第3章网络安全管理概述ppt课件.ppt

《第3章网络安全管理概述ppt课件.ppt》由会员分享，可在线阅读，更多相关《第3章网络安全管理概述ppt课件.ppt（47页珍藏版）》请在三一办公上搜索。

1、第3章 网络安全管理概述,主编贾铁军 副主编陈国秦 苏庆刚 沈学东编著 王坚 王小刚 宋少婷,上海教育高地建设项目高等院校规划教材,网络安全技术及应用,（第2版）,上海市精品课程 网络安全技术,目 录,目 录,教学目标,掌握网络安全管理概念、任务、法律法规与取证、评估准则和方法 理解网络安全管理规范及策略、原则和制度 了解网络安全规划的主要内容和原则 掌握Web服务器的安全设置与管理实验,重点,重点,3.1 网络安全管理概念和任务,3.1.1 网络安全管理概念及目标,美国军网出现重大泄密，总统专机结构曝光。美国空军一个网站，在2006年4月出现重大泄密，透露出布什总统专机“空军一号”反导防御系

2、统等机密信息。从此网站的一份政府文件中，可以轻易地浏览两架“空军一号”详细的内部结构图，包括专机内特工人员所处的位置，以及为专机提供服务的供氧地点，声称恐怖分子可能引爆其氧气罐。,案例3-1,3.1.1 网络安全管理的概念及目标 1.网络安全管理的概念,ISO定义网络管理(Network Management)是规划、监督、组织和控制计算机网络通信服务，以及信息处理所必需的各种活动。狭义的网络管理主要指对网络设备、运行和网络通信量的管理。现在，网络管理已经突破了原有的概念和范畴。其目的是提供对计算机网络的规划、设计、操作运行、管理、监视、分析、控制、评估和扩展的手段，从而合理地组织和利用系统资

3、源，提供安全、可靠、有效和友好的服务。网络管理的实质是对各种网络资源进行监测、控制、协调、报告故障等。网络安全管理（Network Security Management）通常是指以网络管理对象的安全为任务和目标所进行的各种管理活动，是与安全有关的网络管理，简称安全管理。由于网络安全对网络信息系统的性能、管理的关联及影响更复杂更密切，网络安全管理逐渐成为网络管理中的一个重要分支，正受到业界及用户的广泛关注。网络安全管理需要综合网络信息安全、网络管理、分布式计算、人工智能等多个领域知识和研究成果，其概念、理论和技术正在不断发展完善之中。,3.1 网络安全管理概念和任务,2.网络安全管理的目标,计

4、算机网络安全是一个相对性的概念，世界上没有绝对的安全。网络管理的目标是确保计算机网络的持续正常运行，使其能够有效、可靠、安全、经济地提供服务，并在计算机网络系统运行出现异常时能及时响应并排除故障。网络安全管理的目标是：在计算机网络的信息传输、存储与处理的整个过程中，提供物理上、逻辑上的防护、监控、反应恢复和对抗的能力，以保护网络信息资源的保密性、完整性、可用性、可控性和可审查性。其中保密性、完整性、可用性是信息安全的基本要求。网络信息安全5大特征,反映了网络安全管理的具体目标要求。,3.1 网络安全管理概念和任务,3.1.2 网络安全管理的内容和体系1.网络安全管理的内容,开放系统互连参考模型

5、OSI/RM（Open System Interconnection Reference Model）中的安全管理主要是指对除通信安全服务之外的、支持和控制网络安全所必须的其他操作所进行的管理。OSI/RM的安全管理包括：系统安全管理、安全服务管理和安全机制管理。,现代网络管理内容可用OAMP（Operation,Administration,Maintenance and Provisioning，运行、管理、维护和提供）概括，主要包括：故障指示、性能监控、安全管理、诊断功能、网络和用户配置等。网络安全管理的具体对象包括涉及的机构、人员、软件、设备、场地设施、介质、涉密信息及密钥、技术文档、

