网络安全主机安全加固

网络安全主机安全加固

一、安全加固概述

网络与应用系统加固和优化服务是实现客户信息系统安全的关键环节。通过使用该项服务，将在客户信息系统的网络层、主机层和应用层等层次建立符合客户安全需求的安全状态，并以此作为保证客户信息系统安全的起点。

网络与应用系统加固和优化服务的目的是通过对主机和网络设备所存在安全问题执行以下操作：

●? 正确的安装；

●? 安装最新和全部OS和应用软件的安全补丁；

●? 操作系统和应用软件的安全配置；

●? 系统安全风险防范；

●? 提供系统使用和维护建议；

●? 系统功能测试；

●? 系统安全风险测试；

●? 系统完整性备份；

●? 必要时重建系统等。

上述工作的结果决定了网络与应用系统加固和优化的流程、实施的内容、步骤和复杂程度。具体说，则可以归纳为：

（1）加固目标也就是确定系统在做过加固和优化后，达到的安全级别，通常不同环境下的系统对安全级别的要求不同，由此采用的加固方案也不同。

（2）明确系统运行状况的内容包括:

●? 系统的具体用途,即明确系统在工作环境下所必需开放的端口和服务等。

●? 系统上运行的应用系统及其正常所必需的服务。

●? 我们是从网络扫描及人工评估里来收集系统的运行状况的。

（3）明确加固风险：网络与应用系统加固是有一定风险的，一般可能的风险包括停机、应用程序不能正常使用、最严重的情况是系统被破坏无法使用。这些风险一般是由于系统运行状况调查不清导致，也有因为加固方案的代价分析不准确，误操作引起。因此在加固前做好系统备份是非常重要的。

（4）系统备份：备份内容包括：文件系统、关键数据、配置信息、口令、用户权限等内容；最好做系统全备份以便快速恢复。

二．加固和优化流程概述

网络与应用系统加固和优化的流程主要由以下四个环节构成：

1. 状态调查

对系统的状态调查的过程主要是导入以下服务的结果：

●? 系统安全需求分析

●? 系统安全策略制订

●? 系统安全风险评估(网络扫描和人工评估)

对于新建的系统而言，主要是导入系统安全需求分析和系统安全策略制订这两项服务的结果。在导入上述服务的结果后，应确定被加固系统的安全级别，即确定被加固系统所能达到的安全程度。同时，也必须在分析上述服务结果的基础上确定对网络与应用系统加固和优化的代价。

2. 制订加固方案

制订加固方案的主要内容是根据系统状态调查所产生的结果制订对系统实施加固和优化的内容、步骤和时间表。

3. 实施加固

对系统实施加固和优化主要内容包含以下两个方面：

●? 对系统进行加固

●? 对系统进行测试

对系统进行测试的目的是检验在对系统实施安全加固后，系统在安全性和功能性上是否能够满足客户的需求。上述两个方面的工作是一个反复的过程，即每完成

一个加固或优化步骤后就要测试系统的功能性要求和安全性要求是否满足客户需求；如果其中一方面的要求不能满足，该加固步骤就要重新进行。

对有些系统会存在加固失败的情况，如果发生加固失败，则根据客户的选择，

要么放弃加固，要么重建系统。

4. 生成加固报告

加固报告是向用户提供完成网络与应用系统加固和优化服务后的最终报告。其

中包含以下内容：

●? 加固过程的完整记录

●? 有关系统安全管理方面的建议或解决方案

●? 对加固系统安全审计结果

三．安全加固技术

1.网络设备加固

路由器作为网络边界最重要的设备，也是进入内网的第一道防线。边界路由器

的安全缺陷来源于操作系统，路由协议、硬件、配置。路由器上运行的操作系统通

常存在安全隐患，主要表现为远程溢出漏洞和默认开放的服务。除了及时下载补丁

修复漏洞外，路由器操作系统默认开放的许多服务通常存在着安全风险，加固的方

法是根据最小特权原则关闭不需要的服务，同时对用户和进程赋予完成任务所需的

最小权限。一些路由协议，如RIP，对收到的路由信息不进行任何校验和认证，由

此能造成网络拓扑信息泄露或因收到恶意路由而导致网络瘫痪。对此需要添加认证，确保通信对象是可信的。CDP协议(Cisco Discovery Protocal)会造成路由器操作系统版本等信息的泄露，一般应予以关闭。路由器硬件可能因发生故障或受到恶意攻击而停机，为此需要进行备份。

