系统安全设计说明

一系统安全设计1.1常用安全设备1.1.1防火墙主要是可实现基本包过滤策略的防火墙，这类是有硬件处理、软件处理等，其主要功能实现是限制对IP:port的访问。

基本上的实现都是默认情况下关闭所有的通过型访问，只开放允许访问的策略。

1.1.2抗DDOS设备防火墙的补充，专用抗DDOS设备，具备很强的抗攻击能力。

1.1.3IPS以在线模式为主，系统提供多个端口，以透明模式工作。

在一些传统防火墙的新产品中也提供了类似功能，其特点是可以分析到数据包的容，解决传统防火墙只能工作在4层以下的问题。

和IDS一样，IPS也要像防病毒系统定义N种已知的攻击模式，并主要通过模式匹配去阻断非法访问。

1.1.4SSL VPN它处在应用层，SSL用公钥加密通过SSL连接传输的数据来工作。

SSL协议指定了在应用程序协议和TCP/IP 之间进行数据交换的安全机制，为TCP/IP连接提供数据加密、服务器认证以及可选择的客户机认证。

1.1.5WAF（WEB应用防火墙）Web应用防护系统（Web Application Firewall, 简称：WAF）代表了一类新兴的信息安全技术，用以解决诸如防火墙一类传统设备束手无策的Web应用安全问题。

与传统防火墙不同，WAF工作在应用层，因此对Web应用防护具有先天的技术优势。

基于对Web应用业务和逻辑的深刻理解，WAF对来自Web应用程序客户端的各类请求进行容检测和验证，确保其安全性与合法性，对非法的请求予以实时阻断，从而对各类站点进行有效防护。

