运维风险预估措施方案.pdfVIP

运维风险预估措施 部门 运维部 版本编号 Ver_1.0 日期 2014-05-20 密级 公司内部使用 文档信息 文档名称 服务器故障应急措施方案 日期 版本号 更新说明 2014-05-20 Ver_1.0 建立文档、初始化 一、 服务器风险预估 1. 服务器被攻击 1.1. 拒绝服务攻击 拒绝服务攻击的方式很多， 主要常用的攻击手段有 SYN Flood 、UPD 洪水、 IP 欺骗攻击、 CC 攻击。 防范 DDOS 攻击首先要能够检测到，并且及时做出响应，才可以防范。 SYN Flood 通过 TCP 三次握手的原理，服务器如果出现第三次握手包迟迟收不到，将会占用服务 器的内存资源， 攻击者在较短时间内伪造大量不存在的源 IP 地址数据包进行攻击， 将会耗尽服务器的内 存资源，最后无法提供正常服务。 根据 SYN Flood 的攻击方式，可见动态的根据攻击流量进行设置 TCP 第三次握手的超时时间是降 低攻击效果的主要方法。 1.2. 入侵检测 遭受黑客入侵不可怕，可怕的是被入侵还不知道，这就需要部署一台入侵检测设备，可以使用开源 的 Snort 进行部署，但是 IDS 的误报率会很高，而使用 OSSIM 的关联分析功能就可以减少很多误报。 1.3. 防火墙防护 将服务器放置在防火墙的 DMZ 区域， 通过对防火墙进行配置可以避免外网对服务器进行端口扫描， 从而提高服务器的安全。放置在 DMZ 区有另一个好处就是可以保护内部网络。 2. 内部环境安全 2.1. 防止 ARP 欺骗攻击 通过在交换机的接口进行 MAC 绑定，实现终端设备的接入控制，这样就可以防止恶意用户的接入。 终端电脑绑定网关的 MAC 地址，以防攻击者欺骗网关。对 ARP 数据包进行检测，防止 ARP 洪泛攻击。 2.2. 可信任主机接入 在交换机端口下，对 IP 地址与 MAC 地址进行绑定，可以限制特定用户对网络进行访问，其余的用 户无法接入网络。 2.3. DHCP 欺骗攻击 在接入层网络伪造一台 DHCP 服务器， 将所有的网络流量指向黑客创建的伪造网关， 所有到伪造网 关的流量都会被分析，并且通过伪造 DNS ，把国内一些大站点的域名指向钓鱼网站，或者放入最新的溢 出漏洞夹杂在页面中，造成的危害会很大。 通过在交换机上配置 DHCP 可行端口进行防范 DHCP 的欺骗攻击。 3. 安全配置 3.1. 帐户密码安全 root 进程指的是只有 root 用户的权限才可以启动的服务，通过 root 绑定 1024 以下的端口，这样 可以防止恶意用户开启低于 1024 的端口进行欺诈攻击。 用户密码放置在以下路径中： /etc/passwd /etc/shadow 可以通过预定的安全策略对密码进行定期修改，并且强制设置高强度的密码，以及使用目前加密强 度最大的加密算法，防止被爆破以及 APT 攻击。 3.2. 远程访问安全 禁用明文密码传输的 telnet 远程访问协议，使用安全 shell （ssh ）保障数据的安全交换。 3.2.1. 修改 ssh 服务 root 登录权限 修改 ssh 服务配置文件，使的 ssh 服务不允许直接使用 root 用户来登录，这样减少系统被恶意登 录攻击的机会。 3.2.2. 修改