企業(yè)如何建置安全的操作系統(tǒng)WindowsXP網(wǎng)絡(luò)安全

1、企業(yè)如何建置安全的操作系統(tǒng)WindowsXP網(wǎng)絡(luò)安全大綱威脅、弱點(diǎn)與攻擊 平安的第一步 分析與修補(bǔ)軟體弱點(diǎn) 增進(jìn)企業(yè)網(wǎng)路的平安 增進(jìn)無線網(wǎng)路應(yīng)用的平安 增進(jìn)網(wǎng)際網(wǎng)路應(yīng)用的平安威脅、弱點(diǎn)與攻擊說 明實(shí) 例威脅對(duì)您可能產(chǎn)生潛在危害的各種行為攻擊者經(jīng)常在 Internet 掃瞄有哪些 IP Address 上有什麼 Port 被開啟弱點(diǎn)由任何型式的威脅行為所能發(fā)現(xiàn)或暴露出來的安全缺口不適當(dāng)?shù)脑O(shè)定或軟體的瑕疵未被修補(bǔ)攻擊由精心設(shè)計(jì)的方法，跨越系統(tǒng)的安全控制進(jìn)行各種資源擁有者預(yù)期外的操作未被認(rèn)可的資料存取、設(shè)定修改或執(zhí)行程式大綱威脅、弱點(diǎn)與攻擊 平安的第一步 分析與修補(bǔ)軟體弱點(diǎn) 增進(jìn)企業(yè)網(wǎng)路的平安 增進(jìn)

2、無線網(wǎng)路應(yīng)用的平安 增進(jìn)網(wǎng)際網(wǎng)路應(yīng)用的平安平安的第一步啟用網(wǎng)際網(wǎng)路連線防火牆(ICF)管制 IP 封包的進(jìn)出減少可能的被攻擊面仍能對(duì)網(wǎng)路上的資源正常的進(jìn)行存取ICF 網(wǎng)際網(wǎng)路連線防火牆每個(gè)網(wǎng)路界面的設(shè)定是獨(dú)立的對(duì)外的存取一切正常外來的存取預(yù)設(shè)全部封鎖能以協(xié)定種類與埠號(hào)進(jìn)行篩選無法以 IP 位址或應(yīng)用程式資料進(jìn)行篩選啟動(dòng) ICF網(wǎng)路安裝精靈新增連線精靈網(wǎng)路連線資料夾服務(wù)選項(xiàng)允許使用者在本機(jī)電腦上執(zhí)行服務(wù)，或在家用網(wǎng)路環(huán)境內(nèi)建立 port 的對(duì)應(yīng)提供一系列預(yù)先定義好的服務(wù)使用者可以自行建立新的對(duì)應(yīng)值大綱威脅、弱點(diǎn)與攻擊 平安的第一步 分析與修補(bǔ)軟體弱點(diǎn) 增進(jìn)企業(yè)網(wǎng)路的平安 增進(jìn)無線網(wǎng)路應(yīng)用的平安

3、增進(jìn)網(wǎng)際網(wǎng)路應(yīng)用的平安我的電腦有哪些平安弱點(diǎn)？MBSA 的特色 圖形化介面MBSAcli.exe 命令列界面MBSAcli.exe /hf HFNetChk風(fēng)格可同時(shí)掃描一部或多部電腦執(zhí)行 MBSA 的帳戶必須是 Administrators 群組成員XML 格式的平安性基準(zhǔn)的報(bào)告儲(chǔ)存於 %userprofile% 的 SecurityScans 中Free downloadMBSA(Microsoft Security Baseline Analyzer)支援平臺(tái)Windows XP Home Edition/ProfessionalWindows 2000 Professional/Ser

4、ver Windows Server 2003掃描支援產(chǎn)品Internet Explorer 5.01 以上 Windows Media Player 6.4 以上SQL 7, 2000 (含 MSDE) Exchange Server 5.5, 2000 , 2003BizTalk、Commerce Server、CMS、HIS 等MBSA 的運(yùn)作執(zhí)行時(shí)會(huì)嘗試連線到 Internet，以便從 Microsoft 下載 msscure.cab 及 msscure.xml msscure.cab 是由 Microsoft Corporation 數(shù)位簽署的指定網(wǎng)域或 IP 位址的範(fàn)圍時(shí)，會(huì)嘗試

