1、精选ppt1网络安全培训精选ppt2主要内容n网络安全的概念n安全的网络n常见网络攻击的介绍n常见主机攻击介绍n安全的主机n网络监测n事故处理n案例分析nFAQ精选ppt3精选ppt4安全？什么是计算机安全？谁定义计算机安全？ 计算机安全(公安部定义1994)： 计算机系统的硬件、软件和数据受到保护，不因偶然或恶意的原因而遭到破坏、更改、显露，系统不能连续正常运行。 计算机安全的含义(1991)：O避免窃取和破坏硬件O避免窃取和破坏信息O避免破坏服务精选ppt5保密性、完整性和服务失效+保密性：防止信息在非授权情况下的泄漏。+完整性：保护信息使其不致被篡改或破坏。+服务失效：临时降低系统性能、
2、系统崩溃而需要人工重新启动、因数据永久性丢失而导致较大范围的系统崩溃。精选ppt6可信系统的评价准则类别名称主要特征A1验证设计形式化的最高级描述和验证，形式化的隐密通道分析，非形式化的代码一致性证明B3安全区域存取监督器(安全内核)，高抗渗透能力B2结构化保护形式化模型，隐密通道约束，面向安全的体系结构，较好的抗渗透能力B1有标识的安全保护强制存取控制，安全标识，删去安全相关的缺陷C2受控存取保护 单独的可说明性，广泛的审核，附加软件包C1任意安全保护 任意存取控制，在共同工作的用户中防止事故D低级保护不分等级精选ppt7计算机安全的内容l计算机实体安全l软件安全l数据安全l运行安全l环境安
3、全精选ppt8精选ppt9网络安全概述z什么是网络安全？谁定义网络安全？z体系是网络安全的重要特性z安全需求和安全政策精选ppt10主要的网络安全体系安全管理制度安全域边界管理数据安全体制安全监测分析系统U病毒防护？U自动安全管理系统？U精选ppt11网络安全体系示意精选ppt12不同体系所面对的威胁不同体系面对不同来源的威胁N管理制度面对人的威胁N边界管理面对来自网络外部的威胁N数据安全体制主要针对内部或外部信道的威胁(此外，防止泄密、进行鉴别等)N安全监测系统用于发现和补救存在的危险精选ppt13威胁从何而来？安全的模糊性网络的开放性产品的垄断性技术的公开性人类的天性精选ppt14安全的模
4、糊性d安全是相对的，不易明确安全的目标d安全是复杂的，不易认清存在的问题d安全是广泛的，不易普及安全的知识精选ppt15网络的开放性1互联机制提供了广泛的可访问性1Client-Server模式提供了明确的攻击目标1开放的网络协议和操作系统为入侵提供了线索1用户的匿名性为攻击提供了机会精选ppt16产品的垄断性0工业界试图将专用技术引入Internet以获得垄断地位，从而将开放式的环境演变为商品化的环境，如Active X。0专用技术的细节通常受到有关厂家的保护，因而缺乏广泛的安全讨论，容易出现安全缺陷，例如Active X允许进行控件下载，又缺乏对控件的运行约束。精选ppt17技术的公开性/
5、如果不能集思广益，自由地发表对系统的建议，则会增加系统潜在的弱点被忽视的危险，因此Internet要求对网络安全问题进行坦率公开地讨论。/基于上述原则，高水平的网络安全资料与工具在Internet中可自由获得。精选ppt18人类的天性好奇心、显示心惰性和依赖心理家丑不可外扬精选ppt19安全管理制度3木桶原则：木桶盛水的高度等于其最短的木板的长度3安全链条：链条的强度等于其最弱一环的强度4“人人”是最短的木板和最弱的一是最短的木板和最弱的一环环!精选ppt20精选ppt21网络边界安全使用防火墙使用防火墙!?什么是防火墙什么是防火墙!？J机房里用防火砖砌的墙?L不同的人对防火墙有不同的定义!一
6、种定义：防火墙是允许或不允许特定信息通过网络的某一关键路径的访问控制政策精选ppt22防火墙和关键路径关键路径可以是物理的也可以是逻辑的精选ppt23防火墙体系IP Packet Filter (如路由器中的access list)堡垒主机、多协议过滤器(如checkpoint防火墙)应用级防火墙(如Proxy、分裂的DNS,Sendmail、WEB过滤的Gaunlet防火墙)参考OSI模型的近似防火墙分层体系精选ppt24精选ppt25数据安全)数据保密：密码体制。)内容完整：数字签名，信息摘录。)无否认：公证机制，审计功能，数字签名。精选ppt26网络安全,传输安全：数据保密，内容完整；,
