网亚机房管理软件博客

新实用主义典范

过滤防火墙系统

    针对“Internet全问题”,最为广泛的商业解决方案是防火墙frewall)。防火墙是一台位于本地系统和Internet之间的计算机,用于过滤那些可能会有害的网络流量。很多机构都对这种“盒装式解决方案”的思想有兴趣,该技术被广泛接受,已经被看做是整个机构安全体系中不可或缺的一个基本组成部分(这本身也会带来风险——很多公司在购买时不求最好,只求最贵。

监控局域网内入侵检测系统

     相对于试图防止所有危险的发生而言,防止某些攻击类型,并同时对其他种类的攻击进行必要的检测所付出的代价要小很多:这种用来检测安全事件发生的系统通常称为入侵检测系统(intrusion detection systems):前面章节中讨论的防病毒软件产品就是入侵检测系统的一个实例;但是,这一术语最常用于那些部署在网络中并寻找攻击迹象或被攻陷计算机的软件或设备【1100】。这样的实例包括:
    ◆  来自网络中某台计算机的垃圾邮件。
    ◆  带有伪造源地址的数据包——比如宣称来自子网外部的数据包,或宣称来自子网内部的数据包。
    ◆  某台试图连接“己知的恶意,服务的计算机,比如正被用于控制僵尸网络的IRC通遁。在类似于这样的案例中,IDS实质上会告诉系统管理员某台特定的计算机需要进行净化处理,并重装该计算机上运行的软件。
     入侵检测的其他实例,前面章节中已经看到过,用于检测移动电话复制、银行诈骗等。还有一些银行系统关注客户对信用卡诈骗的抱怨,并试图判断哪个商家泄漏了卡数据,某些股票市场安装了专门的系统,并通过寻找与价格相关的通知发布之前出现的交易量激增和查找可疑活动模式的方式来检测内部人士的交易活动。还有一些由机场安检保存的“可疑”列表,如果你的名字列在其中,就可能会被“随机地”选中进行额外的安检。尽管这些入侵检测系统都执行非常类似的任务,但其开发者彼此之间并不进行很多交流,重复的工作经常可以看到。但这一切慢慢地开始遵循协同的法则,因为美国政府已经在这一问题上花费了数亿美元。
      这一领域的研究实际上始于上世纪90年代中期,原因在于很多系统没有对日志和审计数据进行有效的利用。比如,对Sun公司的操作系统Solas,在1996年我们发现,其审计数据格式并没有文档说明,也没有可用于读取审计数据的可用工具。其审计功能实现的目的看起来是满足采购部门的正式检查列表要求,而并非执行任何有用的功能。至少可以期望,提高审计功能将有助于系统管理员检测攻击,不管是在攻击生效后还是攻击正在进行中。当然,自9.11以来,关注的重点已转移到对大规模的政府数据与商业数据进行数据挖掘。
      1.入侵检测的类型
      最简单的入侵检测方法是在超过阈值时发出告警信息0 3次或者更多次的登录失败、信用卡的支出情况在最近的3个月中超过2次提取可使用钱款、或者移动电话呼叫持续时间超过6个小时,这些情况都应该对相应账号进行标记,从而引起注意。更复杂的系统通常可归为两类。
      第一类叫做误用检测(misuse dete!Ction)系统,使用入侵者可能的行为方式作为模型。比如,在银行系统中,如果某用户连续3天从提款机中提取超过最大允许提取数额的钱款,就会发出告警信息;在unix的入侵检测系统中,如果本来很初级的用户使用编译器等复杂工具,就会发出告警,并判断是否有账号被攻击者接管。实际上,大多数误用检测系统,像反病毒扫描器一样,都在寻找签名——即一种特定攻击方式的已知特征。
      第二种类型的入侵检测系统是异常检测(anomaly detection)系统。这类系统试图完成更加困难的工作,即在没有攻击者行为方式的清晰模型的情况下,寻找异常行为模式,希望以此来发现某些以前不曾被识别的攻击手段并将其纳入识别范畴。这类系统通常使用人工智能技术——神经网络技术不时地流行起来。
      误用检测系统与异常检测系统之间的分界线有些模糊。由Benford规则提出的分类标准似乎更好一些,该规则描述了随机数字的分布情况。人们也许认为以数字1、2……9起始的数字应该均匀分布。但实际上,来自随机自然源的数字的分布并不像数字系统中所表述的那样,而是一种对数分布:大约30%的十进制数字以1为起始数字。那些搞诈骗的职员捏造数据来伪造账目,甚至使用随机数字生成器来产生账目,但由于他们不懂Benford规则,因此常常会被抓住[846】。另一种分界线例子是美人计(honeytrap)~  故意设置一些有吸引力的内容来引起注意。比如,  些医院有一些伪造记录,其中包含了名人的名字,以便让那些不遵守医疗机密性的员工落入圈套。
     2-入侵检测的普遍局限性
     有些入侵是十分明显的。如果担心那些脚本小子来破坏公司的网页,那么最显而易见的防御措施就是在你的操作间中设置一台计算机,定时地取出网页并对其进行检查,一旦发现网页被改变就马上告警(要注意确保利用外部代理服务器做这些事情,不要忘记不仅仅是你自己统正面临威胁。脚本小子可以将主页上的广告代之以色情图片,那时你最希望的就是尽可能快地将此链接抹去)。

