第五章应用层安全技术.ppt

计算机网络安全基础 计算机网络安全基础 计算机网络安全基础 第5章 应用层网络安全技术 1 因特网的应用层安全隐患 2. Web站点安全 3.安全电子邮件 4. SSH—保护TELNET和FTP 5. DNS安全协议 6. SNMP安全协议 因特网的应用层安全隐患 电子邮件（SNMP和POP3） 文件传输（FTP） 远程登录（Telnet） 域名服务（DNS） 万维网（WWW） 网络管理协议（SNMP） WWW服务 浏览器一般只能理解基本的数据格式如 HTML、JPEG和GIF格式，对其它的数据格式，浏览器要通过外部程序来观察，因此其中的数据可能对系统造成危害，攻击者经常利用http协议进行攻击。 www服务易受攻击的另一个原因: 默认情况下该服务是完全开放的，任何人都可以在任何地方访问该服务，没有鉴别和机密性保护。 文件传输（FTP） 匿名FTP是ISP的一项重要服务，它允许用户通过FTP，访问FTP服务器上的文件，而不正确的配置将严重威胁系统的安全。FTP的使用者可能利用这些配置上的缺陷对系统造成破坏，因此需要保证使用它的人不会申请系统上其它的区域或文件，也不能对系统做任意的修改。 对于非匿名的访问，FTP亦缺乏严格的身份鉴别机制，这些原因使得FTP可能成为攻击者的目标。 远程登录（Telnet） Telnet早期是比较安全的，它要用户认证。但Telnet送出的所有信息是不加密的，很容易被攻击者攻击。现在Telnet被认为是最危险的服务之一 域名服务（DNS） DNS采用简单的查询和应答机制，记录数据没有保护措施，通信过程没有鉴别，因此DNS容易成为攻击者的攻击目标或利用它作为攻击手段。 电子邮件（SNMP和POP3） E-mail在Internet上传输，在其所经过网络上的任一系统管理员或攻击者都有可能截获和更改该邮件，甚至伪造E-mail。因此，电子邮件和SNMP面临的安全威胁十分突出，如E_mail欺骗、E_mail炸弹、电子邮件携带病毒等。E_mail炸弹可能导致邮件的溢出，而“特洛伊木马”也可携带在邮件系统中，从而对接受者的系统造成危害。 构建安全WEB应用 排除站点中的安全漏洞 （1）物理的漏洞由未授权人员访问引起，他们可能浏览那些敏感数据。 （2）软件漏洞是由“错误授权”的应用程序引起。例如脚本和Applet ，它会执行不应执行的功能。因此不要轻易相信脚本和Applet，使用时应确信能掌握它们的功能。 （3）不兼容问题漏洞是由不良系统集成引起。一个硬件或软件运行时可能工作良好，一旦和其它设备集成后（例如作为一个系统），就可能会出现问题。这类问题很难确认，所以对每一个部件在集成进入系统之前，都必须进行测试。 （4）缺乏安全策略。如果用户用他们的电话号码作为口令，无论口令授权体制如何安全都没用。必须有一个包含所有安全必备的安全策略。 增强Web服务器安全特性的策略 （1）认真配置服务器，使用它的访问和安全特性。 （2）可将Web服务器当作无权的用户运行。 （3）检查驱动器和共享的权限，将系统设为只读状态。 （4）可将敏感文件放在基本系统中，再设二级系统，所有的敏感数据都不向因特网开放。 （5）检查 HTTP服务器使用的Applet脚本和客户交互作用的CGI脚本。防止外部用户执行内部指令。 （6）使用安全协议，如HTTPS/SHTTP/IPSEC等。 监视控制Web站点的访问 为了防止和追踪黑客闯入和内部滥用，需要对Web站点上的出入情况进行监视控制。 （1）服务器日常受访次数是多少？受访次数增加了吗？ （2）用户从那里连接的？ （3）一周中哪天最忙？一天中何时最忙？ （4）服务器上哪类信息被访问？哪些页面最受欢迎？每个目录下有多少页被访问？ （5）每个目录下有多少用户访问？访问站点的是哪些浏览器？与站点对话的是哪种操 作系统？ （6）更多的选择哪种提交方式？ 监视控制Web站点的访问 （7）确定访问次数：访问次数指标直接影响安全保护，也会促进安全性的提高和改善。 确定站点访问次数。访问次数是一个原始数字，仅仅描述了站点上文件下载的平均数目。 确定站点访问者数目。得到的数据是站点上某个文件被访问的次数。显然，将访问次数与主页文件联系在一起时，该数字接近于某个时期内访问者数目，但也不是百分之百的准确。 HTTP安全协议 可使用HTTPS（HTTP over SSL）和S-HTTP（Secure HyperText Transfer Protocol）对HTTP协议数据包进行加密和鉴别。 SHTTP 安全超文本传输协议S-HTTP是EIT公司结合 HTTP 而设计的一种消息安全通信协议。S-HTT