7、访问安全：身份认证，访问控制；,运行安全：基础设施的可靠性，安全监测。精选ppt27访问控制S用于限定对网络的使用，包括对某个用户进行访问控制；和对某个资源进行访问控制。S端系统访问控制n自主访问控制n强制访问控制n基于角色的访问控制政策S网络的访问控制：防火墙技术精选ppt28精选ppt29构建安全的网络n明确安全需求n制定安全政策n在边界建立符合安全政策的防火墙体系n划分内部的安全政策域n对特定的主机节点进行加固n使用合理的访问控制政策、鉴别机制和数据安全体制n建立有效的可承受的监测体制精选ppt30明确安全需求n不同的网络安全需求是不同的n安全需求是建立安全政策的基础n例如校园网可以有：
8、n保证网络的可用：路由器不瘫痪、邮件发送正常等等n保证网络用户使用的可管理n防止出现异常的流量导致异常的费用n防止对核心服务器的攻击，以保护学校的声望n对学校某学生的机器不特别关心，除非他报案精选ppt31制定安全政策n根据安全需求制定安全政策n安全政策可以是形式化的，也可以是口语化的n安全政策表示的是什么是允许的什么是不允许的n例如(可以不用书面定义，可以包括所采用的技术手段的种类)：n在边界使用防火墙，允许内部注册用户的对外访问，禁止随意的对内部访问等n内部开发网段使用SSH作为数据安全手段n鉴别采用口令认证的方式精选ppt32在边界建立符合安全政策的防火墙体系Internet路由器防火墙
9、WWW、SMTPProxy内部用户DMZ精选ppt33划分内部的安全政策域n例如某公司可以划为：用户上网域、服务器域、开发域等Internet路由器WWW、SMTP内部开发区服务器域(DMZ)用户上网区服务器开发服务器禁止开发 禁止(允许FTP)精选ppt34对特定的主机节点进行加固n对特殊位置的主机必须进行加固n如上例nWWW服务器和Mail服务器n对于内部开发服务器也需要加固n可以制定一定的制度，要求内部员工也对各自的主机进行加固精选ppt35使用合理的访问控制、鉴别机制和数据安全体制n建立授权访问控制的政策，例如：哪些人可以访问哪些信息、权限如何等n选择内部或外部使用的鉴别机制，例如口令
10、机制、证书、LDAP、NISn选择使用或不使用数据安全体制，使用哪种数据安全体制，例如CA、KDC。如采用Kerberos(KDC)精选ppt36建立有效的可承受的监测体制n使用不使用安全监测系统n基于网络还是基于主机的安全监测系统n例如：n在边界上使用基于网络的入侵检测系统n在服务器上使用基于主机的安全状态检查系统n等等精选ppt37总结B计算机安全是指对计算机硬件、软件和数据的保护B网络安全是成体系的B网络边界的管理常常使用防火墙体系B信息安全依靠数据安全体系保障B安全监测体系可以用于发现系统漏洞和入侵行为B根据安全需求和安全政策建立相对安全的网络精选ppt38常见攻击介绍n针对网络的攻击
11、n拒绝服务攻击（Deny of Service)n针对主机的攻击n缓冲区溢出攻击（buffer overflow)n后门和木马(backdoor&Trojan)n蠕虫、病毒精选ppt39网络入侵的步骤(简单服务失效攻击)获取目标系统信息从远程获取系统的部分权利从远程获取系统的特权清除痕迹留后门破坏系统精选ppt40常见网络攻击 DoSn消耗有限资源n网络链接n带宽消耗n其他资源n处理时间n磁盘空间n账号封锁n配置信息的改变精选ppt41DoS分类nSyn floodn其他flood（smurf等）n分布式DoS(DDoS)精选ppt42Syn flood 攻击原理n攻击TCP协议的实现n攻击者
12、不完成TCP的三次握手n服务器显示TCP半开状态的数目n与带宽无关n通常使用假冒的源地址n给追查带来很大的困难精选ppt43TCP Three-Way HandshakeSYNClient wishes to establish connectionSYN-ACKServer agrees to connection requestACKClient finishes handshakeClient initiates requestConnection is now half-openClient connection EstablishedServer connection Establi
13、shedClient connecting to a TCP port精选ppt44SYN Flood IllustratedClient spoofs requesthalf-openShalf-openShalf-openSQueue filledSQueue filledSQueue filledSSASASAClient SYN Flood精选ppt45Syn flood攻击实例n服务器很容易遭到该种攻击n南邮“紫金飞鸿”曾遭受该攻击的困扰精选ppt46SYN Flood ProtectionnCisco routersnTCP 截取n截取SYN报文，转发到servern建链成功后在恢