监控可行的密钥管理系统

     我们可以使用类似于Kerberos的协议来建立与管理用户之间实际工作的密钥,这要求每个用户与充当密钥分发中心的服务器之间共享一个或多个长期密钥。本书后面将描述大量其他类似协议,比如第1 0章将讨论银行如何与其每台ATM以及与其连接的每个银行内网络建立长期共享密钥,之后,银行会使用与Kerberos不太相同的协议与其每台ATM以及网络交换机建立一个日密钥,因此,当你在属于其他银行的ATM上进行操作并试图通过Cirrus网络取钱时,ATM将使用其与所属银行共享的工作密钥对交易数据进行加密,之后,银行将使用该网络的日密钥进行加密的交易数据传递给Cirrus网络。
    到现在似乎一切都不错,但只要稍稍考虑一下就会发现,如果按上面的方式实现,银行就必须为其所拥有的数百台ATM取款机分别维护不同的密钥—— 一个长期的主密钥,可能还需要一个加密密钥与一个身份验证密钥,银行网络的每个子网络都需要一些密钥。数百万电子银行客户使用的密码与安全信息,如果这些客户所在计算机上安装了使用密码学机制的客户端,也需要为其提供相应密钥。此外,还需要为数干个员工提供加密的密码,形式上也可能是使用用户密码加密的Kerberos密钥。面对如此之多的密钥原料,如何进行管理?
    密钥管理是一个复杂而困难的问题,并且经常出错,因为这通常不是要考虑的首要问题。一个负责任的工程师会认真思考需要多少个密钥、如何生成这些密钥、密钥需要存活多久以及最终如何销毁密钥。还有更多需要考虑的问题,FederaZ Informcrvtion Processing Standard for keymanagment[948]中列出了大多数这类问题。此外,由于应用程序的不断演化,会导致出现新的问题,所以提供额外密钥以支持未来的功能是重要的,这样就不会因为在不兼容的协议中重用而导致现有功能损坏。为从安全失败中恢复提供必要支持也是重要的。然而,这些都没有标准的做法。
    有很多实际可行的策略,但没有哪一种是直截了当的。公钥加密(将在第5章进行讨论)可以在一一定程度上简化密钥管理的工作,长期密钥可以分为私钥与公钥两个部分,你不需要保存公钥部分,但必须保证其完整性。在银行系统中,通常的做法是使用称为安全模块的专用密码处理器,第1 6章将对其进行详细描述。这些设备完成所有密码学处理,并包含一些用于保护应用程序密钥的内部密钥。由此,你可以让安全模块为每个ATM生成主密钥,并将其加密后的值存放在ATM主文件中。当有来自某个ATM的交易数据时,就可以从该文件中取回加密后的密钥,并将加密数据与其一起传送给安全模块,之后由安全模块进行必要的处理:对PIN进行解密,并对其进行验证——或许通过与本地保存的加密值进行比较来实现。遗憾的是,用于完成这些操作的协议经常会失败。有很多种攻击方法可以渗透安全模块的应用程序接口(API,而协议在API中是暴露的。第1 8章将详细描述这些攻击方法c现在只要知道让安全协议正确运行并不容易就足够了。你不能在家中设计协议,这比设计爆炸装置可要复杂得多。