5、Ping 所有電腦。MBSA 會(huì)列出哪些電腦沒有辦法 Ping 到，並且繼續(xù)對(duì)已回應(yīng)的電腦進(jìn)行掃描人工下載 、MBSA Score Check Failed (Critical) Check Failed (non-Critical) Check Passed Best Practices Additional InformationSecurity Update Scan Results什麼是 Software Update Services自動(dòng)更新 Software Update Services伺服器 自動(dòng)更新LANWindows Update Web siteInternetSUS 伺

6、服器下載重大更新與安全性補(bǔ)充程式企業(yè)內(nèi)的用戶電腦的自動(dòng)更新服務(wù)直接由 SUS 伺服器下載更新自動(dòng)更新SUS 伺服器硬體需求Pentium III 700 MHz 以上512 MB RAM6 GB 以上格式化為 NTFS 檔案系統(tǒng)的邏輯磁碟軟體需求Windows2000 Server SP2 以上或 Windows Server 2003IIS5.0 以上Internet Explorer 6.0 以上SUS 用戶端Windows XP sp1 (含以上)Windows 2000 sp3 (含以上)Windows Server 2003使用自動(dòng)更新並設(shè)定WUServerSoftwarePolic

7、iesMicrosoftWindowsWindowsUpdateAUAUOptionsSoftwarePoliciesMicrosoftWindowsWindowsUpdateAUUseWUServerSoftwarePoliciesMicrosoftWindowsWindowsUpdateWUServerSoftwarePoliciesMicrosoftWindowsWindowsUpdateWUStatusServer大綱威脅、弱點(diǎn)與攻擊 平安的第一步 分析與修補(bǔ)軟體弱點(diǎn) 增進(jìn)企業(yè)網(wǎng)路的平安 增進(jìn)無線網(wǎng)路應(yīng)用的平安 增進(jìn)網(wǎng)際網(wǎng)路應(yīng)用的平安VPN 虛擬私人網(wǎng)路在公眾的電腦網(wǎng)路(如：Inter

8、net)建立虛擬的私人網(wǎng)路連線，達(dá)成如同私人網(wǎng)路一樣的平安性並節(jié)省費(fèi)用可透過公眾的電腦網(wǎng)路(如：Internet, public IP Address)，將多個(gè)企業(yè)內(nèi)部網(wǎng)路(Intranet, private IP Address)進(jìn)行連通對(duì) IP 封包進(jìn)行封裝與加密使用 VPN 虛擬私人網(wǎng)路VPN 伺服器Windows Server 2003Internet 界面Intranet 界面公司內(nèi)部IntranetWindows XPInternetTunnel建立一個(gè)新連線Windows XP 所支援的 VPN 協(xié)定PPTPInternetwork must be IP-basedNo head

9、er compressionNo tunnel authenticationBuilt-in PPP encryptionL2TPInternetwork can be IP, frame relay, X.25, or ATM-basedHeader compressionTunnel authenticationUses IPSec encryptionPPTP or L2TPInternet什麼是 IPSecIP 網(wǎng)路傳輸平安的業(yè)界標(biāo)準(zhǔn)架構(gòu)提供通訊前與通訊期間的雙向驗(yàn)證確保資料傳輸?shù)碾[密性確保封包傳輸?shù)耐暾苑乐挂苑獍夭シ绞降墓鬉HAuthentication Header；驗(yàn)證標(biāo)頭

10、 驗(yàn)證傳送資料電腦的身份並確保資料的完整性ESPEncapsulated Security Payload；壓縮平安性內(nèi)容 驗(yàn)證傳送資料電腦的身份並確保資料的隱密性與完整性IPSec 如何運(yùn)作 TCP 層IPSec驅(qū)動(dòng)程式TCP 層IPSec 驅(qū)動(dòng)程式Encrypted IP Packets3安全性關(guān)聯(lián)交涉2IP 平安性原則IP 平安性原則1Active Directory什麼是 IP 平安性原則IP Sec 使用規(guī)則與原則來確保網(wǎng)路傳輸?shù)钠桨惨?guī)則的組成IP 篩選器清單篩選器動(dòng)作驗(yàn)證方法預(yù)設(shè)的原則用戶端(僅回應(yīng))伺服器(要求平安性)平安的伺服器(需要平安性)使用預(yù)設(shè)原則未指派用戶端(僅回應(yīng))伺

