M4-2 加固DHCP服务安全防御.pptVIP

《网络安全运行与维护》 模块四 Linux服务器系统安全管理与维护 DHCP DNSWeb FTPCA服务器群集邮件服务 DDN Internet 北京总部 长春分公司 VPN 网管工作站 重庆分公司 DHCP WEB WEB FTP DNS BDNS 总体概述 加强Linux系统的DNS服务的安全防御能力 加固Linux系统的DHCP服务安全防御能力 提升Linux系统的WEB服务的安全防御能力 提高Linux系统的FTP服务安全访问及安全防御能力 使用Linux防火墙模块提升服务器的安全防御能力 能力单元2 加固DHCP服务安全防御 任务描述 任务描述 网络中的DHCP服务器为子网中的主机动态的分配IP地址，也存在很大的安全风险。为了保障网络中的DHCP安全的提供服务，需要对DHCP服务器进行安全的配置，具体配置任务如下： 指定DHCP服务启动接口 让DHCP服务器运行在chroot()环境 防止DHCP服务无赖攻击 任务分析 任务分析 采用DHCP server可以自动为用户设置网络IP地址、掩码、网关、DNS、WINS等网络参数，简化了用户网络设置，提高了管理效率。但在 DHCP 管理使用上也存在着一些另网管人员比较问题，常见的有： 无赖攻击：DHCP server 的冒充。 DOS攻击：DHCP server 的 Dos 攻击。 IP冲突：有些用户随便指定地址，造成网络地址冲突。 相关知识 相关知识 DHCP技术是通过某网络内一台服务器提供相应的网络配置服务来实现的，可以为网络终端设备提供临时的IP地址、默认网关、DNS服务器等网络配置。虽然DHCP技术可以为用户接入网络提供方便，但还存在以下弊端： IP地址随机性：用户的IP地址是随机分配的，具有不确定性。 访问权限变化：如果用户的访问权限是基于IP地址划分的，则访问权限随IP地址不同而变化。 不可被访问：通过DHCP获得的IP地址具有不确定性，用户被访问难度较大。 应用不连续：如果用户在不同网段的WLAN之间不间断使用网络时，IP地址的改变会造成应用中断。 安全性差：外来的网络用户会对网络本身造成安全威胁。 任务实施——拓扑结构 拓扑结构 任务实施——实施步骤 实施步骤 〖步骤1〗在指定网络接口启动DHCP服务器 在 /etc/sysconfig/dhcpd中，把界面的名称添加到 DHCPDARGS 的列表中： DHCPDARGS=eth0 或者直接使用命令： Echo “DHCPDARGS=eth0” /etc/ sysconfig/dhcpd 任务实施——实施步骤(cont.) 实施步骤 〖步骤2〗DHCP服务器在chroot()环境运行 通过chroot机制来更改某个软件运行时所能看到的根目录，即将某软件运行限制在指定目录中，保证该软件只能对该目录及其子目录的文件有所动作，从而保证整个服务器的安全。这样即使出现被破坏或被侵入，所受的损伤也较小。 第一步：Jail软件的编译和安装 [root@lab2 ~]# tar xzvf jail_1.9a.tar.gz [root@lab2 ~]# cd jail/src/ [root@lab2 src]# make [root@lab2 src]# make install 第二步：用jail创建监牢 [root@lab2 src]# mkjailenv /chroot [root@lab2 src]# addjailsw /chroot/ -P /usr/sbin/dhcpd [root@lab2 src]# mkdir -p /chroot/dhcp/etc 任务实施——实施步骤(cont.) 实施步骤 [root@lab2 src]# cp /etc/dhcpd.conf /chroot/dhcp/etc/ [root@lab2 src]# mkdir -p /chroot/dhcp/var/state/dhcp [root@lab2 src]# touch /chroot/dhcp/var/state/dhcp/dhcp.leases [root@lab2 src]# /chroot/usr/sbin/dhcpd [root@lab2 src]# ps -ef |grep dhcpd root 7374 1 0 14:05 ? 00:00:00 /chroot/usr/sbin/dhcpd root 7376 6872 0 14:05 pts/0 00:00:00 grep dhcpd 注意此时进程名称已经改变，使用检查dhcpd运行的端口： [root@lab2 src]# netstat -n