论文部分内容阅读
作为券商局域网络主要应用的NetWare系统,虽然不及Internet服务器时刻处于受攻击威胁的状态,但也面临众多安全问题,包括病毒、木马、网络窃听与欺诈、管理疏忽等。因此,我们需要对NetWare系统的安全性进行评估,并根据业务系统的实际需要,从如下方面对其进行有效的安全设置和管理。
1 文件系统权限控制
文件系统包括卷、目录及子目录、目录下的文件等,它是有结构层次的,其作用是能够使得文件服务器上的文件得到有效的管理及组织。在NetWare系统中,可以创建文件系统各种用户并赋予用户差别化的权限,使用户能得到对服务器系统目录及文件不同等级和范围的访问,由此建立起安全的访问控制。
系统管理员主要从如下方面进行文件系统权限安全控制:
(1) 作为管理员,需要熟知NetWare的基本概念,包括何为文件系统、何为有效权限、何为继承、何为文件系统属性等。
(2) 严格管理超级用户和系统自带的有强大功能的文件管理工具,有经验的管理员应该将SYS卷下的这些管理工具更名,防止被黑客利用。
(3) 已经赋予用户的对文件系统的权限需要经常复核,要以“最小化”原则进行审定,把过高的权限去掉;同时,对写、改和删除权限的赋予更是需要谨慎;对用户目录的指定需要指定到最里层。
(4) 杜绝把无关业务或未经授权的程序存放到服务器系统之中;对被授权下发的程序或文件存放到服务器系统之前需要先进行反病毒扫描;系统中不知由来的程序不能执行。
(5) 对系统中的LOGIN.EXE程序需要进行/NS参数屏蔽,这样做的目的是防止黑客通过/NS参数截留系统中的程序或文件,进而实现控制系统的目的。
2 Novell目录服务
Novell目录服务(Novell Directory Service,简称NDS),在Novell网络上能够实现用户对服务器资源访问的管理,包括对网络用户的跟踪。管理员可以使用NDS创建网络用户数据库,以达到有效管理。
Novell目录服务的安全措施:
(1) 去掉“Public”目录的Browse权限。
(2) 使用最有效的DS.NLM版本。目前适合券商使用的DS版本是V6.0,即带SP6A包。
(3) 授予用户权限避免使用等效方式。因为一旦删除了账户,可能使得等效用户权限丢失。
(4) 需要格外谨慎授予用户对NDS对象全部属性的权限,对授予除“Read”之外的权限,也需要检查必要性。平时应定期使用DSREPAIP.NLM检测NDS状态,同时定期备份健康状态的NDS。
(5) 在平时运行中,对ADMIN用户的密码设置超强密码,纸张记录存于密封信封并专人保管。平时不直接使用ADMIN进行操作,而是创建另一个用户名的超级用户,授予与ADMIN无异的最高权限,平时操作都使用这个副超级用户操作。这样系统即使被黑客入侵,也给他造成因为无法猜透和破解ADMIN用户密码的障碍,同时,副超级用户密码被遗忘,还可以通过ADMIN账户找回。
(6) 权限授予需要严格遵守“最小化”原则。检查权限的命令有几种,分别有:
NLIST user where……exists show /r/s
NLIST group where……existsshow /r/s
NLIST server where ……exists show /r/s
NLIST organization where……exists show /r/s
检查结果可以指定文件输出。
3 系统用户管理
用户的安全性管理首先是登录安全性的管理,通过登录管理验证用户身份的有效性,同时审验用户对网络资源的访问权限,主要包含的内容有:
(1) 账户限制(Account Restrictions)
账户限制的安全问题主要有:余额(Balance)、密码(Password)、允许登录的节点地址(Network Address)、连接数(Connections)、到期日期(Expiration Date)、登录时间限制等。所有的因素中,密码问题是最核心的问题。密码的设置要强壮,每三个月需要进行重置。但是安全的原则并非是要求设置连自己都记不住的密码,作为实际应用的方便,良好的密码是容易记且安全的密码。此外,还应对用户登录的节点地址、允许登录时间、同时连接数等设置限制。
(2) 用户验证(Authentication)