产品特点●异常检测协议Web应用防火墙会对HTTP的请求进行异常检测，拒绝不符合HTTP标准的请求。

并且，它也可以只允许HTTP协议的部分选项通过，从而减少攻击的影响围。

甚至，一些Web应用防火墙还可以严格限定HTTP协议中那些过于松散或未被完全制定的选项。

●增强的输入验证增强输入验证，可以有效防止网页篡改、信息泄露、木马植入等恶意网络入侵行为。

从而减小Web服务器被攻击的可能性。

●及时补丁修补Web安全漏洞，是Web应用开发者最头痛的问题，没人会知道下一秒有什么样的漏洞出现，会为Web应用带来什么样的危害。

WAF可以为我们做这项工作了——只要有全面的漏洞信息WAF能在不到一个小时的时间屏蔽掉这个漏洞。

当然，这种屏蔽掉漏洞的方式不是非常完美的，并且没有安装对应的补丁本身就是一种安全威胁，但我们在没有选择的情况下，任何保护措施都比没有保护措施更好。

（附注：及时补丁的原理可以更好的适用于基于XML的应用中，因为这些应用的通信协议都具规性。

）●基于规则的保护和基于异常的保护基于规则的保护可以提供各种Web应用的安全规则，WAF生产商会维护这个规则库，并时时为其更新。

用户可以按照这些规则对应用进行全方面检测。

还有的产品可以基于合法应用数据建立模型，并以此为依据判断应用数据的异常。

但这需要对用户企业的应用具有十分透彻的了解才可能做到，可现实中这是十分困难的一件事情。

●状态管理WAF能够判断用户是否是第一次访问并且将请求重定向到默认登录页面并且记录事件。

通过检测用户的整个操作行为我们可以更容易识别攻击。

状态管理模式还能检测出异常事件（比如登陆失败），并且在达到极限值时进行处理。

这对暴力攻击的识别和响应是十分有利的。

●其他防护技术WAF还有一些安全增强的功能，可以用来解决WEB程序员过分信任输入数据带来的问题。

比如：隐藏表单域保护、抗入侵规避技术、响应监视和信息泄露保护。

1.2网络安全设计1.2.1访问控制设计防火墙通过制定严格的安全策略实现外网络或部网络不同信任域之间的隔离与访问控制。

并且防火墙可以实现单向或双向控制，对一些高层协议实现较细粒的访问控制。

其中防火墙产品从网络层到应用层都实现了自由控制。

屏蔽主机网关易于实现，安全性好，应用广泛。

它又分为单宿堡垒主机和双宿堡垒主机两种类型。

先来看单宿堡垒主机类型。

一个包过滤路由器连接外部网络，同时一个堡垒主机安装在部网络上。

堡垒主机只有一个网卡，与部网络连接。

通常在路由器上设立过滤规则，并使这个单宿堡垒主机成为从Internet惟一可以访问的主机，确保了部网络不受未被授权的外部用户的攻击。

而Intranet部的客户机，可以受控制地通过屏蔽主机和路由器访问Internet。

1.2.2拒绝服务攻击防护设计对某些域名服务器的大规模拒绝服务攻击会造成互联网速度普遍下降或停止运行；以使得被攻击计算机或网络无法提供正常的服务或者资源，合法用户的请求得不到及时的响应。

