的）或系统，防火墙都能把网络中的各个段隔离开并进行保护。,双防火墙体系结构,2019/6/3,山东师范大学管理学院,4.4.1 防火墙和路由器应用 -2,防火墙通常与连接两个围绕着防火墙网络中的边界路由器一起协同工作（下图），边界路由器是安全的第一道屏障。通常的做法是，将路由器设置为执报文筛选和NAT，而让防火墙来完成特定的端口阻塞和报文检查，这样的配置将整体上提高网络的性能。 根据这个网络结构设置防火墙，最安全也是最简单的

41、方法就是：首先阻塞所有的端口号并且检查所有的报文，然后对需要提供的服务有选择地开放其端口号。通常来说，要想让一台Web服务器在Internet上仅能够被匿名访问，只开放80端口（http协议）或443端口（httpsSSL协议）即可。,2019/6/3,山东师范大学管理学院,4.4.2 使用网络DMZ,把Web服务器放在DMZ中，必须保证Web服务器与的Intranet处于不同的子网。这样当网络流量进入路由器时，连接到Internet上的路由器和防火墙就能对网络流量进行筛选和检查了。这样，就证实了DMZ是一种安全性较高的措施；所以除了Web服务器，还应该考虑把E-mail（SMTP/POP）服

42、务器和FTP服务器等，也一同放在DMZ中 。,2019/6/3,山东师范大学管理学院,4.5 保护远程管理,4.5.1 远程管理的问题 如果服务器在离管理员很远的地方，特别是当管理员把Web站点放在ISP服务商那里时，当然就会出现不能直接使用DMZ的情况。为了解决这个问题，可以采用以下几种办法。 利用VPN（Virtual Private Network）链路来运行Windows IIS管理器。利用点对点隧道协议（PPTP）或网际安全协议（IPSec）封装到互联网标准的第二层隧道协议（L2TP）中，就能建立一个加密的VPN，通过防火墙到达位于远程的Web站点。 利用SSL运行HTMLA。互联网

43、信息服务管理器（Intranet Information Services Manager）以HTMLA(HTML Administration）形式在加密的SSL连接中运行。 使用Windows2000终端服务程序。该终端服务程序能够在一台远程工作站上运行MMC。通过远程工作站使用加密方法来管理IIS服务器。,2019/6/3,山东师范大学管理学院,4.5.2 虚拟专用网络,虚拟专用网络（VPN，Virtual Private Network）在通信双方之间提供安全认证和加密的传输信道，保护到远程控制的一个Web站点的连接 . 可以建立自己的VPN。以下是建立VPN的几种选择： 使用基于VP

44、N服务的Windows 2000。为了不影响Web服务器的工作性能，管理员应该在Web服务器所在的网络中另外再安装、配置一台VPN服务器。 使用那些支持VPN服务的防火墙和路由器。防火墙可以选择Checkpoint或天融信的产品，路由器可以选择Cisco或华为的产品，或者其他一些厂家生产的产品。 使用一个专门的VPN服务器，提供硬件和软件方面的服务平台。,2019/6/3,山东师范大学管理学院,4.5.3 Windows 2000终端服务-1,（1）从Windows的“开始”菜单中访问“控制面板”，鼠标单击“增加/删除程序”图标。 （2）单击左边框架里的“增加/删除组件”图标，开始运行组件的安

45、装向导。 （3）选择“终端服务”（Terminal Services）项，鼠标单击“下一步”按钮。（4）待出现如图4.33所示的配置页面窗口，选择“远程管理模式”，鼠标单击“下一步”按钮开始安装。,选择“终端服务”,选择“远程管理模式”,2019/6/3,山东师范大学管理学院,4.5.3 Windows 2000终端服务-2,选择高加密级,生成终端服务安装磁盘,2019/6/3,山东师范大学管理学院,Web系统的安全弱点 系统服务包和安全补丁 删除或禁用不必要的组件和服务 日志和审核 系统防病毒策略 IIS的安全机制 身份验证 审核IIS日志记录 保护网络边界。,本章小结,2019/6/3,山

46、东师范大学管理学院,2019/6/3,山东师范大学管理学院,思考与练习,影响系统的最常见弱点有哪些？ 与平台相关的弱点有哪些？ 操作系统的安全一般应从哪几方面考虑？ Web服务器的安全一般应从哪几方面考虑？ 如何保护网络边界？ 并画图说明。 保护Web服务器远程管理的主要方法是什么？,2019/6/3,山东师范大学管理学院,加固操作系统的安全,（1）实验目的。了解Windows 2000 Server系统弱点和漏洞，掌握加固操作系统安全技术。 （2）实验资源、工具和准备工作。安装与配置好的Windows 2000 Server服务器。连接中国教育和科研安全网站http:/，下载Windows

47、2000中文版SP4和其他安全补丁。 （3）实验内容。安装SP4系统服务包和安全补丁，限制用户权限，设置NTFS权限保护文件和目录，删除或禁用不必要的组件和服务，设置日志和审核，文件系统加密。 （4）实验步骤。参照4.2节进行，实验结束，写出实验总结报告。,网络实验,2019/6/3,山东师范大学管理学院,设置Web服务器的安全,（1）实验目的。了解IIS系统漏洞及IIS的安全机制，掌握Web服务器的安全设置技术。 （2）实验资源、工具和准备工作。安装与配置好的Windows 2000 Server服务器，该服务器安装与配置好了IIS服务。连接微软下载服务网址（表4.3），下载IIS Lockdown Wizard, V2.1安全加固工具。连接般若网络科技公司网址http:/ （3）实验内容。设置IP地址限制，设置用户身份验证，设置Web服务器权限，控制IIS应用程序，设置目录或文件的NTFS权限，采用Web-IA工具审核IIS日志记录，IIS选项或相关组件筛选，安全加固工具IIS Lockdown Wizard的使用。 （4）实验步骤。（参照4.3节进行，实验结束，写出实验总结报告。）,网络实验,