6、网络连接、门户网站、应急恢复、安全审计等。,3.1 网络安全管理概念和任务,3.1.2 网络安全管理的内容和体系1.网络安全管理的内容,网络安全管理所涉及的内容，可概括为以下五个方面。(1)实体安全管理(2)运行安全管理(3)系统安全管理(4)应用安全管理(5)综合安全管理 网络安全管理所涉及的相关内容及其关系如图3-1所示。以综合安全管理为保障，实体及运行安全管理为基础，以系统安全管理、运行安全管理和应用安全管理为重点，确保网络正常服务。,3.1 网络安全管理概念和任务,图3-1 网络安全管理内容,2.网络安全管理体系（1）TCP/IP网络安全管理体系 TCP/IP网络安全管理体系结构，如图

7、3-2所示。包括三个方面：分层安全管理、安全服务与机制、系统安全管理。,3.1 网络安全管理概念和任务,图3-2 TCP/IP网络安全管理体系结构,网络系统安全,3.1 网络安全管理概念和任务,（2）网络安全管理与体系结构的关系 网络安全保障体系包括五个部分：1)网络安全策略。2)网络安全政策和标准。3)网络安全运作。4)网络安全管理5)网络安全技术。对于OSI网络安全体系，主要涉及网络安全机制和网络安全服务两个方面，需要通过网络安全管理进行具体实施。其中的网络安全机制和网络安全服务包括：1）网络安全机制。2）网络安全服务。,3.1 网络安全管理概念和任务,3网络管理与安全技术的结合,泰科安防

8、/安达泰ADT安全网管平台。是针对企事业机构大中规模虚拟专用网VPN网络管理的解决方案，可通过该平台实现对ADT系列安全网关以及第三方的VPN设备进行全面的集中管理、监控、统一认证等功能。网管平台由4部分组成：安全网关单机配置软件(Sure Console)、策略服务平台(Sure Manager)、网关监控平台(Sure Watcher)和数字证书平台(Sure CA)。基于ADT安全网管平台可以快速高效工作，一个具备上千个节点的VPN网络，可在短暂时间内完成以前需要几个月才能完成的繁重网络管理和调整任务。,案例3-2,*网络安全管理与安全技术相关内容及其相互关系，如图所示。,图 网络安全管

9、理与安全技术相关内容,3.1 网络安全管理概念和任务,网络安全管理的功能包括：计算机网络的运行（Operation）、管理（Administration）、维护（Maintenance）、提供服务（Provisioning）等所需要的各种活动，可概括为OAM&P。网络安全管理的任务是保证网络信息资源应用安全和信息载体的运行安全。安全管理的要求是达到管理对象所需要的安全级别，将风险控制在可接受的程度。基本任务包括：1)评估网络系统整体安全，及时掌握企事业机构现有网络系统的安全状况，根据具体的风险分析和工作的重要程度及安全需求，确定系统的安全等级。2)根据具体的安全等级要求，确定安全管理的具体范围

10、、职责和权限等。3)健全和完善企事业单位网络中心及重要机房人员出入管理制度。4)注重严格的操作规程和策略，如安全设置、确定主机与网络加固防护等。5)制订并实施具体的应急及恢复的措施、技术和方法。6)建立健全完备的系统维护制度，采用加密机制及密钥管理。7)集中监控和管理所有安全软硬件产品，通过企事业机构网络系统的一个统一的界面实现对所有安全产品的统一配置管理，将各类安全提示警告及日志信息以过滤和管理处理方式进行显示，可极大地缩短发现问题的时间，提升安。8)集中软件安全漏洞及隐患补丁的下载、分发、升级和审计，形成一种集中的管理机制来保证企事业单位各系统补丁的及时安装与更新。9)加强系统监控，及时发

11、现网络突发的异常流量，并及时进行分析处理。,3.1 网络安全管理概念和任务,3.1.3 网络安全管理的任务及过程1.网络安全管理的任务,2.网络安全管理的过程,网络安全管理工作的过程，遵循如下PDCA循环模式的4个基本过程：（1）制定规划和计划（Plan）。（2）落实执行（Do）。（3）监督检查（Check）。（4）评价行动（Action）。安全管理模型PDCA持续改进模式如图3-2所示。,图3-2 安全管理模型PDCA持续改进模式,3.1 网络安全管理概念和任务,3.2 网络安全法律法规及取证,网络犯罪案件不断上升。瑞星公司曾经在发布的中国电脑病毒疫情互联网安全报告称，黑客除了通过木马程序窃

