《交易所网站安全技术解决方案精品》由会员分享，可在线阅读，更多相关《交易所网站安全技术解决方案精品（15页珍藏版）》请在金锄头文库上搜索。
1、2020 5 24 交易所网站安全技术解决方案 第 2 页 共 15 页 北京中科网威信息技术有限公司 交易所网站安全技术解决 方案精品 2020 5 24 交易所网站安全技术解决方案 第 3 页 共 15 页 北京中科网威信息技术有限公司 一一 证券交易所网站的现状证券交易所网站的现状 3 1 概述 3 1 服务器及网络设备的配置情况 4 1 网站s 4 1 网站 4 3 域名服务器s 4 4 其他的服务器及网络设备的信息 4 3 网络的工作流程描述 4 1 外部用户访问网站 4 1 内部用户访问外部 5 3 监控机房的PC对网站的管理 5 4 当前网站访问的性能分析 5 二二 证券交易所网
2、站存在的安全问题证券交易所网站存在的安全问题 6 1 网络测试的过程 6 1 网络测试结果数据取样点 6 1 测试使用的工具 6 3 测试手段说明 6 1 测试结果分析 7 1 网站服务器系统本身的安全问题 7 1 监控机系统本身存在的安全问题 8 3 路由器存在的安全问题 8 4 防火墙的安全问题 8 5 网络流程的安全问题 9 6 管理的安全问题 9 三三 证券交易所网站安全技术解决方案证券交易所网站安全技术解决方案 10 1 网络拓扑图 10 1 所添设备功能说明 10 2020 5 24 交易所网站安全技术解决方案 第 4 页 共 15 页 北京中科网威信息技术有限公司 一一 证证券券
3、交交易易所所网网站站 的的现现状状 1 1 1 概概概述述述 保护证券交易所网站的投资和信息资源 拥有构思精良且有效的网络安 全策略是非常重要的 网络安全系统本身是个庞大 复杂的系统设计 因此 根 据客户现在和可预见的将来的应用需要来设计网络安全才是最可行的方法 太多 的安全策略会带来不必要的操作困难 而且如果没有太必要的需求 中科网威公 司将尽量使用简单 实用的方案 中科网威拥有为政府 银行 电信 证券等高 安全性 高可靠性行业安全设计的丰富经验 总之 中科网威公司设计安全系统 以安全为前提 以简单 实用为基础 目前 证券交易所网站的建构情况如下图 一所示 CHINANET 100M 托管服
4、务器 SUN 3500 长信局 118K 交易所监控室 光华审计系统 PC WEBGUARD 系统 PC 监控机 1 PC 监控机 1 信息更新机 PC 1M Web 服务器 SUN 5000 交易所 Ftp 服务器 PC Mail 服务器 PC 防火墙 交易所内部网 内部 Web 服务器 2020 5 24 交易所网站安全技术解决方案 第 5 页 共 15 页 北京中科网威信息技术有限公司 1 1 1 服服服务务务器器器及及及网网网络络络设设设备备备的的的配配配置置置情情情况况况 1 网站 网站s 使用的操作系统为 Sun Solaris 5 6 Web Server 是 Netscape
5、IPlant Server IP 地址为 101 111 1 1 别名为 设备为 SUN Enterprise3500 1 网站 网站 使用的操作系统为 Sun Solaris 5 6 使用的 Web Server 是 Netscape IPlant Server IP 地址为 101 101 61 119 别名为 设备为 SUN Enterprise5000 3 域名服务器 域名服务器s 使用的操作系统为 Sun Solaris 5 6 使用的域名服务器为 BIND IP 地址为 101 111 1 1 设备为 SUN Ultra 系列工作站 4 其他的服务器及网络设备的信息 其他的服务器及
