网络安全讲义第6章.ppt
第6章 应用服务安全,6.1 应用服务概述6.2 Web服务的安全6.3 FTP服务的安全6.4 电子邮件服务的安全6.5 SQL Server2000安全,教学要求：了解客户机/服务器模型，Internet安全特点，熟练掌握Web、FTP、E-mail安全管理操作。,6.1 应用服务概述,6.1.1 客户机/服务器模型,客户机和服务器是依据其上运行的软件功能来划分。服务器是指能在网络上提供服务的任何程序。客户机是通过和用户的交互，向服务器提出服务申请的部分。服务器接受客户机的请求，完成服务后将结果返回给客户机。（1）服务在交互开始之前就已经运行，并不停地被动接受请求并发送响应。客户机主动发请求等待响应。（2）服务器为响应服务使用一个保留的端口等待请求。客户机可以使用任意的未用端口。,6.1 应用服务概述,客户机特点：一个客户机/服务器系统中可包括多个客户机；提供用户界面，接收命令和数据输入；客户机通过一个进程间通信机制和服务器完成通信；客户机和服务器使用一种标准的语言或用该系统内定的语言来传递信息；但在界面层上查询或命令语言可以有变化；客户机可以使用缓冲等技术来减少到服务器的操作提高效率；客户机接收服务器反馈并分析处理，再提交给用户。,6.1 应用服务概述,服务器特点：服务器向客户提供一种服务；服务器只负责响应来自客户机的查询或命令，不主动和任何客户机建立会话。在多服务器的环境下，服务器之间可以协调工作；服务器包括两部分：负责接受请求的主程序和负责处理各个请求的一组程序；服务器必须在其运行所在地的计算机系统上实施所有访问和保护措施。,6.1 应用服务概述,客户机/服务器模式特点（1）桌面上的智能（2）最优化地共享服务器资源（3）优化网络利用率,6.1 应用服务概述,6.1.2 应用服务的划分,文件服务打印服务Web服务E-mail服务终端服务路由和远程访问服务VPN服务域名服务,动态主机配置协议服务流媒体服务FTP服务新闻服务代理服务即时通信服务网络办公服务数字证书服务,6.1 应用服务概述,6.1.3 Internet的安全安全隐患的产生原因：1）薄弱的认证环节2）系统的易被监视性3）网络系统的易被欺骗性4）复杂的设备和控制5）通信协议存在的安全问题,6.2 Web服务的安全,6.2.1 IIS-Web安全设置利用IIS可以建立自己的www、FTP和SMTP服务器1 IIS的安全设置1）避免安装在主域控制器上在安装IIS后，机器上生成IUSR_匿名帐户，且被加入到域用户组中，则拥有了应用于域用户组的访问权限。2）避免安装在系统分区上3）对用户帐户进行管理4）端口安全性的实现,2 IISWeb服务器的安全性1）登录认证的安全控制面板管理工具Internet信息服务（IIS）默认网站属性目录安全性匿名访问和验证控制三种身份认证：（1）匿名访问（2）基本验证：用windows的用户帐号和密码，密码用明文送出（3）集成windows验证：用windows的用户帐号和密码，密码用密文送出,6.2 Web服务的安全,2）设置用户审核NTFS文件系统上，文件（夹）属性安全高级审核3）设置WWW目录的访问权限属性主目录4）IP地址的控制属性目录安全性IP地址及域名限制5）使用SSL属性目录安全性安全通信,6.2 Web服务的安全,6）其他安全措施停用.bat和.cmd文件的映射功能（启动IMSweb站点属性主目录配置应用程序映射）将脚本程序和数据存储到不同的目录禁止使用Directory Browsing Allowed避免使用Remote Virtual Directories特权最小原则全面测试web服务器的安全性,6.2 Web服务的安全,6.2.2 浏览器的安全性1 Cookie及安全设置Cookie是Web服务器保存在用户硬盘上的一段文本。Cookie允许一个Web站点在用户的电脑上保存信息并且随后再取回它。信息的片断以名/值对(name-value pairs)的形式储存。有些web站点存储的cookies中，会包括登记密码、E-mail地址等信息。