机房媒体安全和电源保护

 一、媒体安全

    计算机网络系统的信息要存储在某种介质上,常用的存储介质有:硬盘、磁盘、磁带、打印纸、光盘等。对存储介质的安全管理主要包括。
    1)存放有业务数据或程序的磁盘、磁带或光盘,应视同文字记录妥善保管。必须注意防磁、防潮、防火、防盗,必须垂直放置。
    2)对硬盘上的数据,要建立有效的级别、权限,并严格管理,必要时要对数据进行加密,以确保硬盘数据的安全。
    3)存放业务数据或程序的磁盘、磁带或光盘,管理必须落实到人,并分类建立登记簿,记录编号、名称、用途、规格、制作日期、有效期、使用者、批准者等信息。
    4)对存放有重要信息的磁盘、磁带、光盘,要备份两份并分两处保管。
    5)打印有业务数据或程序的打印纸,要视同档案进行管理。
    6)凡超过数据保存期的磁盘、磁带、光盘,必须经过特殊的数据清除处理,视同空白磁盘、磁带、光盘。
    7)凡不能正常记录数据的磁盘、磁带、光盘,须经测试确认后由专人进行销毁,并做好登记工作。
    8)对需要长期保存的有效数据,应在磁盘、磁带、光盘的质量保证期内进行转储,转储时应确保内容正确。

监控防止恶意代码扩散系统

    防止恶意代码扩散是防止恶意代码感染的延续,其目的是将恶意代码的传播限制在一定的范围之内,控制其危害范围。实际上,许多用于防止恶意代码感染的措施也可以用于防止恶意代码的扩散,如果恶意代码失去了可感染的对象,自然无法继续扩散。
    1.防止恶意代码通过网络扩散
    目前,网络已经成为恶意代码传播的主要途径,防止恶意代码扩散就必须首先做好防止通过网络传播。防止恶意代码通过网络扩散的主要措施如下。
    (1)及时升级操作系统和应用软件,修补可能存在的安全漏洞
    许多恶意代码通过利用操作系统或应用软件的安全漏洞进行传播,通过升级系统修补漏洞可以有效阻断恶意代码的这一传播途径。修补漏洞贵在及时,一定要在补丁程序发布后尽快安装补丁程序。
    (2)配置防火墙,禁止恶意代码访问网络
    通过配置防火墙的ACL规则,禁止恶意代码及其他未知程序访问网络,可以阻止恶意代码通过网络进行传播扩散。即使计算机感染了恶意代码,也可以将其影响限制在一定的范围之内。
    (3)配置防病毒软件,禁止恶意代码运行
    通过配置防病毒软件的实时监测功能,监视所有程序的运行,一旦发现恶意代码活动,立即将其禁止,使恶意代码失去传播扩散的机会。
    2-防止恶意代码通过移动存储介质扩散
    U盘等移动存储介质是恶意代码传播又一重要途径,甚至可能成为在内部网络与外部网络之间进行通信的桥梁,是恶意代码威胁内部网络的主要方式c
    (1)禁用自动播放功能
    Windows系统提供的自动播放功能为自动运行软件的安装程序、自动播放多媒体文件等提供了便利,但同时也为恶意代码的传播扩散提供了便利。为了防止恶意代码通过移动存储介质跨网络扩散,应禁用自动播放功能。具体操作方法参见第6章的6.2.3节。
    (2)正确使用移动存储介质的写保护功能
    为了防止恶意代码可能造成的信息泄露危害,除了禁用自动播放功能外,还应正确使用移动存储介质的写保护功能,在只需要进行移动存储介质的读操作的情况下,应及时开启写保护功能,防止恶意代码趁机扩散到移动存储介质或将隐私信息泄露到移动存储介质。

