《交易所网站安全技术解决方案》由会员分享，可在线阅读，更多相关《交易所网站安全技术解决方案（23页珍藏版）》请在金锄头文库上搜索。
1、一 证券交易所网站的现状31 .概述31.服务器及网网络设备的配配置情况41）网站s-.ccn41）网站n43）域名服务器器s-44）其他的服务务器及网络设设备的信息：43.网络的工作作流程描述41）外部用户访访问网站41）内部用户访访问外部53）监控机房的的PC对网站的的管理54.当前网站访访问的性能分分析5二 证券交易易所网站存在在的安全问题题61.网络测试的的过程61)网络测试结结果数据取样样点61)测试使用的的工具63)测试手段说说明61.测试结果分分析71）网站服务器器系统本身的的安全问题71）监控机系统统本身存在的的安全问题83）路由器存在在的安全问题题84)防火墙的安安全问题85
2、）网络流程的的安全问题96）管理的安全全问题9三 证券交易易所网站安全全技术解决方方案101、网络拓扑扑图101、所添设备备功能说明10 一 证券交易易所网站的现现状1 .概述 保护证证券交易所网网站的投资和和信息资源，拥拥有构思精良良且有效的网网络安全策略略是非常重要要的。网络安安全系统本身身是个庞大、复复杂的系统设设计。因此，根根据客户现在在和可预见的的将来的应用用需要来设计计网络安全才才是最可行的的方法。太多多的安全策略略会带来不必必要的操作困困难，而且如如果没有太必必要的需求，中中科网威公司司将尽量使用用简单，实用用的方案。中中科网威拥有有为政府、银银行，电信，证证券等高安全全性，高可
3、靠靠性行业安全全设计的丰富富经验。总之之，中科网威威公司设计安安全系统以安安全为前提，以以简单，实用用为基础。目目前，证券交交易所网站的的建构情况如如下图一所示示：CHINANET100M托管服务器（SUN 3500）长信局118K交易所监控室光华审计系统（PC）WEBGUARD系统（PC）监控机1（PC）监控机1信息更新机（PC）1MWeb服务器（SUN 5000）交易所Ftp 服务器（PC）Mail 服务器（PC）防火墙交易所内部网内部Web服务器1.服务器及网网络设备的配配置情况1）网站s-.ccn使用的操作系统统为Sun Solarris 5.6； Weeb Serrver是NNets
4、caape IPPlant Serveer；IP地地址为1011.111.1.1；别别名为n；设备为SSUN Ennterprrise35500。1）网站n使用的操作系统统为Sun Solarris 5.6；使用的的Web SServerr是Netsscape IPlannt Serrver；IIP地址为1101.1001.61.119；别别名为；设备为SUUN Entterpriise5000。3）域名服务器器s-使用的操作系统统为Sun Solarris 5.6；使用的的域名服务器器为BINDD；IP地址址为101.111.11.1；设备备为SUN Ultraa系列工作站站。4）其他的服务
5、务器及网络设设备的信息：A. .ccn101.1111.1.5B. notes-.ccn101.1111.1.108C. s-101.1111.1.4D. vod-101.1111.1.7E. n101.1111.1.3F. mail-n101.1111.1.3G. Cisco路由由器 1101.1111.1.1113.网络的工作作流程描述1）外部用户访访问网站A. 外部用户可以通通过httpp方式浏览网网站，其中一一台web serveer为n, IP地地址为1011.101.61.1119。这台服服务器托管在在长信局，出出口的带宽为为100M的的Switcch。当用户户访问该台服服务器时需
6、要要经过天融信信的防火墙，同同时有光华审审计软件对访访问情况进行行审计（正常常方式）。B. 外部用户通过hhttp方式式访问的另外外一台webb servver为s-,IP地址为为101.1111.1.1.这台服服务器放在证证券交易所的的内部，出口口的带宽为11M的DDNN。当用户访访问该服务器器时需要通过过Sun防火火墙。同时外外部用户还可可以通过fttp的方式访访问ftp serveer；同时可可以访问DNNS Serrver及其其他相关服务务器；外部用用户对内部LLAN的访问问全部被ChheckPooint防火火墙所禁止（正正常方式）。1）内部用户访访问外部A. 内部用户通过CCheck
7、PPoint防防火墙的地址址转换功能，用用一个合法的的IP地址访访问及获取外外部信息（正正常方式）。B. 部分内部用户通通过监控房的的PC所具有有的网关功能能也可以访问问及获取到外外部信息（非非正常方式）。3）监控机房的的PC对网站站的管理A. 根据图一所示监监控机1通过过专门得一根根118K的的专线对托管管在长信局的的Web SServerr进行远程管管理；同时监监控机1不能能够访问内部部的网络（正正常方式）。B. 根据图一所示监监控机1具有有网关的功能能，它能够与与证交所内部部进行数据交交换，同时也也可以不通过过防火墙直接接连接到广域域网，然后对对放在证交所所的Web Serveer, F