14、复client与server的联系nCheckpoint Firewall-1nSYN Defendern与Cisco 路由器的工作原理累死n攻击者依然可以成功n耗尽路由器或者防火墙的资源精选ppt47TCP Intercept IllustratedRequest connectionAnswers for serverSSAFinishes handshakeARequest connectionServer answersSSAFinishes handshakeAKnit half connections精选ppt48SYN Flood Preventionn增加监听队列长度n依赖与操
15、作系统的实现n将超时设短n半开链接能快速被淘汰n有可能影响正常使用n采用对该攻击不敏感的操作系统nBSDnWindows精选ppt49Smurf 攻击原理n一些操作系统的实现会对目的地址是本地网络地址的ICMP应答请求报文作出答复。n以网络地址为目标地址发送ICMO应答请求报文，其中很多主机会作出应答。n攻击者将ICMP报文源地址填成受害主机，那么应答报文会到达受害主机处，造成网络拥塞。精选ppt50Smurf Attack IllustratedICMP Echo RequestSrc: targetDest: 10.255.255.25510.1.1.1Attacker spoofs ad
16、dress10.1.1.210.1.1.310.1.1.4Amplifier:Every host replies精选ppt51Smurf攻击的预防n关闭外部路由器或防火墙的广播地址特性；防止目标地址为广播地址的ICMP报文穿入。n成为smurf攻击的目标，需要在上级网络设备上做报文过滤。精选ppt52分布式DoS(Distributed DOS)n从多个源点发起攻击n堵塞一个源点不影响攻击的发生n采用攻击二级结构n攻击控制用的称为 handlersn发起攻击用的 agentsn攻击目标为targets精选ppt53DDOS IllustratedClientAgentHandlerAgent
17、AgentHandlerAgentAgentAgent精选ppt54DDoS攻击n目前没有 很好的预防方法nDDoS攻击开销巨大n但是一般主机不可能成为DDoS的目标nYahoo曾经遭受过DDoS攻击nSadmind/unicode蠕虫为DDoS做准备精选ppt55针对主机的攻击n缓冲区溢出n后门和木马n蠕虫、病毒精选ppt56缓冲区溢出n程序收到的参数比预计的长n程序的栈结构产生混乱n任意输入会导致服务器不能正常工作n精心设计的输入会导致服务器程序执行任意指令精选ppt57Buffer Overflow Illustratedmain() show (“THIS IS MORE THAN 2
18、4 CHARACTERS!”);show(char*p) strbuff24; strcpy(strbuf,p);Stackmain() datamain() returnSaved registerShow() dataStrbuf24 bytesstrcpy() returnE R S ! T H I S. I S . M O R E. T H AN . 2 4. C H AR A C T Return address corrupt精选ppt58缓冲区溢出的预防n联系供应商n下载和安装相关的补丁程序n如果有源代码n自己修改源代码，编译安装精选ppt59后门和木马n应用背景：攻入系统之后，
19、为以后方便、隐蔽的进入系统，有时候攻击者会在系统预留后门。nTrojan horse: A program that appears to serve one purpose, but it reality performs an unrelated (and often malicious) task.精选ppt60后门、木马技术获得系统控制权之后，可以做什么？n修改系统配置n修改文件系统n添加系统服务后门技术通常采用以上的手段或其组合。精选ppt61后门、木马的检测和预防nMD5 基线n给干净系统文件做MD5校验n定时做当前系统的MD5校验，并做比对n入侵检测系统n后门活动有一定的规律n安
