Information Security Course and Laboratories (ISCAL) 资讯安全课程 ....PPT

資訊安全政策主導組織的安全活動，而防火牆政策則在描述如何安排及設定防火牆來實踐資訊安全政策。如果沒有清楚的防火牆政策，管理員對防火牆的管理會無所適從，資訊安全事件也將層出不窮。 防火牆政策決定防火牆如何處理應用程式的資訊流，要先以風險評鑑瞭解每個應用的弱點和所受的威脅，據此訂定防火牆政策。 訂定防火牆政策的步驟如下： 識別必須要的網路應用。 識別每個應用的安全弱點。 強化這些應用的安全性所需要的成本分析。 產生應用資訊流矩陣 (application traffic matrix) 顯示保護方法。 依據應用資訊流矩陣來產生防火牆規則。 網路應用 位置 內部主機類型 主機安全政策 防火牆政策 (內) 防火牆政策 (外) Finger 任何 Unix TCP Wrapper 允許 拒絕 任何 PC – TCP/IP 無 允許 允許 FTP 任何 Unix 不可匿名；ID/密碼；SSH 允許 使用者認證 任何 PC – TCP/IP 限客戶端；防毒 允許 使用者認證 TFTP 任何 無磁碟之 Unix 伺服器 安全模式；只允許於有限的目錄 允許本地領域，拒絕其它 拒絕 任何 所有其它之 Unix 關閉 拒絕 拒絕 任何 PC – TCP/IP 關閉 拒絕 拒絕 Telnet 任何 Unix SSH 允許 使用者認證 任何 PC – TCP/IP 限客戶端 允許 使用者認證 任何 路由器/防火牆 雙密碼；代符認證 代符認證 拒絕 NFS 任何 Unix 限制輸出 拒絕，除非書面授權 拒絕 任何 PC – TCP/IP 限客戶端 拒絕 拒絕 NetBIOS 任何 Windows 限制分享的存取 允許本地領域，拒絕其它 拒絕 對於外部進入的封包，防火牆的預設值 (default) 應設為「除了規則允許的，其餘拒絕」；而不是「除了規則拒絕的，其餘允許」。 防火牆規則應該拒絕以下種類的資訊流： 由不明外部系統所傳來的封包，目的位址是防火牆自己。這一類的封包常是對防火牆的探測或攻擊。 外部進入的封包，但來源位址卻標示為內部的位址。這種封包通常是某種欺騙的攻擊。 外部進入的 ICMP (Internet control message protocol) 例如 ping。由於 ICMP 會透露太多網路訊息，所由外部進入的 ICMP 應予阻擋。 由不明外部系統所傳來的 SNMP (simple network management protocol)。這種封包很可能代表外部入侵者正在探測內部網路。 往內或往外的封包有任一位址為 者。有的作業系統對這個位址有特殊的定義，所以常被攻擊者利用。 防火牆一旦故障，內部網路門戶洞開，即使很短的時間都足以讓長期覬覦的駭客有可乘之機。 防火牆備援及故障復原的方法很多。一種是使用網路交換器，它持續監視使用中的防火牆，一旦故障就將所有的流量導入備援防火牆。通常交換器可以偽裝成它後面這兩個防火牆，所以當使用中防火牆故障時，交換到備援系統這個動作不影響進行中的會談。 另一種比較便宜的方法是當使用中的防火牆故障時，使用稱做「心跳 (heartbeat) 」的機制啟動備援防火牆。這種方法就無法避免進行中的會談會中斷。 2000年九月，全球首屈一指的金融服務機構 Western Union 關閉網站五天，因為遭到駭客入侵並盜走一萬五千筆信用卡資料。駭客利用系統維修時沒有防火牆的十五分鐘空檔入侵。 應該阻擋以下類型的檔案進入網路及系統，尤其是以電子郵件的附件形態。這些檔案大多是可執行檔。 以下檔案類型的意義及特性可以參考以下網站： / .ade .cmd .eml .ins .mdb .mst .reg .url .wsf .adp .com .exe .isp .mde .pcd .scr .vb .wsh .bas .cpl .hlp .js .msc .pif .sct .vbe .bat .crt .hta .jse .msi .pl .scx .vbs .chm .dll .inf .lnk .msp .pot .shs .wsc 如果防火牆架設在作業系統上，例如 Windows 或 UNIX，則應注意： 移除作業系統上非必要的應用程式。 強化作業系統對攻擊的防禦能力。 及時安裝作業系統的更新與補丁。 定時進行防火牆之備份 (backup)，應使用防火牆內建的機制將備份儲存在磁帶等媒體上。專做集中備份的伺服器並不適合用來備份防火牆，以免產生網路安全漏洞。 防火牆要能記錄各種資訊安全活動，管理員應每天檢視記錄。防火牆及入侵偵測系統應使用 NTP 等時間同步機制，藉由同步記錄可以還原資訊安全事件的發生狀況。 Information Security Fundamentals and Practices - 9