12、取他人隐私外，更多的是谋求经济利益，2007年，病毒(木马)背后所带来的巨大的经济利益催生了病毒“工业化”入侵的进程，并形成了数亿元的产业链。“熊猫烧香”的程序设计者李俊，被警方抓获后，承认自己每天入账收入近万元，共获利上千万元。腾讯公司QQ密码被盗成为黑客的重灾区，高峰时期每天大约10万人次反映QQ密码被盗。国内一著名的网络游戏公司遭到长达10天的网络攻击，服务器全面瘫痪，其经营的网络游戏被迫停止，损失高达3460万元人民币。,3.2.1国外网络安全相关的法律法规,1.国际合作立法打击网络犯罪 20世纪90年代以来，很多国家为了有效打击利用计算机网络进行的各种违反犯罪活动，都采取了法律手段。

13、分别颁布网络刑事公约,信息技术法,计算机反欺诈与滥用法等。欧盟、印度、美国。,案例3-2,3.2 网络安全的法律法规,2.综合性和原则性的基本法 世界一些国家，除了制定保障网络健康发展的法规以外，还专门制定了综合性的、原则性的网络基本法。3.行业自律、民间管理及道德规范 国际上各国在规范网络行为方面，都很注重发挥民间组织的作用，特别是行业自律作用。,3.2 网络安全的法律法规,我国从网络安全管理的需要出发，从20世纪90年代初开始，国家及相关部门、行业和地方政府相继制定了多项有关网络安全的法律法规。我国网络安全立法体系分为以下三个层面：第一层面:法律.全国人民代表大会及其常委会通过的法律规范。

14、宪法-刑法-刑事诉讼法-治安管理处罚条例-国家安全法 第二个层面：行政法规。主要指国务院为执行宪法和法律而制定的法律规范。-计算机信息系统安全保护条例，计算机信息网络国际联网管理暂行规定、保护管理办法、密码管理条例、电信条例、互联网信息服务管理办法、计算机软件保护条例等,3.2.2我国网络安全相关的法律法规,3.2 网络安全的法律法规,第三个层面：地方性法规、规章、规范性文件 公安部制定的计算机信息系统安全专用产品检测和销售许可证管理办法、计算机病毒防治管理办法、金融机构计算机信息系统安全保护工作暂行规定、关于开展计算机安全员培训工作的通知等。工业和信息化部制定的互联网电户公告服务管理规定软件

15、产品管理办法计算机信息系统集成资质管理办法国际通信出入 口局管理办法、国际通信设施建设管理 规定、中国互联网络域名管理办法电信网间互联管理暂行规定等。,3.2.2我国网络安全的法律法规,3.2 网络安全的法律法规,1.电子证据的概念及种类 1）电子证据(Digital Evidence)是指基于电子技术生成、以数字化形式存在于磁盘、光盘、存储卡、手机等各种电子设备载体，其内容可与载体分离，并可多次复制到其他载体的文件。概括了“电子证据”的三个基本特征：数字化的存在形式；不固定依附特定的载体；可以多次原样复制。并具有无形性、多样性、客观真实性、易破坏性等特征。2）电子证据的种类。分为:字处理文件

16、。利用文字处理系统形成的文件。各种生成的文件不能兼容，使用不同代码规则形成的文件也不能直接读取。所有这些软件、系统、代码连同文本内容一起，构成了字处理文件的基本要素。图形处理文件。由专门的软件系统辅助设计或辅助制造的图形数据，通过图形可直观了解非连续性数据间的关系，使复杂信息变得生动明晰。数据库文件。由原始数据记录所组成的文件，只有经过整理汇总后，才具有实际用途和价值。程序文件。计算机是人机交流工具，软件由若干个程序文件组成。影音像文件。,*3.2.3电子证据与取证技术,3.2 网络安全的法律法规,2.电子证据收集处理与提交1）电子证据收集。2）电于数据的监测技术。3）保全技术。4）电子证据处

