第9章 網(wǎng)絡(luò)設(shè)備安全

1、第第9章章 網(wǎng)絡(luò)設(shè)備安全網(wǎng)絡(luò)設(shè)備安全本章內(nèi)容網(wǎng)絡(luò)設(shè)備安全旨在保證網(wǎng)絡(luò)中各種硬件設(shè)備的正常網(wǎng)絡(luò)設(shè)備安全旨在保證網(wǎng)絡(luò)中各種硬件設(shè)備的正常運行。本章介紹網(wǎng)絡(luò)設(shè)備安全的有關(guān)技術(shù)，主要運行。本章介紹網(wǎng)絡(luò)設(shè)備安全的有關(guān)技術(shù)，主要有保證網(wǎng)絡(luò)設(shè)備運行環(huán)境的物理安全，還有網(wǎng)絡(luò)有保證網(wǎng)絡(luò)設(shè)備運行環(huán)境的物理安全，還有網(wǎng)絡(luò)設(shè)備配置安全的技術(shù)，包括交換機的安全配置技設(shè)備配置安全的技術(shù)，包括交換機的安全配置技術(shù)、路由器的安全配置技術(shù)、操作系統(tǒng)的安全配術(shù)、路由器的安全配置技術(shù)、操作系統(tǒng)的安全配置技術(shù)以及置技術(shù)以及WEB服務(wù)器的安全配置和管理技術(shù)。服務(wù)器的安全配置和管理技術(shù)。通過以上深入的分析和一些實用的技術(shù)手段，來通過以上

2、深入的分析和一些實用的技術(shù)手段，來提供網(wǎng)絡(luò)設(shè)備的抗攻擊性和安全性。還介紹了可提供網(wǎng)絡(luò)設(shè)備的抗攻擊性和安全性。還介紹了可信計算平臺的概念和方法，以構(gòu)建真正安全的網(wǎng)信計算平臺的概念和方法，以構(gòu)建真正安全的網(wǎng)絡(luò)設(shè)備。絡(luò)設(shè)備。9.19.1網(wǎng)絡(luò)設(shè)備安全概述網(wǎng)絡(luò)設(shè)備安全概述從網(wǎng)絡(luò)資源方面來看，網(wǎng)絡(luò)面臨的安全威脅大從網(wǎng)絡(luò)資源方面來看，網(wǎng)絡(luò)面臨的安全威脅大體可分為兩種：一是對網(wǎng)絡(luò)數(shù)據(jù)的威脅；體可分為兩種：一是對網(wǎng)絡(luò)數(shù)據(jù)的威脅； 二二是對網(wǎng)絡(luò)設(shè)備的威脅。網(wǎng)絡(luò)設(shè)備的安全也是是對網(wǎng)絡(luò)設(shè)備的威脅。網(wǎng)絡(luò)設(shè)備的安全也是通信網(wǎng)絡(luò)安全的一個重要部分。除了網(wǎng)絡(luò)設(shè)通信網(wǎng)絡(luò)安全的一個重要部分。除了網(wǎng)絡(luò)設(shè)備運行的環(huán)境需要得到安全保證

3、以外，網(wǎng)絡(luò)備運行的環(huán)境需要得到安全保證以外，網(wǎng)絡(luò)設(shè)備的配置、網(wǎng)絡(luò)設(shè)備的管理也是保證網(wǎng)絡(luò)設(shè)備的配置、網(wǎng)絡(luò)設(shè)備的管理也是保證網(wǎng)絡(luò)設(shè)備安全不可或缺的因素設(shè)備安全不可或缺的因素。9.1.1 9.1.1 網(wǎng)絡(luò)設(shè)備安全的基本概念網(wǎng)絡(luò)設(shè)備安全的基本概念網(wǎng)絡(luò)設(shè)備包括主機（服務(wù)器、工作站、網(wǎng)絡(luò)設(shè)備包括主機（服務(wù)器、工作站、PCPC）和網(wǎng)絡(luò)設(shè)施（交換機、路由器等）。網(wǎng)絡(luò)設(shè)和網(wǎng)絡(luò)設(shè)施（交換機、路由器等）。網(wǎng)絡(luò)設(shè)備的安全始終是通信網(wǎng)絡(luò)安全的一個重要方備的安全始終是通信網(wǎng)絡(luò)安全的一個重要方面，攻擊者往往通過損壞網(wǎng)絡(luò)中的設(shè)備來破面，攻擊者往往通過損壞網(wǎng)絡(luò)中的設(shè)備來破壞網(wǎng)絡(luò)的運行，或者控制網(wǎng)絡(luò)中設(shè)備來擴大壞網(wǎng)絡(luò)的運行，或者