NetWare 4.11中,所有通过NDS验证的用户,便能得到相应的权限来访问指定的服务器内容。这点与平均数据库的用户验证不同,后者登录每个服务器都要验证。但是这样统一的用户验证在用户退出登录系统后,存留在客户机内存中的有价信息可能会被利用,故需要使用人养成离机关机的习惯。
(3) 入侵检测(Intruder Detection)
很多网络或服务器的入侵都是因为密码被猜测,NetWare提供了防止密码被猜测、记录恶意猜测节点并限制账户的功能,即入侵检测功能。管理员可以在脚本文件AUTOEXEC.NCF中进行IntrudeDetection参数设置,在系统中记录下猜测入侵的痕迹。不过这个功能的使用需要在容器对象中进行。
(4) 登录正本
系统为防止系统文件和程序的控制权直接落到用户手里,可以启用登录正本功能。登录正本是一组给用户创建原始系统环境的命令集,在用户进入系统时运行。
(5) 禁用偶尔手工运行用户,删除无用用户。
(6) 视情况决定是否启用网络审计功能,需要留意虽然这个功能有助于对事后情况的分析,但是同时占用了不小的实时系统资源。
4 系统的冗余备份与安全
NetWare服务器作为券商行情系统与行情应用程序所在的服务器,在券商信息系统中属于核心设备,因此对其冗余备份及安全措施至关重要。
通常采取如下措施实现系统的冗余备份与安全性:
(1) 根据实际情况制定合适的冗余备份,例如冷备与热备的选择,需要明白并非听起来更先进的方式如热备,在实际应用中就一定比冷备有效,如果热备不能实现可靠且快速的切换,很可能延长故障的应急解决时间,故使用“热机冷备”的方式非常适合行情和应用服务器的备份。
(2) 定期检查NetWare服务器的磁盘空间及状态,对系统SYS卷尤其需要关注,不能在此卷中存储过多的无关数据而影响数据的存储与交换;对DATA卷中的无关及过期数据,需要及时地清理,防止占用资源及留下可避免的攻击漏洞。
(3) 对NetWare系统中的重要数据与文件进行定期备份,备份可以通过手工方式进行,也可以使用NetWare系统自带的工具进行,例如NetWare Storage Management Services,即SMS。
(4) 安装Novell网络病毒防火墙和监控程序,对包括NetWare服务器在内的网络设备进行实时监控,对病毒进行定时查杀。
5 NetWare安全配置
根据券商网络的特点,通过配置脚本加强NetWare的安全也很有效。列举实例如下:
(1) 在NetWare中启用SECURE.NCF脚本,这样,用户账号、密码及其他数据包都会以加密形式在Novell网络中传输,使服务器达到C2安全等级。
(2) 对脚本AUTOEXEC.NCF的部分参数的默认值进行反向修改,主要有:
参数[Intruder Detection]
参数[Allow Unencrypted Passwords]
参数[IPX NetBIOS Replication option]
参数[Additional Security Checks]
参数[Check Equivalent to Me]
参数[Allow change to Client rights]
(3) 对脚本STARTUP.NCF的部分参数的默认值进行反向修改,主要有:
参数[Reject NCP Packets with Bad lengths]
参数[Reject NCP Packets with Bad Components]
(4) 由于通过RECONSOLE进行的远程控制数据包为非加密数据包,所以为防止黑客截流网络数据包,轻易获取密码、操作动作、脚本AUTOEXEC.NCF等重要信息,应尽少使用RECONSOLE工具的远控,降低风险。即使使用这个工具,也需要主动启用进行密文通讯操作,操作次序:
启用脚本RSPX.NLM;
启用脚本RS232.NLM;
启用脚本REMOTE.NLM;
使用命令“REMOTE ENCRYPT”,将启用的脚本信息导入至SYS卷的LDREMOTE.NCF脚本中,然后卸载脚本REMOTE.NLM。
此外,只需要对脚本AUTOEXEC.NCF进行相关的配置,就可以实现密文传输了,主要有:
指定运行SYS卷的LDREMOTE.NCF;
指定启用RSPX;
这样就能在NetWare 4.11中使用安全的RECONSOLE进行远控操作了。