机房管理软件之个人防火墙的功能及特点

     1-个人防火墙的主要功能
    不同厂商的个人防火墙产品的功能不尽相同,但是作为一个完整的个人防火墙系统,一般应包含以下功能。
    (1)IP数据包过滤功能
    个人防火墙能够依据TCP/IP协议中的网络数据包的数据格式约定制定规则,并根据规则对数据包进行过滤,对数据包的过滤动作应包含拦截、通行和继续匹配下一规则等。每一条匹配规则一般包括下列要素。
    •数据包方向(连接发起方/接收方)。
    •远程IP地址(任何IP地址/指定IP地址/指定IP地址范围)。
    •协议的匹配类型。
    具体协议至少应包括以下三种。
    1)ICMP数据包过滤。根据ICMP网络数据包中的类型和代码字段进行设定,当匹配到相同类型和代码字段时,按对应规则中的数据包处理方式进行处理。
    2)UDP数据包过滤。根据UDP网络数据包中的本地端口(包括单一端口和(或)端口范围)和(或)远程端口(包括单一端口和(或)端口范围进行规则厅匹配。
    3)TCP数据包过滤。根据TCP网络数据包中的本地端口(包括单一端口和(或)端口范围)和(或)远程端口(包括单一端口和(或)端口范围).以及TCP数据包的标志位进行规则匹配过滤。
    (2)安全规则的修订功能
    个人防火墙一般都允许用户选择使用或弃用个人防火墙产品提供的安全规则,根据需要添加、删除或修改自定义安全规则。
    (3)对特定网络攻击数据包的拦截功能
    个人防火墙产品一般具备对于某些特定攻击的抵挡及防御能力.配合抵御攻击的能力,个人防火墙产品一般还具备建立可更新的攻击特征库的能力。
    (4)应用程序网络访问控制功能
    个人防火墙产品一般都能控制每个应用程序访问网络的权限,对应用程序网络访问控制包括以下三种方式。
    •允许访问:允许该程序使用网络。
    •禁止访问:禁止该程序使用网络。
    •网络访问时询问:当应用程序访问网络时,个人防火墙产品应对其将进行的访问操作向用户提供详细的报告及询问,根据询问结果对应用程序访问网络的行为进行处理。
    (5)网络快速切断/恢复功能
    个人防火墙一般都提供快捷的方式方便用户迅速地切断/恢复所有网络通信。
    (6)日志记录功能
    个人防火墙一般都提供一个有关包过滤和网络攻击事件的网络通信日志,便于用户查阅网络系统近况。
    (7)网络攻击的报警功能
    根据匹配系统指定规则发现异常网络数据包,个人防火墙一般可以以一定的方式警告用户,并能够建议用户采取哪些应对措施。
    (8)产品自身安全功能
    个人防火墙产品一般都能抵御已知手段攻击,保证其自身正常运行而不受影响。某些具有特殊安全功能要求(如控制儿童上网)的个人防火墙,还具备身份鉴别功能,以防止控制规则被随意更改。
    2.个人防火墙的特点
    与传统防火墙相比,个人防火墙体现出了一些自身的特点。
    (1)个人防火墙的优点
    个人防火墙的优点主要体现在以下几个方面。
    1)增加了保护级别,不需要额外的硬件资源。
    2)个人防火墙除了可以抵挡外来攻击,还可以抵挡内部的攻击。
    3)个人防火墙是对公共网络中的单个系统提供保护,能够为用户隐蔽暴露在网络上的信息,比如IP地址之类的信息c
    (2)个人防火墙的缺点
    个人防火墙的主要缺点体现在以下几个方面。
    1)个人防火墙对公共网络只有一个物理接口,导致个人防火墙本身容易受到威胁。
    2)个人防火墙在运行时需要占用个人计算机的内存、CPU时间等资源。
    3)个人防火墙只能对单机提供保护,不能保护网络系统。