4、控制網(wǎng)絡(luò)中設(shè)備來擴大已有的破壞。要實現(xiàn)通信網(wǎng)絡(luò)的安全，不能已有的破壞。要實現(xiàn)通信網(wǎng)絡(luò)的安全，不能不考慮網(wǎng)絡(luò)中所有設(shè)備的安全。不考慮網(wǎng)絡(luò)中所有設(shè)備的安全。網(wǎng)絡(luò)設(shè)備的安全通常是指物理安全，物理安網(wǎng)絡(luò)設(shè)備的安全通常是指物理安全，物理安全是保護通信網(wǎng)絡(luò)設(shè)備、設(shè)施以及其他介質(zhì)全是保護通信網(wǎng)絡(luò)設(shè)備、設(shè)施以及其他介質(zhì)等硬件免遭地震、水災(zāi)、火等硬件免遭地震、水災(zāi)、火 災(zāi)等環(huán)境事故以災(zāi)等環(huán)境事故以及人為操作失誤及各種計算機犯罪行為導(dǎo)致及人為操作失誤及各種計算機犯罪行為導(dǎo)致破壞的過程。破壞的過程。如果設(shè)備本身存在安全上的脆弱性，往往會成為如果設(shè)備本身存在安全上的脆弱性，往往會成為攻擊目標。設(shè)備的安全脆弱性包括：（

5、攻擊目標。設(shè)備的安全脆弱性包括：（1 1）提供不）提供不必要的網(wǎng)絡(luò)服務(wù)，提高了攻擊者的攻擊機會；（必要的網(wǎng)絡(luò)服務(wù)，提高了攻擊者的攻擊機會；（2 2）存在不安全的配置，帶來不必要的安全隱患；（存在不安全的配置，帶來不必要的安全隱患；（3 3）不適當?shù)脑L問控制；（不適當?shù)脑L問控制；（4 4）存在系統(tǒng)軟件上的安全）存在系統(tǒng)軟件上的安全漏洞；（漏洞；（5 5）物理上沒有安全存放，遭受臨近攻擊）物理上沒有安全存放，遭受臨近攻擊（close-in attackclose-in attack）。）。對網(wǎng)絡(luò)設(shè)備進行安全加固可以減少攻擊者的攻擊對網(wǎng)絡(luò)設(shè)備進行安全加固可以減少攻擊者的攻擊成功的機會。針對上述安全弱

6、點，可采用如下的設(shè)成功的機會。針對上述安全弱點，可采用如下的設(shè)備安全加固技術(shù)建議：（備安全加固技術(shù)建議：（1 1）禁用不必要的網(wǎng)絡(luò)服）禁用不必要的網(wǎng)絡(luò)服務(wù)；（務(wù)；（2 2）修改不安全的配置；（）修改不安全的配置；（3 3）利用最小權(quán)限）利用最小權(quán)限原則嚴格對設(shè)備的訪問控制；（原則嚴格對設(shè)備的訪問控制；（4 4）及時對系統(tǒng)進）及時對系統(tǒng)進行軟件升級；（行軟件升級；（5 5）提供符合安全要求的物理保護）提供符合安全要求的物理保護環(huán)境。環(huán)境。9.2 9.2 物理安全物理安全物理安全是整個通信網(wǎng)絡(luò)系統(tǒng)安全的前提，是保物理安全是整個通信網(wǎng)絡(luò)系統(tǒng)安全的前提，是保護計算機通信網(wǎng)絡(luò)設(shè)備、設(shè)施以及其他媒體免護計