(5) 在启动脚本中应对客户端的一些功能键进行限制,使其不能通过功能键故意中止系统脚本的正常运行;还有对LOGIN文件进行/NS参数的屏蔽;对客户端通过MAC地址直接指定运行登录脚本,防止提供正常登录界面;对有必要的用户启用策略管理,对其MAC地址、允许登录的时间、密码的安全级别等进行限制。
1 文件系统权限控制
文件系统包括卷、目录及子目录、目录下的文件等,它是有结构层次的,其作用是能够使得文件服务器上的文件得到有效的管理及组织。在NetWare系统中,可以创建文件系统各种用户并赋予用户差别化的权限,使用户能得到对服务器系统目录及文件不同等级和范围的访问,由此建立起安全的访问控制。
系统管理员主要从如下方面进行文件系统权限安全控制:
(1) 作为管理员,需要熟知NetWare的基本概念,包括何为文件系统、何为有效权限、何为继承、何为文件系统属性等。
(2) 严格管理超级用户和系统自带的有强大功能的文件管理工具,有经验的管理员应该将SYS卷下的这些管理工具更名,防止被黑客利用。
(3) 已经赋予用户的对文件系统的权限需要经常复核,要以“最小化”原则进行审定,把过高的权限去掉;同时,对写、改和删除权限的赋予更是需要谨慎;对用户目录的指定需要指定到最里层。
(4) 杜绝把无关业务或未经授权的程序存放到服务器系统之中;对被授权下发的程序或文件存放到服务器系统之前需要先进行反病毒扫描;系统中不知由来的程序不能执行。
(5) 对系统中的LOGIN.EXE程序需要进行/NS参数屏蔽,这样做的目的是防止黑客通过/NS参数截留系统中的程序或文件,进而实现控制系统的目的。
2 Novell目录服务
Novell目录服务(Novell Directory Service,简称NDS),在Novell网络上能够实现用户对服务器资源访问的管理,包括对网络用户的跟踪。管理员可以使用NDS创建网络用户数据库,以达到有效管理。
Novell目录服务的安全措施:
(1) 去掉“Public”目录的Browse权限。
(2) 使用最有效的DS.NLM版本。目前适合券商使用的DS版本是V6.0,即带SP6A包。
(3) 授予用户权限避免使用等效方式。因为一旦删除了账户,可能使得等效用户权限丢失。
(4) 需要格外谨慎授予用户对NDS对象全部属性的权限,对授予除“Read”之外的权限,也需要检查必要性。平时应定期使用DSREPAIP.NLM检测NDS状态,同时定期备份健康状态的NDS。
(5) 在平时运行中,对ADMIN用户的密码设置超强密码,纸张记录存于密封信封并专人保管。平时不直接使用ADMIN进行操作,而是创建另一个用户名的超级用户,授予与ADMIN无异的最高权限,平时操作都使用这个副超级用户操作。这样系统即使被黑客入侵,也给他造成因为无法猜透和破解ADMIN用户密码的障碍,同时,副超级用户密码被遗忘,还可以通过ADMIN账户找回。
(6) 权限授予需要严格遵守“最小化”原则。检查权限的命令有几种,分别有:
NLIST user where……exists show /r/s
NLIST group where……existsshow /r/s
NLIST server where ……exists show /r/s
NLIST organization where……exists show /r/s
检查结果可以指定文件输出。
3 系统用户管理
用户的安全性管理首先是登录安全性的管理,通过登录管理验证用户身份的有效性,同时审验用户对网络资源的访问权限,主要包含的内容有:
(1) 账户限制(Account Restrictions)
账户限制的安全问题主要有:余额(Balance)、密码(Password)、允许登录的节点地址(Network Address)、连接数(Connections)、到期日期(Expiration Date)、登录时间限制等。所有的因素中,密码问题是最核心的问题。密码的设置要强壮,每三个月需要进行重置。但是安全的原则并非是要求设置连自己都记不住的密码,作为实际应用的方便,良好的密码是容易记且安全的密码。此外,还应对用户登录的节点地址、允许登录时间、同时连接数等设置限制。
(2) 用户验证(Authentication)
NetWare 4.11中,所有通过NDS验证的用户,便能得到相应的权限来访问指定的服务器内容。这点与平均数据库的用户验证不同,后者登录每个服务器都要验证。但是这样统一的用户验证在用户退出登录系统后,存留在客户机内存中的有价信息可能会被利用,故需要使用人养成离机关机的习惯。