机房管理软件的硬件保护

    大多数访问控制系统不仪要控制用户的行为,还要限制程序的行为。在大多数系统中,用户或者可以编写程序,或者可以下载并安装程序。因此,程序中可能包含漏洞甚至恶意代码。
     保护问题(protection problem)的定义是防止一个程序干扰其他程序。限制问题(confinementproblem)通常定义为防止程序通过未授权的通道与外部通信。这些定义带来了几种改进,目标是要防止主动干扰(如内存重写),或防止程序直接读取其他程序的内存一  •这也是商业操作系统要达到的目的。军事系统还要尽力保护元数据(metadata),即关于其他数据、主题或者进程的数据,以便用户无法发现登录到系统的用户或他们运行的进程。在一些应用程序(比如用于处理人口调查数据的程序)中,限制措施意味着允许程序读取数据,但是除一些受限的查询结果外,不允许程序泄露其他信息。
    除非使用沙盒技术(对于一般程序环境而言,它的限制太多了),在单处理器中解决限制问题意味着至少要存在一种机制,以防程序覆盖其他程序的代码和数据。系统中可能有一些共享的内存区域,供进程内通信使用;但是必须防止程序被偶然或者恶意地修改,它们所访问的内存也要采取类似的保护措施。
    这通常意味着硬件访问控制必须与处理器的内存管理功能整合起来。段寻址(segmentaddressing)就是一种典型的机制。内存是通过两个寄存器寻址的,其中段寄存器指向内存段,而地址寄存器指向段内的位置。段寄存器是由操作系统控制的,它是连接访问控制机制和硬件的桥梁。
    这种技术具体实现起来比处理器本身还要复杂。早期的IBM大型机具有一个双态CPU:机器或者为授权状态,或者为非授权状态。在第2种状态下,程序被限制在操作系统分配的内存段内。在第1种状态下,程序可以随意改变段寄存器。授权的程序是从授权库中加载的。
    只要给定合理的授权库,可以在此基础上实现所需的任何访问控制策略,但并不始终有效,并且系统安全必须依赖于把糟糕的(恶意的或者有错误的)代码隔离在授权库之外。因此,后来的处理器中提供了更加复杂的硬件机制。在20世纪60年代,麻省理工学院开发出对后来的Unix发展有激励作用的Multics操作系统,其中引入了保护环(ring of protection)机制,提出了区分权限级别的思路:ring O程序可以访问整个硬盘,超级用户在ring 2运行,用户代码在各种更低的权限中使用【1 1 3 9】。这些特性在一定程度上被后来的处理器采用了,比如在80286以后的Intel生产的主要处理器中。
    在硬件和软件安全机制中存在大量常规问题。比如,经常出现低权限进程需要调用高权限程序的情况,如应用程序代码调用设备驱动程序。这种机制需要谨慎设计,否则会产生安全漏洞。比如,IBM大型机操作系统~/IVS有一个漏洞:如果一个程序正在并发执行一个普通任务和一个授权任务,它可以使普通任务也得到授权[774]。另外,不同权限级别的例程是通过引用还是通过值进行调用,会对性能产生极大影响[1139】。