20、装入侵检测系统，一定程度上能够发现后门n从CD-ROM启动n防止后门隐藏在引导区中精选ppt62蠕虫n能够自行扩散的网络攻击程序n各种攻击手段的组合n有时候为DDoS做攻击准备n具体问题具体分析精选ppt63一个蠕虫实例n第一步，随机生成IP作为二级受害主机的超集，对这些IP所在的C类网段的111口进行横向扫描（检测是否存在rpc服务），保存结果，获得存在rpc服务的主机集合；n第二步，对上述存在rpc服务的主机，检测是否运行sadmind服务，保存检测结果，获得存在sadmind服务的主机集合，即二级受害主机集合一；n第三步，对二级受害主机集一以轮询方式尝试sadmind栈溢出攻击；精选pp
21、t64蠕虫实例（续上）n第四步，检查栈溢出攻击是否成功。如果成功则进行第五步（扩散攻击系统）否则跳第九步（进行另一种攻击尝试）；n第五步，sadmind栈溢出攻击成功后，攻击程序可以通过登录二级受害主机的600口获得一个具有超级用户权限的shell。攻击程序利用这个shell，添加二级受害主机对一级受害主机的信任关系，使一级受害主机可以执行二级受害主机的远程shell指令。精选ppt65一个蠕虫实例（续上）n第六步，一级受害主机将攻击代码上载至二级受害主机，设置二级受害主机的攻击环境，修改系统启动文件并且消除入侵痕迹。n第七步，一级受害主机远程启动二级受害主机的攻击进程。由于在第六步中，一级受
22、害主机设置了二级受害主机的攻击环境、修改了系统配置，因此，二级受害主机不能通过重新启动系统阻止CUC攻击的扩散。这样，二级受害主机迅速完成了从受害者到“帮凶”的角色转换。精选ppt66一个蠕虫实例（续上）n第八步，一级受害主机发现它作为攻击者已经成功的感染了一定数量的主机（目前已发现版本的数量为2000）后，允许自身暴露。n第九步，随机生成IP作为二级受害主机的超集，对这些IP所在的C类网段的80口进行横向扫描（检测是否为WWW服务器），保存结果，获得存在WWW服务的主机集合（即二级受害主机集合二）；n第十步，对二级受害主机集合尝试UNICODE攻击（该攻击针对Windows NT系列系统），
23、试图修改其主页。 精选ppt67攻击示意图原始攻击者FTPFTP第一级受害者第二级受害者第二级受害者第二级受害者NT web serverNT web serverNT web server精选ppt68UNIX简史精选ppt69UNIX安全管理基本原则n好的安全管理起始于安全规划n危险评估n哪些需要被保护？n他们有多大的价值？n要使他抵御什么样的危险？n怎样来保护？精选ppt70UNIX安全管理基本原则（续上）n成本收益分析n用户培训n了解社会工程n管理员素质培养n遵守安全守则精选ppt71安全的主机（UNIX）n主机的安全配置n配置管理n服务裁剪n主机的安全管理n日常安全管理n系统审计n常
24、用工具介绍精选ppt72UNIX的安全配置n帐号管理n文件系统的管理n服务管理精选ppt73一个UNIX防御模型帐号安全用户名和口令root用户文件系统安全权限加密物理安全锁和守卫网络安全外层和防火墙精选ppt74UNIX帐号管理n侵入系统最简洁的方式是获得系统帐号n选择安全的口令n最安全的口令是完全随机的由字母、数字、标点、特殊字符组成n选择的口令要经得住两层攻击n依据个人信息猜测n用口令猜测程序猜测精选ppt75UNIX帐号管理（续上）n口令禁忌n不要选择字典中的单词n不要选择简单字母组合（abcdef等）n不要选择任何指明个人信息的口令n不要选择包含用户名的口令n尽量不要短于6个字符n不
25、要选择全大写或者全小写的组合精选ppt76UNIX帐号管理（续上）n好的口令n不能短于6个字符n选择包含非字母字符的口令n选择一个容易记住而不必写下来的口令n选择一个易于输入的口令n口令不能落纸n关闭不必要的帐号精选ppt77UNIX文件系统安全n定义用户安全级别n系统文件的访问控制n重要数据的备份和加密存放n重要数据一定要做分机备份n外部可访问主机的重要数据需要加密存放精选ppt78UNIX文件系统安全Web server学生资料库internet精选ppt79UNIX启动过程nUNIX启动（Redhat 6.0 Linux 2.2.19 for Alpha/AXP）nBootloader