加固边界路由器最重要的方法是进行安全配置，建立合适的访问控制表(ACL)。ACL(Access Control List)规定哪些IP地址和协议可以通过边界路由器，而哪些被阻止，由此确保流量安全进出网络。定制访问控制表通常应遵守这样的原则：流量如果不被明确允许，就应该被拒绝。

值得注意的是，某些网络设备可以通过物理的改变设备上的一些硬件开关来重置管理员口令字或恢复出厂设置。从业务的连续性和系统可靠性上讲，物理安全是用户关键业务的重要前提保证。只要从物理上能接近设备，设备的安全性就无从谈起，因为此时我们常提到的安全服务，如访问控制、鉴别服务等就不能起到保护作用。

2.网络结构调整

在网络中我们已部署了防火墙、入侵检测、认证系统等网络安全设备，但是主要是侧重于网络层的攻击检测和防护，并且仅部署于企业公网的网络出口，对于网络的防护有一定的局限性。而近年来随着网络规模的不断扩张，应用的不断增多，连续爆发的冲击波、震荡波、CodeRed、Nimda等蠕虫病毒以及最近大量出现的ARP 病毒、DDOS分布式网络攻击、大量不请自来的垃圾邮件，已成为网络当中最令管理员头疼的问题。

3.服务器系统加固

服务器系统安全加固是指通过一定的技术手段，提高系统的主机安全性和抗攻击能力，通过对操作系统的安全加固，可以大大减少操作系统存在的安全漏洞，减少可能存在的安全风险，确保服务器的正常运作。

网络中各种服务器，如Web服务器、FTP服务器、E-mail服务器，是黑客攻击的重点目标，其安全性至关重要。虽然通过路由器的包过滤和防火墙的访问控制，大大增强了安全性。但黑客还可以利用服务器的漏洞或配置错误进行攻击，以图获取系统控制权或实现拒绝服务。

例如UNIX、Windows NT、Linux都只能达到美国国防部提出可信计算机系统评测标准TCSEC的C2级。但对于开放源代码的Linux操作系统，可以很好的通过采取B级系统代替传统的C级系统等措施来解决安全加固的问题。可以首先在最敏感的服务器和网络隔离设备上及要害信息系统的服务器中采用B级操作系统，并配备B 级数据库管理系统。将应用、服务都建设在B级的基础上，这样整个信息系统的安全性能才有根本性的保障。SELinux是由NSA（美国国家安全局）和SCC（Secure Computing Corporation）开发的Linux的一个扩张强制访问控制安全模块。2000年以GNU GPL发布。经过SELinux保护的Linux安全级别则可以达到B1级。

另外，国内在安全Linux内核技术方面的相关研究主要是LIDS项目，LIDS是一个在开放源码的Linux Kernel上进行安全加固的工程。目前已经得到了国内外的广泛认同。LIDS项目在标准Linux内核源码基础上，采用强制性访问控制技术、类型保证和执行域等技术，对标准内核进行以安全增强为目的的修改，并提供了一个管理工具lidsadm。

4.?数据库加固

主流数据库系统（包括Oracle、SQL Server、Sybase、MySQL、Informix）的补丁、账号管理、口令强度和有效期检查、远程登陆和远程服务、存储过程、审核层次、备份过程、角色和权限审核、并发事件资源限制、访问时间限制、审核跟踪、特洛依木马等。