因此有不安全因素存在。第一方cookies：指正在浏览网站的cookies，第三方cookies指非正浏览网站的cookies,6.2 Web服务的安全,1）禁止个别cookies工具Internet选项隐私（站点）2）cookies的设置工具Internet选项隐私（高级）3）通过注册表禁止cookies，删除注册表中的：HKEY-LOCAL-MACHINESOFTWAREMicrosoftwindowscurrentversionInternetsettingscachespecial pathscookies,6.2 Web服务的安全,2 ActiveX及安全设置ActiveX是Microsoft提出的一组使用COM（Component Object Model，部件对象模型）使得软件部件在网络环境中进行交互的技术集。它与具体的编程语言无关，可以理解为一组软件组件或对象，可以将其插入到WEB网页或其它应用程序中。ActiveX被广泛应用于WEB服务器以及客户端的各个方面。同时，ActiveX技术也被用于方便地创建普通的桌面应用程序。ActiveX的动态性、交互性、跨平台性工具Internet选项安全自定义级别,6.2 Web服务的安全,6.2 Web服务的安全,3 Java语言及安全设置Java Applet嵌入HTML语言，通过主页发布到Internet。用户载入Applet，就可以生成多媒体的用户界面或完成复杂的应用。Java语言可以把静态的超文本文件变成可执行应用程序，增强可交互操作性。工具Internet选项安全自定义级别,6.3 FTP服务的安全,安装IIS后，就可以设置FTP服务6.3.1 目录安全设置FTP站点的目录权限是对全体访问该目录的用户都生效。ISMFTP属性6.3.2 用户验证控制6.3.3 IP地址限制访问6.3.4 其他安全措施 确保FTP用户无法进入FTProot目录以外的目录 避免使用远程虚拟目录 启动日志记录功能 最小化原则 和 全面测试FTP服务器,6.4 电子邮件服务的安全,6.4.1 E-mail工作原理及安全漏洞一个邮件系统的传输包含了邮件用户代理（MUA）、邮件传输代理（MTA）两部分。前者是用户端软件，后者是在服务器端运行的软件。1 本地邮件传递过程（发件人邮箱和接收人邮箱在一个邮件服务器中）1）客户端软件利用TCP连接端口，将电子邮件发送到邮件服务器，保存到邮件队列中2）邮件服务器判定本地，将信件发送到接收者邮箱3）收信人连接到邮件服务器，用pop或IMAP通信协议下载或直接读取邮件,2 远程邮件传递过程1）客户端软件利用TCP端口，将邮件发送到本地邮件服务器，保存在邮件队列中2）邮件服务器判定收信人属于远程网络，则向DNS请求解析远程邮件服务器的IP地址3）本地邮件服务器利用SMTP协议将邮件转发到远程邮件服务器中4）收信人连接到邮件服务器下载或直接读取电子邮件,6.4 电子邮件服务的安全,6.4 电子邮件服务的安全,发送邮件,邮件服务器放入队列,本地邮件,收件箱,DNS服务器做域名解析,退回邮件,收件箱,放入队列,重发,6.4.2 安全风险1 E-mail漏洞E-mail的存储转发方式，使E-mail服务器易受到攻击2 匿名转发查找到提供匿名邮件发送的邮件服务器或专门的软件如ghost mail等3 E-mail诈骗4 垃圾邮件,6.4 电子邮件服务的安全,6.4.3 安全措施1）借助防火墙对进入邮件服务器的邮件进行控制2）对重要的电子邮件加密传送、做数字签名3）防范邮件炸弹和垃圾邮件4）检查邮件的来源及完整性5）查毒6）设置“黑名单”6.4.4 IIS-SMTP服务安全IMSSMTP虚拟服务器属性,6.4 电子邮件服务的安全,6.4 电子邮件服务的安全,6.4.5 Outlook Express（Foxmail）安全1 定义接收邮件的规则“工具”-“邮件规则”（“邮箱”-“过滤器”，“工具”-“反垃圾邮件功能设置”）2 邮件加密、签名“新邮件”-“工具”-加密、数字签名,