(3) 入侵检测(Intruder Detection)
很多网络或服务器的入侵都是因为密码被猜测,NetWare提供了防止密码被猜测、记录恶意猜测节点并限制账户的功能,即入侵检测功能。管理员可以在脚本文件AUTOEXEC.NCF中进行IntrudeDetection参数设置,在系统中记录下猜测入侵的痕迹。不过这个功能的使用需要在容器对象中进行。
(4) 登录正本
系统为防止系统文件和程序的控制权直接落到用户手里,可以启用登录正本功能。登录正本是一组给用户创建原始系统环境的命令集,在用户进入系统时运行。
(5) 禁用偶尔手工运行用户,删除无用用户。
(6) 视情况决定是否启用网络审计功能,需要留意虽然这个功能有助于对事后情况的分析,但是同时占用了不小的实时系统资源。
4 系统的冗余备份与安全
NetWare服务器作为券商行情系统与行情应用程序所在的服务器,在券商信息系统中属于核心设备,因此对其冗余备份及安全措施至关重要。
通常采取如下措施实现系统的冗余备份与安全性:
(1) 根据实际情况制定合适的冗余备份,例如冷备与热备的选择,需要明白并非听起来更先进的方式如热备,在实际应用中就一定比冷备有效,如果热备不能实现可靠且快速的切换,很可能延长故障的应急解决时间,故使用“热机冷备”的方式非常适合行情和应用服务器的备份。
(2) 定期检查NetWare服务器的磁盘空间及状态,对系统SYS卷尤其需要关注,不能在此卷中存储过多的无关数据而影响数据的存储与交换;对DATA卷中的无关及过期数据,需要及时地清理,防止占用资源及留下可避免的攻击漏洞。
(3) 对NetWare系统中的重要数据与文件进行定期备份,备份可以通过手工方式进行,也可以使用NetWare系统自带的工具进行,例如NetWare Storage Management Services,即SMS。
(4) 安装Novell网络病毒防火墙和监控程序,对包括NetWare服务器在内的网络设备进行实时监控,对病毒进行定时查杀。
5 NetWare安全配置
根据券商网络的特点,通过配置脚本加强NetWare的安全也很有效。列举实例如下:
(1) 在NetWare中启用SECURE.NCF脚本,这样,用户账号、密码及其他数据包都会以加密形式在Novell网络中传输,使服务器达到C2安全等级。
(2) 对脚本AUTOEXEC.NCF的部分参数的默认值进行反向修改,主要有:
参数[Intruder Detection]
参数[Allow Unencrypted Passwords]
参数[IPX NetBIOS Replication option]
参数[Additional Security Checks]
参数[Check Equivalent to Me]
参数[Allow change to Client rights]
(3) 对脚本STARTUP.NCF的部分参数的默认值进行反向修改,主要有:
参数[Reject NCP Packets with Bad lengths]
参数[Reject NCP Packets with Bad Components]
(4) 由于通过RECONSOLE进行的远程控制数据包为非加密数据包,所以为防止黑客截流网络数据包,轻易获取密码、操作动作、脚本AUTOEXEC.NCF等重要信息,应尽少使用RECONSOLE工具的远控,降低风险。即使使用这个工具,也需要主动启用进行密文通讯操作,操作次序:
启用脚本RSPX.NLM;
启用脚本RS232.NLM;
启用脚本REMOTE.NLM;
使用命令“REMOTE ENCRYPT”,将启用的脚本信息导入至SYS卷的LDREMOTE.NCF脚本中,然后卸载脚本REMOTE.NLM。
此外,只需要对脚本AUTOEXEC.NCF进行相关的配置,就可以实现密文传输了,主要有:
指定运行SYS卷的LDREMOTE.NCF;
指定启用RSPX;
这样就能在NetWare 4.11中使用安全的RECONSOLE进行远控操作了。
(5) 在启动脚本中应对客户端的一些功能键进行限制,使其不能通过功能键故意中止系统脚本的正常运行;还有对LOGIN文件进行/NS参数的屏蔽;对客户端通过MAC地址直接指定运行登录脚本,防止提供正常登录界面;对有必要的用户启用策略管理,对其MAC地址、允许登录的时间、密码的安全级别等进行限制。