安全加固主要方式是补丁安装及安全配置的调整，并不是所有的补丁包都可以随便安装、配置随意调整，有些补丁包的安装可能会影响到某些正常应用的工作，而某些配置的调整则也可能导致系统的不稳定。安全加固之前需要对安全补丁包及调整的配置进行测试，确保补丁安装、配置调整后不会对系统正常工作带来影响。

数据库通过自己特定的安全机制来保证数据库系统的信息安全。下表是对各种安全机制主要针对的目标进行的简单分类。

5.安全产品优化

（1）防火墙

首先我们要决定是否需要防火墙。需要什么样的防火墙。防火墙在网络中的位置是什么。

防火墙并不是专用于提供接入访问和对基于因特网资源的保护，它只在你有资源需要被保护的时候才会实施。防火墙仅仅是一个访问控制的策略强制执行点。因此它只是根据所配置的防火墙安全策略（这和企业的安全策略不同）去确定如何有效的使用它。

构建一个好的安全策略的首要前提是实施一个风险分析去决定被保护的系统会有哪些威胁，之后，根据那些威胁在防火墙上为你所要保护的系统制定一个适合的策略。

现在的防火墙产品，主要分为三种：基于软件的、基于应用的和集成综合的。

软件防火墙是安装在所有有必要的通用操作系统桌面之上的。软件防火墙包括SUN的SunScreen防火墙、IPF、微软的ISA、Linux的IPTables和FreeBSD等。软件防火墙最主要优势在于可以在日常使用的硬件上运行，最大的缺点是软件防火墙制造商和操作系统制造商在某问题导致防火墙软件或操作系统故障时可能会相互指责。当然，如果防火墙制造商和操作系统制造商是同一厂商，这种问题就不会发生。

应用类防火墙是把防火墙建在专门制定的硬件上，用来对网络提供服务。在很多情况下，应用防火墙相对软件防火墙来说能提供更好的实施性，因为他们基于可自定义的操作系统，并且使用专用的处理器和专用集成电路来处理数据和接收/发送的请求。

综合类防火墙是一种多用途设备，它在传统的防火墙中集成了其他特性，如远程接入VPN、LAN到LAN的VPN、入侵检测或防护、邮件过滤和反病毒过滤。综合集成的防火墙的好处在于通过减少网络设备的数量来简化网络设计，同时也提供了单一系统的管理，减少了网络部门的管理负担。另一方面也潜在的减少了设备成本。但是实施这样设备的最大问题就是如果出现故障的话，会导致很多方面隐患。

和设计需要哪一种防火墙一样重要的就是决定防火墙在网络中的位置，这取决于我们要保护什么资源。了解哪种类型的防火墙设计能够最好地保护其需要保护的

资源非常重要。尽管单一的防火墙已经可以很好的保护大部分资源了，但是在安全要求相对较高的环境中可能需要是使用双重防火墙的架构来将风险降到最低。

（2）入侵检测系统

入侵检测（Intrusion Detection）是保障网络系统安全的关键部件，它通过监视受保护系统的状态和活动，采用误用检测（Misuse Detection）和异常检测（Anomaly Detection）的方式，发现非授权的或恶意的系统及网络行为，为防范入侵行为提供有效的手段。在体系结构上，入侵检测由事件提取、入侵分析、入侵相应和远程管理四个主要部分组成。可执行的检测任务有：监视、分析用户及系统活动、系统构造和弱点的审计、识别分析知名攻击的行为特征并告警、异常行为特征的统计分析、评估重要的系统和数据文件的完整性，以及操作系统的审计跟踪管理，并识别用户违反安全策略的行为等。

入侵检测系统（IDS）按照功能大致划分为三类：主机IDS（HIDS）、网络IDS （NIDS）、和分布式IDS（DIDS）。虽然IDS是一种检测计算机系统恶意行为的重要技术，但它还有改进空间。精明的销售商向你推销新型的IDS时，承诺它的功能是多么的强大，但IDS不能做到检测出所有的入侵事件。