6、网络设备的信息 A101 111 1 5 B notes 101 111 1 108 C s 101 111 1 4 D vod 101 111 1 7 E101 111 1 3 F mail 101 111 1 3 G Cisco路由器 101 111 1 11 3 3 3 网网网络络络的的的工工工作作作流流流程程程描描描述述述 1 外部用户访问网站 外部用户访问网站 A 外部用户可以通过http方式浏览网站 其中一台web server为 IP地址为101 101 61 119 这台服务器托管在长信局 出 口的带宽为100M的Switch 当用户访问该台服务器时需要经过天融信的 2020
7、5 24 交易所网站安全技术解决方案 第 6 页 共 15 页 北京中科网威信息技术有限公司 防火墙 同时有光华审计软件对访问情况进行审计 正常方式 B 外部用户通过http方式访问的另外一台web server为s IP 地址为101 111 1 1 这台服务器放在证券交易所的内部 出口的带宽为1M 的DDN 当用户访问该服务器时需要通过Sun防火墙 同时外部用户还可 以通过ftp的方式访问ftp server 同时可以访问DNS Server及其他相关服 务器 外部用户对内部LAN的访问全部被CheckPoint防火墙所禁止 正常 方式 1 内部用户访问外部 内部用户访问外部 A 内部用户
8、通过CheckPoint防火墙的地址转换功能 用一个合法的IP地址访 问及获取外部信息 正常方式 B 部分内部用户通过监控房的PC所具有的网关功能也可以访问及获取到外 部信息 非正常方式 3 监控机房的 监控机房的PC对网站的管理对网站的管理 A 根据图一所示监控机1通过专门得一根118K的专线对托管在长信局的Web Server进行远程管理 同时监控机1不能够访问内部的网络 正常方式 B 根据图一所示监控机1具有网关的功能 它能够与证交所内部进行数据交 换 同时也可以不通过防火墙直接连接到广域网 然后对放在证交所的 Web Server FTP Server DNS Server等服务器进行
9、管理 非正常方式 4 4 4 当当当前前前网网网站站站访访访问问问的的的性性性能能能分分分析析析 A 网站的点击数 当前网站的日访问量小于1千人 天 当前连接数小于100 人 七月分及年底的日访问量可能有上万人次 当前连接数可能会超过 1000人 B CPU占用率 当前的访问情况下CPU占用率小于10 表明网站服务器 的负载能力还是很强的 C 访问页面的响应时间 据中科网威公司对交易所网站的测试主页的响应时 间小于8秒钟 符合国际标准 2020 5 24 交易所网站安全技术解决方案 第 7 页 共 15 页 北京中科网威信息技术有限公司 D 网页的类型 交易所网页主要以静态页面为主 部分的动态
10、页面对一些相 关的信息进行搜索 2020 5 24 交易所网站安全技术解决方案 第 8 页 共 15 页 北京中科网威信息技术有限公司 二二 证证券券交交易易所所网网站站 存存在在的的安安全全问问题题 1 1 1 网网网络络络测测测试试试的的的过过过程程程 1 网络测试结果数据取样点网络测试结果数据取样点 1 测试使用的工具测试使用的工具 A 中科网威公司火眼网络安全扫描系统 B axent scanner C iss 公司 internet scanner D nai 公司 cyber cop scanner 3 测试手段说明测试手段说明 A Http 服务器的安全 B Ftp服务器的安全
11、CHINANET 100M 托管服务器 SUN 3500 长信局 118K 交易所监控室 光华审计系统 PC WEBGUARD 系统 PC 监控机 1 PC 监控机 1 信息更新机 PC 1M Web 服务器 SUN 5000 交易所 Ftp 服务器 PC Mail 服务器 PC 防火墙 交易所内部网 内部 Web 服务器 防火墙外测试点 防火墙内测试点 2020 5 24 交易所网站安全技术解决方案 第 9 页 共 15 页 北京中科网威信息技术有限公司 C Sendmail邮件系统的安全 D Finger服务的安全 E X window系统管理的安全 F Dns服务的安全 G Rpc服务的
