2022年网络设备安全 .pdf

《2022年网络设备安全 .pdf》由会员分享，可在线阅读，更多相关《2022年网络设备安全 .pdf（3页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、网络设备安全设备的安全始终是信息网络安全的一个重要方面，攻击者往往通过控制网络中设备来破坏系统和信息， 或扩大已有的破坏。 网络设备包括主机（服务器、 工作站、 PC ）和网络设施（交换机、路由器等） 。总体来看，网络设备从网络管理角度可分为三类：第一类是无需进行配置和管理的网络设备，如集线器等；第二类是可通过特殊端口：串口、并口、USB 口进行配置管理的网络设备，如交换机等；第三类是可通过远程连接TELNET 、网管、 WEB 等方式进行配置管理的网络设备，如路由器等。通常情况下， 前两类网络设备一般设备自身不会遭到入侵攻击，存在较大安全隐患的主要集中在第三类网络设备中，主要表现在：（一）

2、人为因素在网络设备的配置管理过程中， 由于参与实际操作技术人员的技术水平存在一定差异，很难避免人为操作中存在失误和欠考虑等问题的出现，即使技术水平较高也会出现配置失误等情况的发生。一般人为因素的安全隐患主要表现在：在设备密码配置中， 空密码、较简单密码或不设密码， 或者将密码设置为明码而没有加密；对远程管理没有进行访问控制，即对远程管理终端地址没有进行适当控制；访问控制配置错误， 没有发挥预期的目的。（二）网络设备运行的操作系统存在漏洞。网络操作系统是控制网络设备运行、数据转发、 路由计算、 访问控制等服务的主体，它全面掌控着网络设备。 不同厂商的网络设备运行各自定制的系统，存在较大差异，不同

3、程度存在系统漏洞。一般网络操作系统的漏洞主要表现在：接收特定的非法、 畸形数据包后导致系统的拒绝访问、内存泄露、完全瘫痪，甚至出现设备被完全控制。（三）网络设备提供不必要的服务。通常，一台网络设备在出厂默认情况下，会对外部提供特定的网络服务如HTTP 、NTP 、CDP等，这些服务都可能作为攻击者的利用条件，为其提供一定的攻击机会。攻击者可通过这些不安全的服务对设备进行远程拒绝服务攻击，也可通过这些服务掌握设备基本信息或完全控制设备。（四）网络设备没有安全存放，易受临近攻击。临近攻击主要指在攻击者物理接近后对设备进行修改、收集设备信息的一种攻击行为。这种攻击主要针对放置位置属共用、公用场所的某

4、些网络设备。主要攻击方式有非法进行串口连接、非法实施密码恢复默认、 非法关机等行为。一般说 来， 一次 网络攻 击的 成功 与否 取决 于三个 因素 ：攻 击者 的能力（capability） ；攻击者的动机 (motivation)；攻击者的机会 (opportunity)。正常情况下，普通用户是无法削弱攻击者的能力和动机这两个因素的，但是有一点我们可以做到：那就是尽量减少他们的攻击机会。而对网络设备进行安全加固的目的就是减少攻击者的攻击机会。一般来说，名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - -

5、- - - - 第 1 页，共 3 页 - - - - - - - - - 当用户按照其信息保护策略（Information Protection Policy,IPP）购入（或采用其它方式获得）并部署好设备后，设备中的主要组成系统，包括操作系统、软件配置等， 往往在一定时间段内是保持相对稳定的。在这段时间内， 如果设备本身存在安全上的脆弱性， 则它们往往会成为攻击者攻击的目标。这些设备的安全脆弱性包括：1提供不必要的网络服务，提高了攻击者的攻击机会2存在不安全的配置，带来不必要的安全隐患3不适当的访问控制4存在系统软件上的安全漏洞5物理上没有得到安全存放，容易遭受临近攻击（close-in