26、nKernel引导入口 n核心数据结构初始化-内核引导第一部分n外设初始化-内核引导第二部分ninit进程和inittab引导指令nrc启动脚本ngetty和loginnbash 精选ppt80UNIX服务配置n基本原则n尽量关闭不必要的服务n服务越多，被攻入的可能性越大n服务裁剪n参考UNIX的启动过程n减弱inetd的能力n消弱cron中定时启动的服务精选ppt81服务裁剪linuxn把/etc/inetd.conf中的大部分服务都注释掉，仅仅保留所需要的部分服务。 n在该配置文件中没有不可以注释的部分 。n在一般情况下可以保留telnet、FTP，以及其它该服务器所提供的特殊服务，如DN
27、S服务器的named等等 n注释方法为：在不使用的服务前加 # 精选ppt82服务裁剪linux（cont.）n需要注意：Linux自身携带的FTPd在许多版本中有安全漏洞。 nreboot系统 nLinux各版本内核注释方法基本相同。 精选ppt83服务裁剪linux（cont.）n超级用户(root)直接使用命令： linuxconf n选择Control(Control Panel)Control service activity仅保留以下服务：inet, keytable, kudzu, linuxconf(即该配置界面)，network, syslog。 n此外，部分Linux也可以
28、在控制台上使用setup命令进行配置。如果可以使用setup则linuxconf服务建议关闭。 精选ppt84服务裁剪Solarisn为了系统安全，尽量减少系统对外提供的服务，使系统服务最小化。 n编辑/etc/inetd.conf文件，注释调所有不需要的服务(在注释行开始加入#)。 n其中可以被注释的一些比较有代表性的服务有：shell, login, exec, talk, combat, uucp, tftp, finger, netstat, ruserd, sprayd, walld, rstatd, cmsd, ttdbserverd等等，可以仅保留需要使用的telnet、FTP、
29、DNS(in.named)等等。需要特别注意Solaris系统自身携带的DNS(in.named)、FTP、POP、IMAP等主要服务均有问题。 精选ppt85服务裁剪Solaris(续)n 注释掉服务后重新启动inetdnPs ef |grep inetd获得inetd的进程号nKill 9 processid杀死inetd进程n/usr/sbin/inetd -s 重新启动inetdnSun OS 5.7与上面类似n上述服务中，只保留必须的服务，并且务必保证运行服务的版本的及时更新。 精选ppt86服务裁剪Solaris(续)n通过注释掉不必要的RC程序，可以使某些服务不启动。 n对于So
30、laris系统而言，可以在非MAIL服务器上注释掉sendmail服务；n可以在不需要使用NFS的环境下注释掉statd服务和automountd服务；精选ppt87服务裁剪Solaris(续)n注释的方法为： n进入/etc目录，在rc0.d到rc6.d的各个目录中，利用grep命令搜索自己关心的服务n发现启动的文件后，把该文件移走即可。n为了防止将来需要使用该文件建议使用如下方法：n在/etc目录下建立rcbackuprc目录，对文件做备份n具体资料见附件 精选ppt88UNIX主机的安全管理n日常管理原则n系统审计n常用管理工具介绍精选ppt89日常管理原则n管理员必须对主机全权管理n必
31、须是管理员管理n管理员必须管理n管理员必须定期审计主机n系统软件的安装必须进行授权n超级用户的控制n原则上只有管理员和备份管理员有超级用户口令n超户的扩散必须有足够的理由精选ppt90系统审计n日常审计n系统进程检查n系统服务端口检查n系统日志检查n针对性审计n怀疑发生攻击后，对系统进行针对性审计n针对具体怀疑情况，具体操作。精选ppt91日常审计n系统进程检查nps ef |more (solaris)nps ax|more (linux)n系统管理员应该清楚系统应该启动哪些进程精选ppt92日常审计系统进程精选ppt93服务器端口检查nnetstat an列出所有活动端口n管理员应该熟知所