7、算機通信網(wǎng)絡(luò)設(shè)備、設(shè)施以及其他媒體免遭地震、水災(zāi)、火災(zāi)等環(huán)境事故、人為操作失遭地震、水災(zāi)、火災(zāi)等環(huán)境事故、人為操作失誤或人為損壞導(dǎo)致被破壞的過程。誤或人為損壞導(dǎo)致被破壞的過程。物理安全主要考慮的問題是環(huán)境、場地和設(shè)備硬物理安全主要考慮的問題是環(huán)境、場地和設(shè)備硬件的安全及物理訪問控制和應(yīng)急處置計劃等。件的安全及物理訪問控制和應(yīng)急處置計劃等。物理安全措施主要包括：安全制度、數(shù)據(jù)備份、物理安全措施主要包括：安全制度、數(shù)據(jù)備份、輻射防護、屏幕口令保護、隱藏銷毀、狀態(tài)檢輻射防護、屏幕口令保護、隱藏銷毀、狀態(tài)檢測、報警確認、應(yīng)急恢復(fù)、加強機房管理、運測、報警確認、應(yīng)急恢復(fù)、加強機房管理、運行管理、安全組織

8、和人事管理等手段。行管理、安全組織和人事管理等手段。9.39.3交換機安全防范技術(shù)交換機安全防范技術(shù)交換機作為局域網(wǎng)信息交換的主要設(shè)備，特別交換機作為局域網(wǎng)信息交換的主要設(shè)備，特別是核心交換機和匯聚交換機承載著極高的數(shù)據(jù)是核心交換機和匯聚交換機承載著極高的數(shù)據(jù)流量，在突發(fā)異常數(shù)據(jù)或攻擊時，極易造成負流量，在突發(fā)異常數(shù)據(jù)或攻擊時，極易造成負載過重或宕機現(xiàn)象。為了盡可能抑制攻擊帶來載過重或宕機現(xiàn)象。為了盡可能抑制攻擊帶來的影響，減輕交換機的負載，使局域網(wǎng)穩(wěn)定運的影響，減輕交換機的負載，使局域網(wǎng)穩(wěn)定運行，交換機廠商在交換機上應(yīng)用了一些安全防行，交換機廠商在交換機上應(yīng)用了一些安全防范技術(shù)，網(wǎng)絡(luò)管理人員

9、應(yīng)該根據(jù)不同的設(shè)備型范技術(shù)，網(wǎng)絡(luò)管理人員應(yīng)該根據(jù)不同的設(shè)備型號，有效地啟用和配置這些技術(shù)，凈化局域網(wǎng)號，有效地啟用和配置這些技術(shù)，凈化局域網(wǎng)環(huán)境。利用交換機的流量控制功能，可以把流環(huán)境。利用交換機的流量控制功能，可以把流經(jīng)端口的異常流量限制在一定的范圍內(nèi)。經(jīng)端口的異常流量限制在一定的范圍內(nèi)。9 9.4 4路由器安全路由器安全 路由器在每個網(wǎng)絡(luò)中起到關(guān)鍵的作用，如果某路由器在每個網(wǎng)絡(luò)中起到關(guān)鍵的作用，如果某路由器被破壞或者某路由被成功的欺騙，網(wǎng)絡(luò)路由器被破壞或者某路由被成功的欺騙，網(wǎng)絡(luò)的完整性將受到嚴重的破壞。如果使用路由的的完整性將受到嚴重的破壞。如果使用路由的主機沒有使用加密通信那就更為嚴重

