第8章选择堡垒主机-Read.ppt

第8章 选择堡垒主机 学习目标： 1)理解安装堡垒主机通常的要求 2)选择堡垒主机的属性—内存、cpu速度和操作系统 3)在物理位置上和网络中权衡并选择堡垒主机可放置的不同位置 4)配置堡垒主机 5)为堡垒主机操作系统和数据提供备份 6)创建性能级别底线和审计过程 7)将堡垒主机连接到Internet 网络安全配置的有效性取决于许多方面，其中一个方面是运行防火墙软件或在网络边界上运行其他服务的堡垒主机。 8.1安装堡垒主机：常规要求 堡垒主机可以是运行了WEB的服务器、电子邮件服务器、FTP服务器和其他网络服务的任何服务器。但它通常只提供一种服务。因为堡垒主机提供的服务越多，由于系统上安装服务而导致的安全隐患的可能性也就越大。 通常要保证一台堡垒主机安全，需要遵循以下几个步骤： 1）获得一台拥有充足的内存和处理速度的主机 2）选择并安装一个操作系统 3）确定主机安装在网络中的位置，将他放置在一个安全的、可控制的物理环境中 4）让该主机能够自我防卫 5）安装提供的服务，或者修改现存的服务 6）删除不需要的服务和帐户 7）备份系统和其上的所有数据，包括日志文件 8）运行安全审核 9）将主机连接到网络中 DiD（深层防御）的定义要求在多个层次上强化系统，减少被侵入的可能性。 8.2 选择主机计算机 8.2.1是否需要多台主机 理想的情况是每台堡垒主机只提供一种服务，但这就意味着在边界上有一个防火墙程序、一台WEB服务器、一台FTP服务器、一台DNS服务器和一台SMTP服务器，那就需要配置五台独立的堡垒主机。对于许多企业而言，这是不现实的，获得多台主机所需的代价是有限制的，并且多台主机也增加了私有信息丢失的风险。 8.2 选择主机计算机 8.2.2内存考虑 内存对于运行服务服务器是非常重要的，但由于堡垒主机可能仅在网络上提供一种服务，因此能够执行维护、更换和清理过期日志文件的程序就够了。 硬盘存储空间应该足够大，因为系统可能不断地积累大量的日志文件——日志文件记录了谁访问了服务器上的资源，以及访问是何时发生的。 8.2 选择主机计算机 8.2.3处理器速度 处理器速度是指计算设备中逻辑电路或微处理器执行基本指令的频率，计算设备用这些基本指令来完成设备操作。 一台堡垒主机如果想对较慢，实际上有利于阻止可能的攻击行为，因为较慢的主机工作时并不会像较快的主机那样拥有那么多的闲置资源，如果没有资源可用，黑客就不能利用它们。 8.2 选择主机计算机 8.2.4选择操作系统 堡垒主机采用何种操作系统，最重要的考虑因素就是管理员对系统的熟悉程度。 1）UNIX主机和Linux主机 2）Windows 2000/XP主机 3）保持操作系统的更新 8.3放置堡垒主机 8.3.1物理位置 堡垒主机位于网络的边界上，它应该在Internet和受保护的内部网络之间提供一个缓存，还需要在网络配置中从物理和逻辑两方面为堡垒主机的定位做出几个选择： 物理位置被定义为设备放置的确切的建筑物和房间。 8.3放置堡垒主机 8.3.2网络位置 DMZ是一个可由公共访问的服务器网络，它连接到防火墙但又和内部网络分离，以便保护内部用户免受入侵和攻击，因为它经过他别强化，并且本身已为抵御攻击做好了准备，所以堡垒主机的逻辑位置可以存在于非常易于受攻击的公共DMZ内。 8.3放置堡垒主机 8.3.3保证主机本身的安全性 在安装堡垒主机时，需要在物理环境和操作系统两个方面对它进行保护。企业灾难恢复计划： 1）在堡垒主机或其他主机上备份数据的频率。 2）怎样在异地存放数据 3）测试灾难应急程序的频率 8.4配置堡垒主机 8.4.1让主机进行防卫 有些企业设置了honey pot（蜜罐）服务器，放置在DMZ中，专门用来吸引黑客的攻击，并将它们引离受保护的实际服务器的主机，它是用来抓获黑客的诱饵，一台honey pot堡垒主机就像一台真正的网络服务器，并包含了Web服务器、FTP服务器、FTP和DNS服务器，但它不会连接到网络上的其他任何主机，而且不包含任何有价值的文件。即使被攻破，DMZ中的其他部分仍是安全的。 8.4配置堡垒主机 8.4.2选择要提供的服务 完成一个简洁的操作系统安装之后，选择所需要的服务，例如：主服务、备份工具、日志等 8.4配置堡垒主机 8.4.3有关Windows系统的考虑事项 系统安全。 8.4配置堡垒主机 8.4.4禁用帐户 Guest与Administrator 8.4配置堡垒主机 8.4.5禁用不需要的服务 堡垒主机配置任务中的最重要的一项是删除不需要的服务。这些服务（FTP、Telnet或SMTP）监听开放端口，为黑客提供接入点。 8.4配置堡垒主机 8.4.6限制端口 除了需要在网络上提供服务的端口外，停止所有端口上的通信数据流。