8、TTP Serrver, DNS SServerr等服务器进进行管理（非非正常方式）。4.当前网站访访问的性能分分析A. 网站的点击数：当前网站的的日访问量小小于1千人/天，当前连连接数小于1100人，七七月分及年底底的日访问量量可能有上万万人次，当前前连接数可能能会超过10000人。B. CPU占用率：当前的访问问情况下CPPU占用率小小于10%，表表明网站服务务器的负载能能力还是很强强的。C. 访问页面的响应应时间：据中中科网威公司司对交易所网网站的测试主主页的响应时时间小于8秒秒钟，符合国国际标准。D. 网页的类型：交交易所网页主主要以静态页页面为主，部部分的动态页页面对一些相相关的信息
9、进进行搜索。二 证券交易易所网站存在在的安全问题题1.网络测试的的过程防火墙内测试点防火墙外测试点CHINANET100M托管服务器（SUN 3500）长信局118K交易所监控室光华审计系统（PC）WEBGUARD系统（PC）监控机1（PC）监控机1信息更新机（PC）1MWeb服务器（SUN 5000）交易所Ftp 服务器（PC）Mail 服务器（PC）防火墙交易所内部网内部Web服务器1)网络测试结结果数据取样样点1)测试使用的的工具A. 中科网威公司火火眼网络安全全扫描系统B. axent sscanneer C. iss 公司 interrnet sscanneerD. nai 公司 c
10、yberr cop scannner 3)测试手段说说明A. Http 服务务器的安全B. Ftp服务器的的安全C. Sendmaiil邮件系统统的安全D. Finger服服务的安全E. X windoow系统管理理的安全F. Dns服务的安安全G. Rpc服务的安安全H. X Windoow安全NFFS文件服务务安全I. NIS安全J. Proxy服务务安全K. TFTP服务安安全L. Tooltallk服务安全全M. 服务端口设置安安全1.测试结果分分析经过中科网威公公司的扫描及及检测，得知知交易所网站站系统中存在在许多安全漏漏洞，以下对对这些漏洞中中的主要严重重性漏洞进行行解释与说明明。
11、1）网站服务器器系统本身的的安全问题经过检测发现网网络服务器存存在以下几方方面的安全漏漏洞：A. Netscappe 服务器器的安全漏洞洞B. Ftp服务器的的安全漏洞C. Sendmaiil邮件系统统的安全漏洞洞D. Finger服服务的安全漏漏洞E. X windoow系统管理理的安全漏洞洞F. Dns服务的安安全漏洞G. Rpc服务的安安全漏洞H. X Windoow安全NFS文件服务务安全漏洞I. TFTP服务安安全漏洞J. Telnet服服务的安全漏漏洞详细漏洞描述，请请参看资料交交易所网站安安全分析与安安全服务实施施建议书。1）监控机系统统本身存在的的安全问题监控机使用的是是Win
12、doows NTT 4.0操操作系统，补补丁程序为SSP4，在该该系统下存在在着以下安全全问题：A. NT操作系统本本身的安全漏漏洞B. NT服务协议的的安全漏洞详细漏洞描述，请请参看资料交交易所网站安安全分析与安安全服务实施施建议书。3）路由器存在在的安全问题题因为交易所使用用的是Cissco的路由由器，经过中中科网威公司司的测试发现现该路由器存存在以下安全全问题：A. Cisco CHAP/PPP VVulnerrabiliityB. Cisco IOS AAAA Dooes Noot Prooperlyy Authhenticcate UUsersC. Cisco Vulneerable
13、e to LLand AAttackkD. Cisco IOS RRemotee Routter CrrashE. ”Cisco IOS HHTTP % 拒绝服服务漏洞”F. ”IOS 软件件TELNEET环境变量量处理漏洞”详细漏洞描述，请请参看资料交交易所网站安安全分析与安安全服务实施施建议书。 4)防火墙的安安全问题通过对防火墙的的检测及配置置的策略，发发现防火墙存存在以下安全全问题：A. 内部网络到DMMZ 服务器器区域没有安安全规则的设设置，用户可可以访问到服服务器的任何何端口。B. 漏洞名称：Chheckpooint FFirewaall-1 内部地址泄泄露漏洞C. Checkpo
14、oint FFW-1的基基本认证功能能对于来自墙墙内（出站）和和来自墙外（入入站）的身份份认证未加任任何超时设置置和不成功认认证次数限制制。而更为严严重的问题是是，可通过这这个身份认证证机制不需要要输入口令就就能猜测用户户名，因为当当输入的用户户名不存在时时认证系统会会提示错误。详细漏洞描述，请请参看资料交交易所网站安安全分析与安安全服务实施施建议书。5）网络流程的的安全问题A、外部用户可可能能够访问问到内部LAAN:从图一所示外部部用户可以通通过监控机11入侵到内部部网络，造成成严重不安全全，因为监控控机绑定有三三个网卡，其其中一个为合合法地址，另另外两个为内内部私有地址址，外部用户户可以通过该该合法地址连连接到内部。B、监控机1的的逻辑位置在在Sun防火火墙的外面：外部非法入侵者者在不受到防防火墙限制的的的情况下可