10、，因為這主機沒有使用加密通信那就更為嚴重，因為這樣的主機被控制的話，路由器面臨的威脅有：樣的主機被控制的話，路由器面臨的威脅有：將路由器作為攻擊平臺；拒絕服務(wù)；截獲明文將路由器作為攻擊平臺；拒絕服務(wù)；截獲明文傳輸配置信息等。傳輸配置信息等。保護路由器安全需要：（保護路由器安全需要：（1 1）禁止明文傳輸配置）禁止明文傳輸配置信息。（信息。（2 2）限制系統(tǒng)物理訪問。（）限制系統(tǒng)物理訪問。（3 3）加強口）加強口令安全。（令安全。（4 4）應(yīng)用身份驗證功能。（）應(yīng)用身份驗證功能。（5 5）禁用）禁用不必要服務(wù)。（不必要服務(wù)。（6 6）限制邏輯訪問。（）限制邏輯訪問。（7 7）有限）有限使用使用I

11、CMPICMP消息類型。（消息類型。（8 8）控制流量有限進入）控制流量有限進入網(wǎng)絡(luò)。（網(wǎng)絡(luò)。（9 9）安全使用）安全使用SNMP/TELNETSNMP/TELNET。9.5 9.5 服務(wù)器與操作系統(tǒng)安全服務(wù)器與操作系統(tǒng)安全操作系統(tǒng)，是各種工作站、服操作系統(tǒng)，是各種工作站、服務(wù)器上的基本軟件，服務(wù)器的務(wù)器上的基本軟件，服務(wù)器的安全，首先是物理安全，然后安全，首先是物理安全，然后是操作系統(tǒng)的安全和服務(wù)軟件是操作系統(tǒng)的安全和服務(wù)軟件的安全。下面以的安全。下面以WINDOWSWINDOWS操作系操作系統(tǒng)為例說明操作系統(tǒng)安全的安統(tǒng)為例說明操作系統(tǒng)安全的安全問題，以全問題，以WEB服務(wù)器為例說服務(wù)器為例

12、說明服務(wù)器軟件系統(tǒng)的安全問題明服務(wù)器軟件系統(tǒng)的安全問題。9.5.1 WINDOWS9.5.1 WINDOWS操作系統(tǒng)安全操作系統(tǒng)安全作為操作系統(tǒng)，特別是網(wǎng)絡(luò)操作系統(tǒng)，作為操作系統(tǒng)，特別是網(wǎng)絡(luò)操作系統(tǒng)，在設(shè)計中采用了一系列的安全技術(shù)，例在設(shè)計中采用了一系列的安全技術(shù)，例如登錄、訪問控制、如登錄、訪問控制、PKIPKI證書、加密的文證書、加密的文件系統(tǒng)、防火墻、甚至還有殺毒軟件。件系統(tǒng)、防火墻、甚至還有殺毒軟件。在設(shè)備安全方面，操作系統(tǒng)的安全主要在設(shè)備安全方面，操作系統(tǒng)的安全主要是安全配置和安全管理。這里以是安全配置和安全管理。這里以WINDOWS為例說明操作系統(tǒng)安全配置為例說明操作系統(tǒng)安全配置和

13、安全管理。和安全管理。1、限制用戶數(shù)量、限制用戶數(shù)量2、管理員帳號設(shè)置、管理員帳號設(shè)置3、安全密碼、安全密碼4、屏幕保護、屏幕保護 / 屏幕鎖定屏幕鎖定 密碼密碼5、安全文件管理、安全文件管理6、防病毒軟件、防病毒軟件7、備份盤的安全、備份盤的安全8、禁止不必要的服務(wù)、禁止不必要的服務(wù)9、使用、使用IPSec來控制端口訪問來控制端口訪問 10、定期查看日志、定期查看日志11、經(jīng)常訪問微軟升級程序站點，、經(jīng)常訪問微軟升級程序站點，了解補丁的最新發(fā)布情況。了解補丁的最新發(fā)布情況。9.5.3WEB9.5.3WEB服務(wù)器的安全服務(wù)器的安全World Wide WebWorld Wide Web稱為萬維

