NetScreenOS针对攻击的防御.pdfVIP

下载本文档

4
0
约4.4千字
约 27页
2017-04-05 发布于江苏
举报
版权申诉

NetScreenOS针对攻击的防御.pdf

1、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。。
2、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击这里二次下载。
3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
4、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
5、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
6、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
7、VIP文档为合作方或网友上传，每下载1次，网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档

NetScreenOS针对攻击的防御

NetScreenOS针对攻击的防御演讲人：张治强日期：2011‐8‐2 ? 2011?CVANGUARD???????????????2011‐8‐8 P2 主题 ? ScreenOS安全概述 ? ScreenOS基本安全功能 – Flood?Defense – Block?HTTP?Components? – MS‐Windows?Defense – Scan/Spoof/Sweep?Defense – DoS Defense – IP?Option?Anomalies – TCP/IP?Anomalies ? ScreenOS高级安全功能（需付费） ? 2011?CVANGUARD???????????????2011‐8‐8 P3 ScreenOS安全概述 ? 基于Zone的安全设置 ? 泛洪攻击的防御只能在物理接口上启用，其它类型的防御可以在任何接口 ? 计数器由接口来维护 ? 2011?CVANGUARD???????????????2011‐8‐8 P4 主题 ? ScreenOS安全概述 ? ScreenOS基本安全功能 – Flood?Defense – Block?HTTP?Components? – MS‐Windows?Defense – Scan/Spoof/Sweep?Defense – DoS Defense – IP?Option?Anomalies – TCP/IP?Anomalies ? ScreenOS高级安全功能（需付费） ? 2011?CVANGUARD???????????????2011‐8‐8 P5 ScreenOS基本安全功能 ? Flood?Defense（泛洪防御） – ICMP?Flood?Protection（ICMP?泛洪） – UDP?Flood?Protection（UDP?泛洪） – SYN?Flood?Protection（TCP?SYN?泛洪） ? 2011?CVANGUARD???????????????2011‐8‐8 P6 ScreenOS基本安全功能 ? ScreenOS对SYN?Flood的防范机制——SYN代理 – ScreenOS对每秒钟允许通过防火墙的 SYN?片段数加以限制。当每秒的 SYN?片段数超过临界值时，安全设备开始代理发送流入的 SYN?片段、用 SYN/ACK?片段回复、并将不完全的连接请求存储到连接队列中，直到连接完成或请求超时。——类似于Cisco? TCP截取中的Watch模式。 ? ScreenOS对SYN?Flood的防范机制——SYN‐cookie ? 2011?CVANGUARD???????????????2011‐8‐8 P7 ScreenOS对SYN?Flood的防范机制——SYN代理 ? 2011?CVANGUARD???????????????2011‐8‐8 P8 ScreenOS对SYN?Flood的防范机制——SYN代理 ? 2011?CVANGUARD???????????????2011‐8‐8 P9 ScreenOS对SYN?Flood的防范机制——SYN‐cookie SYN?Cookie?是一种无状态的 SYN?代理机制，与“SYN?Flood?Protection”配合使用。 SYN?Cookie? 是防范 TCP?SYN 泛洪的标准关键技术之一。 ? 2011?CVANGUARD???????????????2011‐8‐8 P10 ScreenOS基本安全功能 ? Block?HTTP?Components?（HTTP恶意插件阻止） – Block?Java?Component? – Block?ActiveX?Component? – Block?ZIP?Component? – Block?EXE?Component? ? Juniper?Networks?安全设备可以选择性地封锁通过 HTTP?发送的 ActiveX?控件、Java?applet、.zip?文件和 .exe?文件。 ? 2011?CVANGUARD???????????????2011‐8‐8 P11 ScreenOS基本安全功能 ? MS‐Windows?Defense – WinNuke Attack?Protection ? WinNuke 是针对互联网上运行Windows?的任何计算机的 DoS 攻击。攻击者将 TCP片段 [?通常发送给设置了紧急 (URG)?标志的 NetBIOS?端口 139]?发送给具有已建连接的主机。这样就产生 NetBIOS?碎片重叠，从而导致运行Windows?的机器崩溃。 ? 2011?CVANGUA