SANGFOR_NGAF_V5.8_2015年度渠道高級認(rèn)證培訓(xùn)04_用戶登錄權(quán)限防護(hù)

1、SANGFOR NGAF用戶登錄權(quán)限防護(hù)培訓(xùn)內(nèi)容培訓(xùn)內(nèi)容培訓(xùn)目標(biāo)培訓(xùn)目標(biāo)用戶登錄權(quán)限防用戶登錄權(quán)限防護(hù)護(hù)1、理解用戶登錄權(quán)限防護(hù)功能的作用與使用場景2、掌握用戶登陸權(quán)限防護(hù)的配置方法與測試方法目錄1、用戶登錄權(quán)限防護(hù)介紹2、用戶登錄權(quán)限配置1、用戶登錄權(quán)限 目前網(wǎng)頁管理后臺、FTP、遠(yuǎn)程桌面與ssh是常見的黑客入侵通道，越來越多的網(wǎng)站后臺被黑或者數(shù)據(jù)庫被惡意篡改，造成企業(yè)單位數(shù)據(jù)嚴(yán)重丟失。 為使這些服務(wù)器的權(quán)限獲得更可靠的保障，防止出現(xiàn)以上問題，AF在原有的web應(yīng)用防護(hù)基礎(chǔ)又新增了一項(xiàng)用戶登錄權(quán)限的防護(hù)，也就是所謂的短信認(rèn)證，使用戶在訪問滿足之前的web防護(hù)之后，還必須同時(shí)通過AF的短信認(rèn)證

2、后才能登陸管理頁面或者后臺進(jìn)行操作。短信認(rèn)證防護(hù)： 客戶網(wǎng)站中有管理界面，但不允許對管理界面的直接登陸，必須通過AF設(shè)備的短信認(rèn)證后才能登陸管理界面，這就是用戶登陸權(quán)限防護(hù)。短信認(rèn)證的作用： 對不支持多因子認(rèn)證的應(yīng)用系統(tǒng)或管理方式，實(shí)現(xiàn)了疊加的多因子認(rèn)證，提高了客戶應(yīng)用系統(tǒng)和管理系統(tǒng)的安全性，并且不需要修改應(yīng)用系統(tǒng)或增加額外的開發(fā)成本。身份驗(yàn)證1、用戶登錄權(quán)限短信認(rèn)證防護(hù)的對象：WEB網(wǎng)站網(wǎng)站TCP服務(wù)遠(yuǎn)程桌面FTPTELNETSSH對象 web頁面，一般用于網(wǎng)站管理后臺頁面的防護(hù)。TCP服務(wù)，一般用于遠(yuǎn)程桌面、ssh、telnet、ftp的防護(hù)。短信認(rèn)證的流程：TCP服務(wù)：必須先主動訪問AF

3、的短信認(rèn)證頁面進(jìn)行認(rèn)證，AF無法對于客戶端的訪問進(jìn)行重定向目錄1、用戶登錄權(quán)限防護(hù)介紹2、用戶登錄權(quán)限配置用戶登錄權(quán)限防護(hù)模塊是WAF模塊的子功能，功能開關(guān)集成在WAF策略配置中，與WAF的配置相關(guān)，需要盡量配置正確的WAF策略防護(hù)信息，如保護(hù)區(qū)域和目的IP組，以及WEB服務(wù)端口。默認(rèn)用戶登錄權(quán)限未開啟。2、用戶權(quán)限配置2、 用戶權(quán)限配置WEB方式防護(hù)WEB資源防護(hù)，即需要防護(hù)的URL主動認(rèn)證的url，訪問后返回認(rèn)證界面。此處配置一個(gè)不存在的url，用戶訪問此url時(shí)必須經(jīng)過AF設(shè)備，AF設(shè)備會抓取TCP連接并返回短信認(rèn)證頁面。選擇需要防護(hù)的非WEB資源，TCP類型2、用戶權(quán)限配置TCP方式防

4、護(hù)選擇需要防護(hù)的TCP應(yīng)用WEB資源防護(hù)，即需要防護(hù)的URL選擇需要防護(hù)的非WEB資源，TCP類型管理員手機(jī)號碼測試短信貓是否可用白名單時(shí)間，認(rèn)證過后多長時(shí)間內(nèi)無需認(rèn)證2、用戶權(quán)限配置管理員手機(jī)號設(shè)置BYPASS默認(rèn)關(guān)閉短信貓欠費(fèi)或停機(jī)無法bypass2、用戶權(quán)限配置短信網(wǎng)關(guān)BypassBypass，若無短信貓或短信貓認(rèn)證失敗，不做短信認(rèn)證，僅驗(yàn)證手機(jī)號A. 檢測到對受保護(hù)資源的訪問，則強(qiáng)制進(jìn)入認(rèn)證頁面。B. 輸入管理員手機(jī)號碼并獲取驗(yàn)證碼。C. 如果是管理員號碼，則發(fā)送短信。D. 輸入驗(yàn)證碼，提交。E. 驗(yàn)證碼正確，認(rèn)證成功，可正常訪問受保護(hù)資源。 2、用戶權(quán)限配置短信認(rèn)證過程:2、用戶權(quán)限配置數(shù)據(jù)中心日志:1、配置用于非WEB登陸方式認(rèn)證的URL： 配置一個(gè)不存在的url，用戶訪問此url時(shí)必須經(jīng)過AF設(shè)備，AF設(shè)備會抓取TCP連接并返回短信認(rèn)證頁面。若此處配置的url與客戶內(nèi)部網(wǎng)站的真實(shí)URL沖突，用戶將只能瀏覽到短信認(rèn)證頁面。2、允許BYPASS:1).默認(rèn)關(guān)閉。2).每次認(rèn)證時(shí)，若檢測到短信貓未插入U(xiǎn)SB口，開啟bypass不做短信認(rèn)證，僅需輸入的手機(jī)號是管理員手機(jī)號，則認(rèn)證通過。3).短信貓欠費(fèi)或停機(jī)無