17、理及鉴定技术。5）电子证据提交技术。3.计算机取证技术1）计算机取证的法律效力。2）电子证据的真实性。3）电子证据的证明力。4）计算机取证设备和工具。【注意】在计算机取证工具中可能存在两类错误：工具执行错误和提取错误。,*3.2.3电子证据与取证技术,3.3 网络安全评估准则和测评,1.美国可信计算系统评价准则TCSEC 1983年由美国国防部制定的5200.28安全标准可信计算系统评价准则TCSEC，即网络安全橙皮书或桔皮书，主要利用计算机安全级别评价计算机 系统的安全性。它将安全分为4个方面（类别）：安全政策、可说明性、安全 保障和文档。将这4个方面（类别）又分为7个安全级别，从低到高为D

18、、C1、C2、B1、B2、B3和A级。数据库和网络其他子系统也一直用橙皮书来进行评估。橙皮书将安全的级别从低到高分成4个类别：D类、C类、B类和A类，并分为7个级别。如表3-1所示。,3.3.1 国外网络安全评估标准,3.3 网络安全评估准则和测评,表3-1 网络系统安全级别分类,3.3.1 国外网络安全评估标准,3.3 网络安全评估准则和测评,2欧洲信息技术安全评估标准 ITSEC,信息技术安全评估标准ITSEC，俗称欧洲的白皮书，将保密作为安全增强功能，仅限于阐述技术安全要求，并未将保密措施直接与计算机功能相结合。ITSEC是欧洲的英国、法国、德国和荷兰等四国在借鉴橙皮书的基础上联合提出的

19、。橙皮书将保密作为安全重点，而ITSEC则将首次提出的完整性、可用性与保密性作为同等重要的因素，并将可信计算机的概念提高到可信信息技术的高度。,美国联邦准则FC标准参照了加拿大的评价标准CTCPEC 与橙皮书TCSEC，目的是提供TCSEC的升级版本，同时保护已有建设和投资。FC是一个过渡标准，之后结合ITSEC发展为联合公共准则。,3美国联邦准则(FC)标准,3.3 网络安全评估准则和测评,4通用评估准则(CC),通用评估准则CC主要确定了评估信息技术产品和系统安全性的基本准则，提出了国际上公认的表述信息技术安全性的结构，将安全要求分为规范产品和系统安全行为的功能要求，以及解决如何正确有效的

20、实施这些功能的保证要求。CC结合了FC及ITSEC的主要特征，强调将网络信息安全的功能与保障分离，将功能需求分为9类63族，将保障分为7类29族。CC的先进性体现在其结构的开放性、表达方式的通用性，以及结构及表达方式的内在完备性和实用性四个方面。目前，中国测评中心主要采用CC等进行测评，具体内容及应用可以查阅相关网站。,3.3 网络安全评估准则和测评,5ISO 安全体系结构标准,国际标准ISO7498-2-1989信息处理系统开放系统互连、基本模型第2部分安全体系结构，为开放系统标准建立框架。主要用于提供网络安全服务与有关机制的一般描述，确定在参考模型内部可提供这些服务与机制。提供了网络安全服

21、务，如表3-2所示。,表3-2 ISO提供的安全服务,3.3 网络安全评估准则和测评,目前，国际上通行的与网络信息安全有关标准可分为3类，如图3-7所示。,图3-7 有关网络和信息安全标准种类,3.3 网络安全评估准则和测评,3.3.2 国内网络安全评估准则,1系统安全保护等级划分准则 1999年国家质量技术监督局批准发布系统安全保护等级划分准则,依据GB-17859计算机信息系统安全保护等级划分准则和GA-163计算机信息系统安全专用产品分类原则等文件,将系统安全保护划分为5个级别,如表3-3所示。,3.3 网络安全评估准则和测评,2006年公安部修改制订并实施信息安全等级保护管理办法（试行

22、）。将我国信息安全分五级防护，第一至五级分别为：自主保护级、指导保护级、监督保护级、强制保护级和专控保护级 2我国信息安全标准化现状 中国信息安全标准化建设，主要按照国务院授权，在国家质量监督检验检疫总局管理下，由国家标准化管理委员会统一管理标准化工作，下设有255个专业技术委员会。从20世纪80年代开始，积极借鉴国际标准，制定了一批中国信息安全标准和行业标准。从1985年发布第一个有关信息安全方面的标准以来，已制定、报批和发布近百个有关信息安全技术、产品、测评和管理的国家标准，并正在制定和完善新的标准。,3.3 网络安全评估准则和测评,3.3.3 网络安全的测评,1.测评目的和方法 1)网络