32、管理系统应该活动的端口n发现异常端口活动，那么这个系统的可靠性值得怀疑精选ppt94日志检查n系统日志位置n/var/adm/messages.* (solaris)n/var/log/messages.* (linux)n日志的生成nsyslogdnminilogd精选ppt95日志检查n记录重要的系统事件是系统安全的一个重要因素n使用wtmp/utmp文件的连接时间日志n使用acct和pacct文件的进程统计n经过syslogd实施的错误日志n日志为两个重要功能提供数据：审计和监测精选ppt96日志检查n日志使用户对自己的行为负责n日志能够帮助检测n日志最重要的功能使制止n日志文件本身易被
33、攻击精选ppt97日志检查n日志是否缺失？n日志是否异常n缺失n是否有段错误n登录失败记录n其他异常情况精选ppt98一个例子精选ppt99第二个例子精选ppt100日志检查n应用程序日志nmailmaillog(或syslog)nftpxferlogn存放在Linux在相同的目录下nApache access_log和error_logn帐号相关日志nlastloglast命令nsulog(solaris)精选ppt101一种日常系统审计的方法n见附件系统检查流程精选ppt102针对性审计n针对流行蠕虫的审计n参考当前流行蠕虫的行为和表现，对系统进行检查。n例如：Cinik worm。htt
34、p:/ core)n上网查询怀疑被缓冲区溢出的服务是否存在漏洞，并且将特征进行比对。n安全专家还可以对core文件进行观察和调试精选ppt104针对性审计n后门和木马的检测n对系统命令做MD5校验，与干净系统的MD5校验和进行比对nlogin文件nin.telnetd文件nls, du, dk, find等常用命令精选ppt105针对性审计n后门和木马的检测（续上）n观察系统配置和系统服务是否正常ninetd.conf是否被修改过？ncron的配置文件是否被修改过？nrc.d系列有没有被修改过ninetd.conf中启动的服务可执行码是否被修改过精选ppt106UNIX常用工具介绍n日志工具综
35、述nChklastlog:该工具通过检查/var/adm/lastlog和/var/adm/wtmp之间的不一致性来删除信息。程序找出记录在wtmp中，而在lastlog中没有的用户登录ID。n下载参见：nftp:/coast.cs.purdue.edu/pub/tools/unix/chklastlogn通过搜索引擎搜索，关键字chklastlog精选ppt107UNIX常用工具介绍n日志检查工具nLogcheckn检查日志文件中违反安全或不正常的活动，并用电子邮件发送警告的信息。n可以通过设定关键字来报告需要查找的事件n可以通过设定关键字来报告它所忽略的事件n下载参见：nftp:/ tig
36、er, taran不论使用什么工具，用户都应该定期（对重要的主机，每天）进行弱点测试n下列情况下需要测试：n安全一个新系统n怀疑收到了入侵n确定收到了入侵n应该不定期测试，以防止攻击者发现了时间安排而进行工具精选ppt111UNIX常用工具nCopsnftp:/coast.cs.purdue.edu/pub/tools/unix/cops/1.04/nTaran通过搜索引擎检索下载精选ppt112UNIX常用工具介绍n基于网络的弱点发现工具n扫描器n漏洞扫描：检测系统服务的漏洞n网络扫描：检测网络的可用性，主机的可达性n网络监测设备精选ppt113UNIX常用工具介绍n漏洞扫描器nSATANn
37、SAINTnNESSUSnInternet Security Scanner(ISS)n端口扫描工具nNMAP精选ppt114UNIX常用工具介绍n端系统扫描（以saint为例）n一个综合的网络安全检查工具 n最简单工作模式 n高级模式 n命令行工作模式n基于Web工作模式（client/server模式）n扫描器使用的访问控制精选ppt115SAINT的使用启动精选ppt116SAINT的使用运行精选ppt117SAINT的使用精选ppt118UNIX常用工具n扫描器使用警告n不要在一个远程系统或那些在管理范围外且没有权限的系统上运行网络扫描工具n未授权的网络和主机扫描会花费精力、资源和职业
38、声誉n在进行系统搜索前，务必获得许可精选ppt119UNIX常用工具介绍n漏洞扫描器的获得n一般通过搜索引擎可以获得nSaint:nhttp:/ 对于任何试图穿越被保护的安全边界的识别。系统可以通告不同的机制检测入侵企图。 嗅包器、照相机、热感应器。精选ppt125入侵检测系统的类型n实时日志监测器n记录日志条目中的特殊事件n近似于实时响应n实时网络传输监测器n记录网络传输中的特殊事件n实时响应n事后的日志分析器n检查事先建立的日志信息n不能够实时响应精选ppt126入侵检测系统的使用攻击识别事件响应政策检验政策加强精选ppt127入侵检测系统的响应n被动响应: 不直接的针对入侵者采取行动。n