由于DoS的攻击具有隐蔽性，到目前为止还没有行之有效的防御方法。

首先，这种攻击的特点是它利用了TCP/IP协议的漏洞，除非你不用TCP/IP，才有可能完全抵御住DoS攻击。

1）和ISP协调工作，让他们帮助实施正确的路由访问控制策略以保护带宽和部网络。

2）建立边界安全界限，确保输入输出的包受到正确限制。

经常检测系统配置信息，并注意查看每天的安全日志。

3）利用网络安全设备（例如：防火墙）来加固网络的安全性，配置好它们的安全规则，过滤掉所有的可能的伪造数据包。

4）关闭不必要的服务，及早发现系统存在的攻击漏洞，及时安装系统补丁程序。

对一些重要的信息建立和完善备份机制，对一些特权的密码设置要谨慎。

5）充分利用网络设备保护网络资源。

如路由器、防火墙等负载均衡设备，它们可将网络有效地保护起来。

被攻击时最先死掉的是路由器，但其他机器没有死。

死掉的路由器经重启后会恢复正常，而且启动起来还很快，没有什么损失。

若其他服务器死掉，其中的数据会丢失，而且重启服务器是一个漫长的过程。

当你发现自己正遭受DoS攻击时，应立即关闭系统，或至少切断与网络的连接，保存入侵的记录，让安全组织来研究分析。

6）使用专业DoS防御设备。

1.2.3嗅探（sniffer）防护设计嗅探器只能在当前网络段上进行数据捕获。

这就意味着，将网络分段工作进行得越细，嗅探器能够收集的信息就越少。

网络分段需要昂贵的硬件设备。

有三种网络设备是嗅探器不可能跨过的：交换机、路由器、网桥。

对网络进行分段，比如在交换机上设置VLAN，使得网络隔离不必要的数据传送。

采用20个工作站为一组，这是一个比较合理的数字。

然后，每个月人为地对每段进行检测(也可以每个月采用MD5随机地对某个段进行检测)。

1.3主机安全设计1.3.1操作系统1.3.2安全基线配置操作系统安全是信息系统安全的最基本，最基础的安全要素。

操作系统的任何安全脆弱性和安全漏洞，必然导致信息系统的整体安全脆弱性。

在目前的操作系统中，对安全机制的设计不尽完善，存在较多的安全漏洞隐患。

面对黑客的盛行，网络攻击的日益频繁，运用技术愈加选进，有必要使用安全漏洞扫描工具对计算机操作系统的进行漏洞扫描，对操作系统进行风险评估，并进行升级。

应及时安装操作系统安全补丁程序，对扫描或手工检查发现的系统漏洞进行修补，并及时关闭存在漏洞的与承载业务无关的服务；通过访问控制限制对漏洞程序的访问。

比如windows操作系统补丁升级在操作系统安装之后立即安全防病毒软件，定期扫描，实时检查和清除计算磁盘引导记录、文件系统和存，以及电子病毒。

目前新的病毒发展很快，需及时更新病毒库。

比如SymantecEndpointProtect（SEP防病毒服务器版）。

SymantecEndpointProtect无缝集成了一些基本技术，如防病毒、反间谍软件、防火墙、入侵防御、设备和应用程序控制。

能有效阻截恶意软件，如病毒、蠕虫、特洛伊木马、间谍软件、恶意软件、Bo、零日威胁和rootkit。

从而防止安全违规事件的发生，从而降低管理开销。

通过配置用户与口令安全策略，提高主机系统与口令安全。

1.4数据库1.4.1安全基线配置数据库系统自身存在很多的漏洞，严重威胁数据库自身的安全，甚至还会威胁到操作系统的安全。

oracle、SQLServer等数据库有很多的广为人知的漏洞，恶意的用户很可能利用这些漏洞进行数据库入侵操作。

同时在企业部对数据库权限管理不严格，数据库管理员不正确的管理数据库，使得部普通员工很容易获取数据库的数据。

因此需通过数据库安全扫描工具，比如安信通数据库漏洞扫描系统DatabaseSecurityScanSystem简称AXT-DBS。

AXT-DBS数据库安全扫描系统能够自动地鉴别在数据库系统中存在的安全隐患，能够扫描从口令过于简单、权限控制、系统配置等一系列问题，置的知识库能够对违背和不遵循安全性策略的做法推荐修正的操作，并提供简单明了的综合报告和详细报告。

配置用户与口令安全策略，提高数据库系统与口令安全。

对系统的日志进行安全控制与管理，保护日志的安全与有效性。

对系统配置参数进行调整，提高数据库系统安全。

1.4.2中间件Tomcat中间件安全要求用户与口令安全配置用户与口令安全策略，提高系统与口令安全。

通过对tomcat系统配置参数调整，提高系统安全稳定。

1.5应用安全设计1.5.1身份鉴别防护设计1)口令创建口令创建时必须具有相应规则，如要求，口令不能使用连续数字、必须由大小写字母数字和特殊字符混合组成等。

2)口令传输口令验证、修改等操作发生时，传输到服务器端的口令，在传输通道上应采用加密或SSL方式传输。

降低口令在网络传输被截取所带来的风险。

3)口令存储口令在存储时，应采MD5加密后存储。

严禁明文存储，避免口令存储文件暴露时用户口令泄密。

4)口令输入网络认证登录时，口令输入控件避免使用游览器自带的口令输入框和键盘直接输入。

通过提供口令输入插件、软件盘等方式提高口令输入安全性。

5)口令猜测限制口令长度不低于8位，降低被猜测的风险，提高口令破解难度。

6)口令维护对需要重新设置口令的，管理员重置为初始口令。

用户首次使用该口令时，强制要求修改初始口令。

增加口令有效期限制，同一口令超出有效期后用户必须更改新口令。

1.5.2访问控制防护设计自主性访问控制是在确认主体身份及其所属的组的基础上对访问进行控制的一种控制策略。

它的基本思想是：允许某个主体显示的指定其他主体对该主体所拥有的信息资源是否可以访问以及执行。

自主访问控制有两种实现机制：一是基于主体DAC实现，它通过权限表表明主体对所有客体的权限，当删除一个客体时，需遍历主体所有的权限表；另一种是基于客体的DAC实现，它通过访问控制链表ACL(Access Control List)来表明客体对所有主体的权限，当删除一个主体时，要检查所有客体的ACL。

为了提高效率，系统一般不保存整个访问控制矩阵，是通过基于矩阵的行或列来实现访问控制策略。

1.6自身安全防护设计1.6.1注入攻击防护设计1）对数据进行正确地转义处理：以保证它们不会被解释为HTML代码（对浏览器而言）或者XML代码（对Flash而言）。

过滤参数中符合<html></html>标签和<script></script>的特殊字符，对“<”替换为“&lt;”，“>”替换为“&gt;”，“(”替换为“& #40;”，“)”替换为“& #40;”，“'”替换为“& #39;”，“””替换“&#34”。