局域网软件网络安全管理措施

    面对网络安全的脆弱性,除了采用各种网络安全技术和完善系统的安全保密措施外,还必须加强网络的安全管理,诸多的不安全因素恰恰存在于组织管理方面。据权威机构统计表明:信息安全大约60070以上的问题是由管理方面原因造成的,也就是说,解决信息安全问题不应仅从技术方面着手,同时更应加强信息安全的管理工作。
    网络系统的安全管理主要基于以下三个原则。
    1-多人负责原则
    每一项与安全有关的活动,都必须有两人或多人在场,并且应该签署工作情况记录,以证明安全工作已得到保障。
    2-任期有限原则
    一般地讲,任何人都最好不要长期担任与安全有关的职务,以免使他认为这个职务是专有的或永久性的。为遵循任期有限原则,工作人员应不定期地循环任职,并规定对工作人员进行轮流培训,以使任期有限制度切实可行。
    3-职责分离原则
    网络的安全管理部门应根据管理原则和该系统处理数据的保密性,制定相应的管理制度或采用相应的规范。
    1)根据工作的重要程度,确定该系统的安全等级。
    2)根据确定的安全等级,确定安全管理的范围。
    3)制定相应的机房出入管理制度。对于安全等级要求较高的系统,要实行分区控制,限制工作人员出入与己无关的区域。出入管理可采用证件识别或安装自动识别登记系统,采用磁卡、身份卡等手段,对人员进行识别、登记管理。
    4)制定严格的操作规程。操作规程要根据职责分离和多人负责的原则,各负其责,不能超越自己的管辖范围。
    5)制定完备的系统维护制度。对系统进行维护时,应采取数据保护措施,如数据备份等。维护时要首先经主管部门批准,并有安全管理人员在场,故障的原因.维护内容和维护前后的情况要详细记录。
    6)制订应急措施。要制定系统在紧急情况下如何尽快恢复的应急措施,使损失减至最小。建立人员雇用和解聘制度,对工作调动和离职人员要及时调整相应的授权。

机房的安全要求

   机房的安全等级分为A类、B类和c类3个基本类别。

   1)A类:对计算机机房的安全有严格的要求,有完善的计算机机房安全措施。

   2)B类:对计算机机房的安全有较严格的要求,有较完善的计算机机房安全措施。

   3)C类:对计算机机房的安全有基本的要求,有基本的计算机机房安全措施。

   如何减少无关人员进入机房的机会是计算机机房设计时首先要考虑的问题。为此,计算机机房在选址时应避免靠近公共区域,避免窗户直接邻街。此外,在机房布局上应使工作区在内,生活辅助区域在外。在一个大的建筑内,计算机机房最好不要安排在底层或顶层,这是因为底层一般较潮湿,而顶层有漏雨、穿窗而入的危险。在较大的楼层内,计算机机房应靠近楼层的一边安排布局。这样既便于安全警卫,又利于发生火灾险情时的转移撤离。

智能仪器测控机房软件系统设计方法简介

1.设计任务分析、拟定总体设计方案
在设计机房软件工作任务开始之初,必须进行项目调研,掌握国内外同类设备的技术现状和发展动态,结合设计任务要求,从技术角度和经济角度进行分析和综合评估,确定系统的各项技术指标和功能配置,撰写设计任务书,并完成系统总体设计方案。


  (1)设计任务分析。以《系统功能说明书》或《系统设计任务书》明确设计任务。
《系统功能说明书》作为开发委托方和项目承担方之间的合同附件或设计单位的立项基础,规定了机房软件系统所应达到的技术指标和所应具备的功能,反映了系统的基本结构,为设计任务提供具体目标。其主要内容包括:系统的名称、用途和功能、系统的主要技术指标,如系统精度指标、工作条件(供电方式、测控对象、使用环境等)和其他限定,此项是硬件设备的投资依据;系统的工艺流程、系统的工作流程说明和系统配套的测控软件设计均应严格遵循此项说明。

«1234»

Powered By Z-Blog 2.0 Doomsday Build 121221

版权所有©2007-2013 南京网亚计算机有限公司
QQ:502800066(购买咨询) 1074187861(技术支持) 邮件: sales@ji-fang.cn
电话:( 025)84533318 (025)84533319 (025)66671103 13913982176 传真: (025)84533320
地址: 江苏省南京市中山东路198号龙台国际大厦1205室