大型机房网络安全系统.doc

1绪论 1．1研究背景 2网络攻击行为技术特点分析及应对 2．1拒绝服务DoS 2．1．1．淹没 2．1．2．Smurfing拒绝服务攻击 2．1．3．分片攻击 2．1．4．带外数据包攻击 2．1．5．分布式拒绝服务攻击DDoS 2．1．6．拒绝服务攻击小结 2．2恶意软件 2．2．1逻辑炸弹 2．2．3．蠕虫 2．2．4．病毒 2．2．5．特洛伊木马 2．2．6．恶意软件攻击方法小结 2．3利用脆弱性 2．3．1访问权限 2．3．2蛮力攻击 2．3．3．缓冲区溢出 2．3．4．利用脆弱性小结 2．4操纵IP包 2．4．1．端口欺骗’ 2．4．2．化整为零 2．4．3盲IP欺骗 2．5内部攻击 2．5．1．“后门”守护程序 2．5．2．日志修改 2．5．3．隐蔽 2．5．4非盲欺骗 2．6 cGI攻击 2．6．1．低级CGI攻击 2．6．2．高级cGI攻击 3 大型机房网络安全系统创建步骤 3．1硬件平台 3．2系统平台 3．3应用模块 3．4网络安全检测仪的防御系统 3．4．1网络数据记录 3．4．2入侵检测 3．4．3远程数据备份 3．4．4网络状态流量远程监控 3．5网络安全检测仪的专用平台 3．5．1网络安全仪远程控制台 1绪论 1．1研究背景 随着网络时代的飞速发展和Intranet日益普及，网络安全问题也日益突出，如何在开放网络环境中保证数据和系统的安全性已经成为众多业内人士关心的问题，并越来越显得迫切和重要。虽然对安全技术的研究也越来越深入，但目前的技术研究重点都放在了某一个单独的安全技术上，却很少考虑如何对各种安全技术加以整合，构建一个完整的网络安全防御系统。 本文以作者的实际工作为基础，重点论述了构建一个网络安全防御系统的方案设计和实现过程。在方案设计部分，本文重点论述了设计过程中的两个关键阶段，即风险分析和网络安全防御系统的实现。在风险分析部分则以实例说明了如何分析一个系统所面临的风险并将其量化的过程和算法，而安全策略部分中详细描述了作者在设计一个完整的网络防御系统中所考虑的方方面面。在实现部分，本文重点描述了作者所设计的网络安全防御系统中的网络安全检测仪的网络拓扑结构及其采用的各种安全技术和安全产品的具体细节。本文在网络安全防御系统的设计和实现上做了一些有益的探索和尝试，还存 在着许多的不足和需要在进一步的研究中完善之处。对于所设计的网络安全监测仪，也存在着许多需要改进和完善的地方，如入侵检测的准确性和完整性，报警方式的多样性和方便性，日志审计的反向追踪功能的研究，网络远程控制台自身的CGI程序的安全性等等都是尚待解决的问题。 大型机房网络安全设施体系结构 第二章网络攻击行为技术特点分析及应对 安全与攻击之间存在着不可分割的因果关系，如果在信息世界中不存在攻击行为，似乎没有太多的必要在这里讨论安全。所以在本文中，把攻击放在前面。在讨论网络安全防御系统方案之前，先分析一下目前因特网上各种黑客攻击方法的技术特点，本章将对每种攻击方法的技术原理作以简单的分析，并提出相应的应对措施。 2．1拒绝服务DoS 2．1．1．淹没 是指黑客向目标主机发送大量的垃圾数据或者无效的请求，阻碍服务器的为合法用户提供正常服务。 2．1．2．Smurfing拒绝服务攻击 Smurfing拒绝服务攻击的主要原理黑客使用IP广播和IP欺骗使Flooding攻击的效果倍增，使用伪造的IC肝EcHO REQUES T包发往目标网络的IP广播地址． Smurfing攻击的原理如图2．1所示。 图2．1 Smurfing攻击的图示 ．黑客攻击实际发起的网络应采取的措施 对于从本网络向外部网络发送的数据包，本网络应该将目的地址为其他网络的这部分数据包过滤掉。虽然当前的IP协议技术不可能消除IP伪造数据包，但使用过滤技术可以减少这种伪造发生的可能。 2．1．3．分片攻击 这种攻击方法利用了TCP／IP协议的弱点，第一种形式的分片攻击是，有一些TCP／IP协议实现中，对IP分段出现重叠时并不能正确地处理。例如，当黑客远程向目标主机发送IP的片段，然后在目标主机上重新构造成一个无效的UDP包，这个无效的UDP包使得目标主机处于不稳定状态。一旦处于不稳定状态，被攻击的目标主机要么处于蓝屏幕的停机状态，要么死机或重新启动。类似这样的黑客攻击工具有：Teardrop NewTear Bonk和Boink等。 第二种形式的分片攻击是，一些TcP／IP的实现对出现一些特定的数据包会呈现出脆弱性。例如，当黑客远程向目标主机发出的SYN包，其源地址和端口与目标主机的地址和端口一致时，目标主机就可能死机或挂起。典型这样的黑客工具是：LAND o 2．1．4．带外数据包攻击 2．1．5．分布式拒绝服务攻击DDoS 传统DoS攻击的缺点是： ． 受网