11、服器(要求安全性)安全的伺服器(需要安全性)未指派No IPSecNo IPSecNo IPSec無法通訊用戶端(僅回應(yīng))No IPSecNo IPSecIPSecIPSec伺服器(要求安全性)No IPSecIPSecIPSecIPSec安全的伺服器(需要安全性)無法通訊IPSecIPSecIPSec 預(yù)設(shè)以 Kerberos 驗(yàn)證如何指派 IP 平安性原則使用IP 平安性原則管理在 Active Directory 網(wǎng)域中使用群組原則進(jìn)行集中管理大綱威脅、弱點(diǎn)與攻擊 平安的第一步 分析與修補(bǔ)軟體弱點(diǎn) 增進(jìn)企業(yè)網(wǎng)路的平安 增進(jìn)無線網(wǎng)路應(yīng)用的平安 增進(jìn)網(wǎng)際網(wǎng)路應(yīng)用的平安802.11 無線網(wǎng)路的

12、平安機(jī)制身分驗(yàn)證 Authentication開放式系統(tǒng) Open System封閉式系統(tǒng) Closed System分享密鑰認(rèn)證 Shared-Key 資料保密 ConfidentialityWEP (Wired Equivalent Privacy)資料的完整性 IntegrityCRC CRC + WEP802.11 認(rèn)證模式身份驗(yàn)證AuthenticationSSID(Service Set ID)WEP資料加密開放式系統(tǒng)Open System接受SSID值為空白不使用不支援封閉式系統(tǒng)Closed System需輸入有效的SSID不使用不支援分享密鑰認(rèn)證 Shared Key( Cha

13、llenge-Response )需輸入有效的SSID利用WEP與RC4演算法進(jìn)行身分確認(rèn)利用WEP產(chǎn)生的金要進(jìn)行資料加密Port-based 存取控制方式可以用在無線或有線網(wǎng)路環(huán)境Access point 必須支援 不需要大幅改變現(xiàn)有硬體架構(gòu)可以使用 EAP 使用更高平安性的驗(yàn)證方式讓用戶端選擇使用的驗(yàn)證方式Access point 不需要提供 EAP 的驗(yàn)證方式金鑰自動(dòng)管理不須重新改寫無線網(wǎng)卡的晶片設(shè)計(jì)連接埠存取實(shí)體 (PAE,也稱為 LAN 連接埠)支援連接埠相關(guān) IEEE 802.1X 通訊協(xié)定的邏輯實(shí)體。驗(yàn)證者 對(duì)於無線連線而言，驗(yàn)證者就是無線存取點(diǎn) (AP) 上的邏輯 LAN 連接

14、埠請(qǐng)求者 請(qǐng)求者對(duì)於無線連線而言，請(qǐng)求者就是在無線 LAN 網(wǎng)路介面卡上要求存取有線網(wǎng)路的邏輯 LAN 連接埠驗(yàn)證伺服器 無線 AP 通常會(huì)使用遠(yuǎn)端驗(yàn)證撥號(hào)使用者服務(wù)(RADIUS) 通訊協(xié)定將連線嘗試參數(shù)傳送給 RADIUS 伺服器(IAS,網(wǎng)際網(wǎng)路驗(yàn)證服務(wù))。WPA支援 Pre-Shared Key (PSK) 讓沒有 RADIUS 的環(huán)境也能使用在每次連線起始過程重新產(chǎn)生金鑰TKIP 取代 802.1X 金鑰管理Temporal key integrity protocol128-bit RC4 結(jié)合 128-bit IV 及用戶端 MAC address每個(gè) frame 都使用不同的加

15、密金鑰並非完全取代 WEP提供更平安的加密金鑰機(jī)制 (AES)大綱威脅、弱點(diǎn)與攻擊 平安的第一步 分析與修補(bǔ)軟體弱點(diǎn) 增進(jìn)企業(yè)網(wǎng)路的平安 增進(jìn)無線網(wǎng)路應(yīng)用的平安 增進(jìn)網(wǎng)際網(wǎng)路應(yīng)用的平安保護(hù)電子郵件加密防止郵件內(nèi)容被第三者看到簽章防止郵件內(nèi)容被竄改確認(rèn)發(fā)信者的身份法律效力內(nèi)政部自然人憑證如何在電子郵件使用簽章與加密向憑證授權(quán)單位(CA)申請(qǐng)目的為平安電子郵件用途的憑證(請(qǐng)注意 E-Mail 位址需正確，且收發(fā)信雙方皆信任此 CA )將含私有金鑰的憑證安裝(匯入)至發(fā)信電腦設(shè)定 Outlook 或 Outlook Express 啟用簽章、加密並使用該憑證發(fā)信時(shí)，依需要選取簽章、加密收信者需取得發(fā)信者的公開金鑰，並在通訊錄的該聯(lián)絡(luò)人設(shè)定中匯入保護(hù) Web 通訊Secure Sockets Layer (SSL 3.0)使用 s (443/TCP)防止傳輸內(nèi)容被