23、安全测评目的 网络安全测评目的包括：(1)搞清企事业机构具体信息资产的实际价值及状况；(2)确定机构具体信息资源的安全风险程度；(3)通过调研分析搞清网络系统存在的漏洞隐患及状况;(4)明确与该机构信息资产有关的风险和需要改进之处;(5)提出改变现状的建议和方案，使风险降到可最低；(6)为构建合适的安全计划和策略做好准备。,3.3 网络安全评估准则和测评,2)网络安全测评类型 一般通用的测评类型分为5个：(1)系统级漏洞测评。(2)网络级风险测评。(3)机构的风险测评。(4)实际入侵测试。(5)审计。,3)调研与测评方法 收集信息有3个基本信息源：调研对象、文本查阅和物理检验。调研对象主要是与

24、现有系统安全和组织实施相关人员，重点是熟悉情况和管理者。测评方法：网络安全威胁隐患与态势测评方法、模糊综合风险测评法、基于弱点关联和安全需求的网络安全测评方法、基于失效树分析法的网络安全风险状态测评方法、贝叶斯网络安全测评方法等，具体方法可以通过网络进行查阅。,3.3 网络安全评估准则和测评,2测评标准和内容,2测评标准和内容(1)测评前提.(2)依据和标准。(3)测评内容。3.安全策略测评(1)测评事项。(2)测评方法。(3)测评结论。4.网络实体安全测评(1)测评项目。(2)测评方法。(3)测评结论。5.网络体系的安全性测评 1)网络隔离的安全性测评(1)测评项目。(2)测评方法。(3)测

25、评结论。2)网络系统配置安全性测评(1)测评项目。(2)测评方法和工具.(3)测评结论。3)网络防护能力测评 4)服务的安全性测评 5)应用系统的安全性测评,测评因素-设备环境-质量安全可靠性-运行环境-管理员,用网络规划及设计报告-安全需求分析报告,风险测评报告,安全目标-策略有效性,网络设施-配电-服务器-交换机-路由-主机房-工作站-运行环境,3.3 网络安全评估准则和测评,讨论思考（1）橙皮书将安全的级别从低到高分成哪4个类别和7个级别？（2）国家将计算机安全保护划分为哪5个级别？（3）网络安全测评事项主要有哪些方面？,11.安全组织和管理测评(1)测评项目(2)测评方法(3)测评结论

26、,6.安全服务的测评(1)测评项目。(2)测评方法。(3)测评结论。7.病毒防护安全性测评(1)测评项目。(2)测评方法。(3)测评结论。8.审计的安全性测评(1)测评项目.(2)测评方法。(3)测评结论。9.备份的安全性测评(1)测评项目。(2)测评方法。(3)测评结论。10.紧急事件响应测评(1)测评项目。(2)测评方法。(3)测评结论。,*3.4 网络安全策略及规划,3.4.1 网络安全策略概述,网络安全策略是在指定安全区域内，与安全活动有关的一系列规则和条例，包括对企业各种网络服务的安全层次和权限的分类，确定管理员的安全职责，主要涉及4个方面：实体安全策略、访问控制策略、信息加密策略和

27、网络安全管理策略。,网络安全策略包括总体安全策略和具体安全管理实施细则。1）均衡性原则 2）时效性原则 3）最小限度原则,1网络安全策略总则,*3.4 网络安全策略及规划,2安全策略的内容,根据不同的安全需求和对象，可以确定不同的安全策略。主要包括入网访问控制策略、操作权限控制策略、目录安全控制策略、属性安全控制策略、网络服务器安全控制策略、网络监测、锁定控制策略和防火墙控制策略等8个方面的内容。同时侧重：（1）实体与运行环境安全（2）网络连接安全（3）操作系统安全（4）网络服务安全（5）数据安全（6）安全管理责任（7）网络用户安全责任,*3.4 网络安全策略及规划,3网络安全策略的组成与实施