39、主动响应: 直接保护被入侵的目标采取行动。精选ppt128被动响应n忽略n记录日志n额外日志n通知精选ppt129主动响应n切断(连接、会话、进程)n网络重配置n还击n欺骗精选ppt130不同响应方式的优点n被动响应方式不会影响合法的传输n记录日志方式可以收集合法过程的证据n主动响应可以及时保护目标系统n主动响应方式可以减少管理员的工作强度精选ppt131不同响应方式的缺点n被动响应方式可能会允许入侵者进一步获取系统的访问权限n通知方式可能导致管理员工作量过大n切断方式可能影响合法用户的使用n还击可能影响无辜的系统，从而导致该系统采取针对你的合法行为n欺骗是困难的精选ppt132入侵检测系统的
40、政策n定义入侵检测系统的目标n确定监视的内容和位置n选择响应n设置坎值n实现政策精选ppt133漏报和误报n误报(false positive)n漏报(false negative)精选ppt134设置坎值n用户经验n网络速率n预期的网络连接n管理员的安全工作强度n感应器的敏感度n安全程序的效率n存在的漏洞n系统信息的敏感程度n误报的后果n漏报的后果精选ppt135入侵检测系统举例n监视Internet入口n服务器保护n事件响应精选ppt136监视Internet入口n系统目标：系统用户可以访问色情站点以外的所有站点；系统外部用户只能够访问内部分WWW、SMTP服务器。n监视器的位置：防火墙内
41、外各一个实时网络传输监视器；Proxy一个日志分析器。n监视内容：网络传输监视器忽略向外的主要服务和向内的WWW、SMTP流量，捕捉企图流量；日志分析器捕捉非法站点。n响应：记录日志。网络传输的监视器还可以切断连接或重配防火墙；日志分析器也可以通知用户。精选ppt137监视Internet入口Internet路由器网络监视器防火墙WWW、SMTPProxy日志分析器内部用户精选ppt138服务器保护n系统目标：保护内部网络的服务器，防止内部攻击。仅允许HTTP访问。n监视器的位置：在服务器网段设置一个实时网络传输监视器。n监视内容：记录所有网络流量，在HTTP流量中分析攻击特征；其它流量均记录
42、。n响应：记录所有非HTTP流量的日志。切断HTTP攻击的连接，也可以重新进行网络路由等配置。精选ppt139服务器保护Internet路由器网络监视器防火墙各种服务器精选ppt140事件响应n系统目标：对入侵自动响应，尽量获取攻击的信息，系统中有一个陷井。n监视器的位置：在网络的入口设置一个实时网络传输监视器，在陷井中设置一个实时日志监视器。n监视内容：网络传输监视器记录所有网络流量，分析攻击特征；日志记录器记录陷井中的日志。n响应：记录攻击模式的流量，把攻击引向陷井，并且通知管理员。精选ppt141事件响应Internet路由器网络监视器防火墙陷井服务器陷井的日志监视器精选ppt142总结
43、n网络安全监测是网络安全的体系之一。n入侵检测系统是网络安全监测中的部分功能。n包括入侵检测在内的各种技术手段的采用都是由安全需求和安全政策所决定。n其它相关领域(如：安全信息表示、分布协同、事件处理等等)精选ppt143事故处理精选ppt144nA. 在着手处理事故之前 nB. 夺回控制权 nC. 分析入侵 nD. 与相关的 CSIRT和其他站点联系 nE. 从入侵中恢复 nF. 提高你系统和网络的安全性 nG. 重新连上因特网 nH. 更新你的安全策略精选ppt145着手处理事故之前n对照你的安全策略 n如果你还没有安全策略 n请教管理层 n请教律师 n联系法律强制代理(FBI) n通知机
44、构里的其他人 n记录下恢复过程中采取的所有步骤n记录下恢复过程中采取的所有步骤有助于防止草率的决定,这些记录在未来还有参考价值.这对法律调查来说也是很有用的. 精选ppt146夺回控制权n将遭受入侵的系统从网络上断开 n为了夺回控制权,可能需要从网络上(包括拨号连接)断开所有的遭受入侵的机器.之后可以在UNIX的单用户模式下或NT的本地管理员状态下操作,确保拥有对机器的完全控制权;然而,通过重启动或切换到单用户/本地管理员模式,可能会丢失一些有用的信息. 精选ppt147夺回控制权（续上）n复制遭受入侵系统的镜象 n在分析入侵之前,我们推荐建立一个系统的当前备份.这可以提供入侵被发现时刻文件系