14、網(wǎng)，簡稱稱為萬維網(wǎng)，簡稱Web。它的基本結(jié)構(gòu)是采用開放式的客戶它的基本結(jié)構(gòu)是采用開放式的客戶/服務(wù)器服務(wù)器結(jié)構(gòu)結(jié)構(gòu)(Client/Server)，分成服務(wù)器端、客戶，分成服務(wù)器端、客戶機及通訊協(xié)議三個部分。建立安全的機及通訊協(xié)議三個部分。建立安全的Web網(wǎng)站，要全盤考慮網(wǎng)站，要全盤考慮Web服務(wù)器的安全設(shè)計服務(wù)器的安全設(shè)計和實施，包括系統(tǒng)的安全需求等等。根據(jù)和實施，包括系統(tǒng)的安全需求等等。根據(jù)對對Web系統(tǒng)進行的安全評估，制定安全策系統(tǒng)進行的安全評估，制定安全策略的基本原則和管理規(guī)定，對員工的安全略的基本原則和管理規(guī)定，對員工的安全培訓(xùn)，培養(yǎng)員工主動學(xué)習(xí)安全知識的意識培訓(xùn)，培養(yǎng)員工主動學(xué)習(xí)安全

15、知識的意識和能力。和能力。9.69.6可信計算可信計算對于微機等網(wǎng)絡(luò)設(shè)備來說，只有對芯對于微機等網(wǎng)絡(luò)設(shè)備來說，只有對芯片、主板等硬件和片、主板等硬件和BIOSBIOS、操作系統(tǒng)、操作系統(tǒng)等系統(tǒng)軟件是安全的，才能保證微等系統(tǒng)軟件是安全的，才能保證微機是安全的，正是基于這樣的思想，機是安全的，正是基于這樣的思想，產(chǎn)生了可信計算的概念?？尚庞嬎惝a(chǎn)生了可信計算的概念?？尚庞嬎闶前踩I(lǐng)域的一個新分支。采用可是安全領(lǐng)域的一個新分支。采用可信計算可以構(gòu)造可信的網(wǎng)絡(luò)設(shè)備，信計算可以構(gòu)造可信的網(wǎng)絡(luò)設(shè)備，可信的網(wǎng)絡(luò)設(shè)備才是可以安全使用可信的網(wǎng)絡(luò)設(shè)備才是可以安全使用的網(wǎng)絡(luò)設(shè)備。的網(wǎng)絡(luò)設(shè)備。&所謂可信是指計算

16、機系統(tǒng)所提供所謂可信是指計算機系統(tǒng)所提供的服務(wù)是可靠的、可用的、信息和的服務(wù)是可靠的、可用的、信息和行為上是安全的。行為上是安全的。&可信計算平臺是能夠提供可信計可信計算平臺是能夠提供可信計算服務(wù)的計算機軟硬件實體，它能算服務(wù)的計算機軟硬件實體，它能夠提供系統(tǒng)的可靠性、可用性、信夠提供系統(tǒng)的可靠性、可用性、信息和行為的安全性。息和行為的安全性。9.6.1可信計算概念可信計算概念信任包括：信任包括：l值得信任（值得信任（worthy of trust）：采用）：采用物理保護以及其他技術(shù)在一定程度上保物理保護以及其他技術(shù)在一定程度上保護計算平臺不被敵手通過直接物理訪問護計算平臺不被敵手通過

17、直接物理訪問手段進行惡意操作。手段進行惡意操作。l選擇信任（選擇信任（choose to trust）：依賴）：依賴方（通常是遠程的）可以信任在經(jīng)過認方（通常是遠程的）可以信任在經(jīng)過認證的且未被攻破的設(shè)備上進行的計算。證的且未被攻破的設(shè)備上進行的計算。信任是一種二元關(guān)系，它可以是一對信任是一種二元關(guān)系，它可以是一對一、一對多一、一對多(個體對群體個體對群體) 、多對一、多對一(群體群體對個體對個體) 或多對多或多對多(群體對群體群體對群體)的。的。信任具有二重性，既具有主觀性又具信任具有二重性，既具有主觀性又具有客觀性。有客觀性。信任不一定具有對稱性。信任不一定具有對稱性。信任可度量，也就是說