28、,1)网络安全策略的组成 安全策略是网络安全管理过程的重要内容和方法。网络安全策略包括3个重要组成部分：安全立法、安全管理、安全技术。2)安全策略的实施(1)存储重要数据和文件。(2)及时更新加固系统。(3)加强系统检测与监控。(4)做好系统日志和审计。,*3.4 网络安全策略及规划,3.4.2 网络安全规划基本原则,网络安全规划的主要内容：规划基本原则、安全管理控制策略、安全组网、安全防御措施、审计和规划实施等。规划种类较多，其中，网络安全建设规划可以包括：指导思想、基本原则、现状及需求分析、建设政策依据、实体安全建设、运行安全策略、应用安全建设和规划实施等。,制定网络安全规划的基本原则,重

29、点考虑6个方面:（1）统筹兼顾;（2）全面考虑;（3）整体防御与优化;（4）强化管理;（5）兼顾性能;（6）分步制定与实施.讨论思考 1.网络安全的策略有哪些？如何制定和实施？2.网络安全规划的基本原则有哪些？,讨论思考（1）网络安全的策略有哪些？如何制定和实施？（2）网络安全规划的基本原则有哪些？,*3.5 网络安全管理原则及制度,为了加强网络系统安全,网络安全管理应坚持基本原则:l）多人负责原则 2)有限任期原则 3)职责分离原则 4)严格操作规程 5）系统安全监测和审计制度 6）建立健全系统维护制度 7）完善应急措施 另将网络安全指导原则概括为4个方面：适度公开原则、动态更新与逐步完善原

30、则、通用性原则、合规性原则。,3.5.1网络安全管理的基本原则,*3.5 网络安全管理原则及制度,网络安全管理的制度：人事资源管理、资产物业管理、教育培训、资格认证、人事考核鉴定制度、动态运行机制、日常工作规范、岗位责任制度等。1完善管理机构和岗位责任制 计算机网络系统的安全涉及整个系统和机构的安全、效益及声誉.系统安全保密工作最好由单位主要领导负责,必要时设置专门机构.重要单位、要害部门安全保密工作分别由安全、保密、保卫和技术部门分工负责.常用的网络安全管理规章制度包括7个方面：（1）系统运行维护管理制度。（2）计算机处理控制管理制度。（3）文档资料管理。（4）操作及管理人员的管理制度。（5

31、)机房安全管理规章制度。（6）其他的重要管理制度。（7）风险分析及安全培训。,3.5.2 网络安全管理机构和制度,*3.5 网络安全管理原则及制度,所有领导机构、重要计算机系统的安全组织机构，包括安全审查机构、安全决策机构、安全管理机构，都要建立和健全各项规章制度。完善专门的安全防范组织和人员。制定人员岗位责任制，严格纪律、管理和分工。专职安全管理员负责安全策略的实施与更新。安全审计员监视系统运行情况，收集对系统资源的各种非法访问事件，并进行记录、分析、处理和上报。保安人员负责非技术性常规安全工作，如系统场所的警卫、办公安全、出入门验证等。,3.5 网络安全管理原则及制度,互联网安全人人责任，

32、网络商更负有重要责任。应加强与相关业务往来单全机构的合作与交流，密切配合共同维护网络安全，及时获得必要的安全管理信息和专业技术支持与更新。国内外也应进一步加强交流与合作，拓宽国际合作渠道，建立政府、网络安全机构、行业组织及企业之间多层次、多渠道、齐抓共管的合作机制。,3坚持合作交流制度,讨论思考（1）网络安全管理的基本原则有哪些？（2）网络安全规划指导原则主要包括哪4个方面？（3）建立健全网络安全管理机构和规章制度，需要做好哪些方面？,3.7.1 实验目的 WEB服务器的安全设置与管理实验是网络安全管理的主要工作，通过实验使学生可以较好地掌握WEB服务器的安全设置与管理的内容、方法和过程，为理