45、统的快照.将来这个备份或许用的上.例如UNIX的dd命令精选ppt148夺回控制权？nLock-in vs. Lock-outnLock-in：使攻击者保持活动nLock-out：夺回控制权n取证原则在有的情况下也要求Lock-in的处理方式n因此，夺回控制权不适用于全部情况精选ppt149分析入侵n查看系统软件和配置文件的更改 n查看数据的更改 n查看入侵者留下的工具和数据 n检查日志文件 精选ppt150分析入侵n查看是否有sniffern检查网络中的其他系统 n检查与遭受入侵系统有关或受到影响的远程主机精选ppt151查看系统软件和配置文件的更改n校验所有的系统二进制和配置文件n操作系统
46、的内核本身也可能被更改.因此,建议从一个可信内核启动并且使用一个干净工具来分析入侵活动n需要检查的内容：n木马程序n配置文件精选ppt152查看数据的更改n查看数据的更改nWeb页面nftp文挡n用户主目录中的文件n系统上的其他数据文件精选ppt153入侵者留下的工具和数据n查看入侵者留下的工具和数据nNetwork SniffersnTrojan Horse ProgramsnBackdoorsnVulnerability ExploitsnOther Intruder Tools n探测系统漏洞的工具 n发起大范围探测其他站点的工具 n发起拒绝服务攻击的工具 n使用计算机和网络资源的工具精
47、选ppt154检查日志文件nNT IIS的日志文件nc:winntsystem32logfiles nUNIX的日志文件nmessages nxferlog nutmp nwtmp nsecure 精选ppt155查看是否有网络sniffern入侵者可以在UNIX系统上暗地里安装一个网络监视程序,通常称为sniffer(or packet sniffer),用于捕获用户账号和密码信息.对于NT系统,为达到相同目的,通常更多地使用远程管理程序n在UNIX上网卡会进入promisc状态或debug状态，可以使用的命令有：nifconfignifstatusncpm精选ppt156检查网络中的其他系
48、统n在要检查的系统中应该包括与被入侵系统有网络服务(NFS或NIS)联系的系统n或者通过某种信任方式(hosts.equiv.rhosts,或者Kerberos服务器)联系的系统n以及有其它较密切联系的系统n甚至可能完全无关的系统精选ppt157检查与遭受入侵系统有关或受到影响的远程主机n在很多入侵事件中,与被入侵主机有连接的主机(不论是上游或下游主机)本身就是入侵的牺牲品.这对于及时鉴别和通知另外的潜在受害站点来说是非常重要的n在许多情况下需要利用响应组或政府相关部门的力量进行协同处理精选ppt158n安装操作系统的一个干净版本 n禁用不需要的服务 n安装厂商提供的所有安全补丁 n咨询Aus
49、CERT和外部安全公告 n咨询CERT 公告,总结,厂商公告 n小心使用备份中的数据 n更改密码精选ppt159安装操作系统的一个干净版本n什么都可能被修改过n系统程序n动态连接库n内核n需要使用确定干净的版本加以恢复n甚至使用初始介质精选ppt160禁用不需要的服务n仅提供那些应该提供的服务n关掉其他服务n检查这些服务的配置文件中是否有缺陷n确定这些服务仅对预定的其他系统开放精选ppt161更改密码n建议更改受影响系统上的所有账号的密码n确保所有账号的密码是难猜的n可以考虑使用厂商或第三方提供的工具来增强密码的安全性精选ppt162n复习有关UNIX或NT安全配置的文章 n复习有关安全工具的
50、文章 n安装安全工具 n激活最大日志 n配置防火墙加强网络防御精选ppt163n如果已经断开了同Internet的连接,在完成上面所有步骤之后,可以重新连接进入Internet精选ppt164n记下从这次入侵学到的教训 n计算本次入侵事件的损失 n汇总安全策略的所有改变精选ppt165事故处理对管理员的要求n保持敏感，对任何异常都不放过，例如：n系统异常变慢n无法登录n系统区出现未知的进程n出现运行事件特别长的进程n等等n坚持学习，任何管理员都不可能通晓一切需要知道的安全知识精选ppt166当发现异常时的处理方法n尽量保护现场n尽快通知相关的部门：n公安部门n安全响应组n上级网络管理部门n等等