18、信任的程度可信任可度量，也就是說信任的程度可劃分等級。劃分等級。信任可傳遞，但不絕對。信任可傳遞，但不絕對。信任具有動態(tài)性，即信任與環(huán)境信任具有動態(tài)性，即信任與環(huán)境(上下上下文文)和時間因素相關(guān)。和時間因素相關(guān)。信任的獲得方法主要有：信任的獲得方法主要有：l直接方法直接方法l間接方法間接方法&設(shè)設(shè)A和和B以前有過交往，則以前有過交往，則A對對B的可信度可以通過考察的可信度可以通過考察B以以往的表現(xiàn)來確定。往的表現(xiàn)來確定。 稱這種通過稱這種通過直接交往得到的信任值為直接信直接交往得到的信任值為直接信任值。任值。 直接信任值直接信任值&設(shè)設(shè)A和和B以前沒有任何交往，以前沒有任何交往

19、，A可以去詢問一個與可以去詢問一個與B比較熟悉的比較熟悉的實體實體C來獲得來獲得B的信任值，并且要的信任值，并且要求實體求實體C與與B有過直接的交往經(jīng)驗。有過直接的交往經(jīng)驗。稱之為間接信任值稱之為間接信任值間接信任值間接信任值信任根和信任鏈是可信計算平臺信任根和信任鏈是可信計算平臺的關(guān)鍵技術(shù)。的關(guān)鍵技術(shù)。一個可信計算機系統(tǒng)組成：一個可信計算機系統(tǒng)組成：l可信根可信根l可信硬件平臺可信硬件平臺l可信操作系統(tǒng)可信操作系統(tǒng)l可信應(yīng)用系統(tǒng)可信應(yīng)用系統(tǒng)9.6.2可信計算機系統(tǒng)可信計算機系統(tǒng)&信任鏈是通過構(gòu)建一個信任根，信任鏈是通過構(gòu)建一個信任根，從信任根開始到硬件平臺、到操作系從信任根開始到硬件

20、平臺、到操作系統(tǒng)、再到應(yīng)用，一級認證一級，一級統(tǒng)、再到應(yīng)用，一級認證一級，一級信任一級，從而把這種信任擴展到整信任一級，從而把這種信任擴展到整個計算機系統(tǒng)個計算機系統(tǒng)圖圖 可信可信PC的信任鏈的信任鏈 可信測量、存儲、報告機制可信測量、存儲、報告機制 可信測量、存儲、報告機制是可信計算的另一個可信測量、存儲、報告機制是可信計算的另一個關(guān)鍵技術(shù)。關(guān)鍵技術(shù)?？尚庞嬎闫脚_對請求訪問的實體進行可信測量，可信計算平臺對請求訪問的實體進行可信測量，并存儲測量結(jié)果，實體詢問時由平臺提供報告。并存儲測量結(jié)果，實體詢問時由平臺提供報告。 可信支撐軟件可信支撐軟件TSS( TCG software stack)是是可信計算平臺上可信計算平臺上TPM的支撐軟件的支撐軟件TSS的作用主要是為應(yīng)用軟件的作用主要是為應(yīng)用軟件提供兼容異構(gòu)可信平臺模塊的開提供兼容異構(gòu)可信平臺模塊的開發(fā)環(huán)境發(fā)環(huán)境圖圖 9.6.3 可信軟件?？尚跑浖?TSS結(jié)構(gòu)結(jié)構(gòu)TSS的結(jié)構(gòu)可的結(jié)構(gòu)可分為：分為：l內(nèi)核層內(nèi)核層(TDD)l系統(tǒng)服務(wù)層系統(tǒng)服務(wù)層(TDDL TCS)l用戶程序?qū)佑脩舫绦驅(qū)?9.6.4 可信網(wǎng)絡(luò)連接可信網(wǎng)絡(luò)連接TNC&可信網(wǎng)絡(luò)連接可信網(wǎng)絡(luò)連接TNC( Trusted network connect )的目的是確的目的是確保網(wǎng)絡(luò)連接的可信性保