33、论联系实际，提高对服务器安全管理、分析问题和解决问题的实际能力，有助于更好地为未来就业从事网管员或信息安全员工作奠定基础。3.7.2 实验要求及方法 在WEB服务器的安全设置与管理实验过程中，应当先做好实验的准备工作，实验时注意掌握具体的操作界面、实验内容、实验方法和实验步骤，重点是服务器的安全设置（网络安全设置、安全模板设置、WEB服务器的安全设置等）与服务器日常管理实验过程中的具体操作要领、顺序和细节。3.7.3 实验内容及步骤1.服务器准备工作 通常需要先对服务器硬盘进行格式化和分区，格式化类型为NTFS。安装操作系统Windows Server 2012。系统安装过程中应本着最小服务原

34、则，不选择无用的服务，达到系统的最小安装，在安装IIS的过程中，只安装必要的最基本功能。,3.7 WEB服务器的安全设置与管理实验,2.网络安全配置网络安全最基本的设置是端口。在“本地连接属性”，选择“Internet协议（TCP/IP）”，再先后单击“高级”、“选项”及“TCP/IP筛选”。只打开网站服务所需要使用的端口，配置界面如图3-5所示。在进行设置后，从服务器将不能使用域名解析，可以防止一般规模的DDOS攻击，使蛮重外部上网的安全访问。,图3-5 配置打开网站服务所需端口,3.7 WEB服务器的安全设置与管理实验,3.安全模板设置 运行MMC,添加独立管理单元“安全配置与分析”,导入

35、模板basicsv.inf 或securedc.inf，然后选“立刻配置计算机”，系统就会自动配置“帐户 策略”、“本地策略”、“系统服务”等信息，但这些配置可能会导 致某些“被限制”软 件无法运行或运行出 错。如查看设置的IE 禁用网站，则可将该 网站添加到“本地 Intranet”或“受信 任的站点”区域包含 列表中。如图3-6所示。,图3-6 安全配置和分析界面,3.7 WEB服务器的安全设置与管理实验,4.WEB服务器的设置以IIS为例，一定不要使用IIS默认安装的WEB目录，而需要在E盘新建立一个目录。然后在IIS管理器中右击“主机”，选择“属性”和“WWW服务”，在“编辑”中选择“

36、主目录配置”及“应用程序映射”，只保留asp和asa，其余全部删除。5.ASP的安全由于大部分木马都是ASP编写的，因此，在IIS系统上的ASP组件的安全非常重要。ASP木马实际上大部分通过调用Shell.Application、WScript.Shell、WScript.Network、FSO、Adodb.Stream组件实现其功能，除了文件系统对象（File System Object，FSO）之外，其他的大部分可以直接禁用。使用微软提供的URL Scan Tool过滤非法URL访问的工具，可以起到一定防范作用。,3.7 WEB服务器的安全设置与管理实验,6.服务器日常管理服务器管理工作必

37、须规范，特别是多个管理员时，日常管理工作包括：,3.7 WEB服务器的安全设置与管理实验,3.6 本章小结,网络安全管理保障与安全技术紧密结合才能更好地发挥效能。本章简要地介绍网络安全管理的概念、任务、内容、体系和网络安全管理的基本过程。网络安全保障包括：信息安全策略、信息安全管理、信息安全运作和信息安全技术，其中，管理是企业管理行为，主要包括安全意识、组织结构和审计监督；运作是日常管理的行为（包括运作流程和对象管理）；技术是信息系统的行为（包括安全服务和安全基础设施）。网络安全是在企业管理机制下，通过运作机制借助技术手段实现的。“七分管理，三分技术，运作贯穿始终”，管理是关键，技术是保障，其中的网络安全技术包括网络安全管理技术。本章还概述了国外在网络安全方面的法律法规和我国网络安全方面的法律法规，以及计算机取证技术，对震慑和打击计算机犯罪极为重要。介绍了国内外网络安全评估准则和测评有关内容，包括国外网络安全评估准则、国内安全评估通用准则、网络安全评估的目标内容和方法等。同时，概述了网络安全策略和规划，网络安全管理的基本原则，以及健全安全管理机构和制度，最后，联系实际应用，概述了Web服务器的安全设置与管理实验的实验目的、要求、内容和步骤。.网络安全(光盘)陈忠平-清华2011pt.exe,诚挚谢意！,