12、安全 H X Window安全NFS文件服务安全 I NIS安全 J Proxy服务安全 K TFTP服务安全 L Tooltalk服务安全 M 服务端口设置安全 1 1 1 测测测试试试结结结果果果分分分析析析 经过中科网威公司的扫描及检测 得知交易所网站系统中存在许多安全漏洞 以下对这些漏洞中的主要严重性漏洞进行解释与说明 1 网站服务器系统本身的安全问题 网站服务器系统本身的安全问题 经过检测发现网络服务器存在以下几方面的安全漏洞 A Netscape 服务器的安全漏洞 B Ftp服务器的安全漏洞 C Sendmail邮件系统的安全漏洞 D Finger服务的安全漏洞 E X windo
13、w系统管理的安全漏洞 F Dns服务的安全漏洞 G Rpc服务的安全漏洞 H X Window安全NFS文件服务安全漏洞 I TFTP服务安全漏洞 J Telnet服务的安全漏洞 详细漏洞描述 请参看资料 交易所网站安全分析与安全服务实施建议书 2020 5 24 交易所网站安全技术解决方案 第 10 页 共 15 页 北京中科网威信息技术有限公司 1 监控机系统本身存在的安全问题 监控机系统本身存在的安全问题 监控机使用的是 Windows NT 4 0 操作系统 补丁程序为 SP4 在该系统下 存在着以下安全问题 A NT操作系统本身的安全漏洞 B NT服务协议的安全漏洞 详细漏洞描述 请
14、参看资料 交易所网站安全分析与安全服务实施建议书 3 路由器存在的安全问题 路由器存在的安全问题 因为交易所使用的是 Cisco 的路由器 经过中科网威公司的测试发现该路由 器存在以下安全问题 A Cisco CHAP PPP Vulnerability B Cisco IOS AAA Does Not Properly Authenticate Users C Cisco Vulnerable to Land Attack D Cisco IOS Remote Router Crash E Cisco IOS HTTP 拒绝服务漏洞 F IOS 软件 TELNET 环境变量处理漏洞 详细漏洞
15、描述 请参看资料 交易所网站安全分析与安全服务实施建议书 4 防火墙的安全问题防火墙的安全问题 通过对防火墙的检测及配置的策略 发现防火墙存在以下安全问题 A 内部网络到 DMZ 服务器区域没有安全规则的设置 用户可以访问到服务 器的任何端口 B 漏洞名称 Checkpoint Firewall 1 内部地址泄露漏洞 C Checkpoint FW 1 的基本认证功能对于来自墙内 出站 和来自墙外 入 站 的身份认证未加任何超时设置和不成功认证次数限制 而更为严重的 问题是 可通过这个身份认证机制不需要输入口令就能猜测用户名 因为 当输入的用户名不存在时认证系统会提示错误 2020 5 24
16、交易所网站安全技术解决方案 第 11 页 共 15 页 北京中科网威信息技术有限公司 详细漏洞描述 请参看资料 交易所网站安全分析与安全服务实施建议书 5 网络流程的安全问题 网络流程的安全问题 A 外部用户可能能够访问到内部 LAN 从图一所示外部用户可以通过监控机 1 入侵到内部网络 造成严重不安全 因为监控机绑定有三个网卡 其中一个为合法地址 另外两个为内部私有地址 外部用户可以通过该合法地址连接到内部 B 监控机 1 的逻辑位置在 Sun 防火墙的外面 外部非法入侵者在不受到防火墙限制的的情况下可以通过该监控机对内部网 络进行无限制的访问 严重的导致整个内部的信息及系统的破坏 C 从监控机 1 管理通过广域网管理放在交易所的 Web Server DNS Server 和放在长信局托管的 Web Server 等服务器时 在传输过程中用户名及密码都没 有经过加密 很容易被恶意人员用 Sniffer 软件进行侦听 从而获取口令进入服务 器系统 或者可以获得重要资料 D 从内部访问放在交易所的 Web Server 没有进行任何限制 从交易所内部对万一有不满的员工想对网站进行破坏