6、attack）针对这些安全弱点，我们提出如下几点设备的安全加固技术建议： 禁用不必要的网络服务 修改不安全的配置 利用最小特权（ Least-Privilege）原则严格对设备的访问控制 及时对系统进行软件升级 提供符合 IPP 要求的物理保护环境一、禁用不必要的网络服务在系统的详细设计阶段，对网络中每个设备的功能就应该有了明确的定义。在方案实现阶段中的设备部署过程中，应该根据设计阶段的定义确定设备应提供的网络服务， 对于设计定义之外的网络服务应该禁用。不必要的网络服务只会为攻击者提供更多的攻击途径和门户。除此之外，有两点应该着重注意：设备缺省配置和已知的不安全服务。很多设备（或其中软件系统）

7、 为了方便用户应用， 都会有一个出厂缺省配置。一定要根据系统的详细设计文档仔细核对设备提供的网络服务，禁用不该有的缺省服务。其次，要经常查询访问一些安全资源，了解其中发布的软件安全漏洞，如果真的涉及到设备上必须提供的网络服务，就应该：及时打上补丁；或禁用该服务；或更换设备；或利用深层防御（ Defense-in-Depth ）机制补救。二、修改不安全的配置如果对系统配置不加以审查， 也可能引发安全问题。 比如有些数据库系统的出厂配置有很多个用户帐号， 这些帐号对用户实际的应用也许并无实际意义，但却可能为攻击者提供一个入口； 再比如，设备出厂时一般都会有一个管理员帐户，并配有一个口令字， 有些用

8、户甚至不改变这些缺省口令字。还有些配置可能因为安全强度不够，比如管理员采用了一个很简单的口令字，也容易被暴力（brute force ）攻破。以详细设计文档为基础， 仔细核对设备的配置参数。 对可能引起系统安全问题的配置参数一定要修改，无论是系统缺省配置还是用户的新配置。这部分工作在实践中可能有很大的技术难度，因为影响系统安全的参数并不都局限在系统的安全参数类别中，它们可能分布在系统的各个应用之中，这就要求管理人员有非常好的协议、 系统及安全知识背景。 比如如何修改设备配置以防范一个 ARP欺骗攻击；如何配置一个路由器以使它不接受一个恶意的路由欺骗信名师资料总结 - - -精品资料欢迎下载 -

9、 - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 2 页，共 3 页 - - - - - - - - - 息；如何在系统负载过重时有选择性的丢包等等。一个好的系统配置可以避免很多可能的安全威胁，比如在网络中避免使用文件夹的完全共享，就可以减少如Nimda这类恶性病毒的攻击机会。三、利用最小权限（ Least-Privilege）原则严格对设备的访问控制 最小权限 是一个与安全相关的概念，即使在不考虑针对信息的具体威胁时，这一概念也有现实意义。一个一般意义上的威胁可以被描述成 有越多的人能访问信息，信息被滥用的几率就越高。当只有那

10、些需要访问设备的人被允许进行设备访问时， 安全保护才做得更好。 在最小权限下，对角色要细加检查，并删除不必要的权限。四、及时对系统进行软件升级任何厂商的设备都难免会有各种各样的Bug存在， 这些 Bug的存在可能会为攻击者创造入侵机会。比如UNIX 系统中常见的 缓冲区溢出攻击 （Buffer Overflow ）都是针对系统编码中的缺陷发起的；同样有很多计算机病毒，比如SQL Slammer病毒就是针对 SQL Server 中的一个缺陷而大规模泛滥的。要及时访问各种安全资源，主动寻找这方面的知识和软件更新，获取像原设备厂商、CCERT 、FIRST 这类机构的帮助，及时对存在已知安全问题的

11、系统进行升级。这里要强调的是管理人员的安全意识问题。一个经典的例子就是在SQL Slammer病毒及其建议解决方案被公布后很长一段时间后，还是有很多用户， 甚至是行业大用户，仍然不断中招， 因为他们没有重视这些安全问题，不及时升级自己的系统。五、提供符合 IPP 要求的物理保护环境理论上讲， 只要从物理上能接近设备， 设备的安全性就无从谈起， 因为此时我们常提到的安全服务，如访问控制、鉴别服务等就不能起到保护作用。比如，通过物理的改变设备上的一些硬件开关就可以重置管理员口令字或恢复出厂设置。从业务的连续性和系统可靠性上讲，物理安全是用户关键业务的重要。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 3 页，共 3 页 - - - - - - - - -