第七章 网络攻击与防范 《计算机网络技术》（北京理工大学出版社）同步教学 课件

计算机网络技术 项目7：网络攻击与防范 学 习 内 容 1 3 4 5 6 网络安全认知 2 ARP欺骗攻击防御 端口扫描 DOS 攻击 网络监听 使用防火墙保护计算机系统 系统资源的安全管理 7 项目实战：加固Windows server 2012 R2 操作系统 任务 1：网络安全认知 随着网络应用不断地发展，网络安全问题也越来越受到人们的关注，网络作为开放的信息系统必然存在诸多潜在的安全隐患。 计算机安全技术的不断发展越来越体现出一种全面的特性，从安全策略制定、安全技术措施和网络管理员等多个方面综合面对网络安全问题，注重攻击和防御的全面结合，不仅要做正面的防御工作，还要从攻击者的角度出发考虑系统存在的安全隐患，真正做到全面认识，全面管理。 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄漏，系统连续可靠正常地运行，网络服务不中断。网络安全从其本质上来讲就是网络上的信息安全。从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。 网络安全是一个综合性的技术，具有两层含义： （1）保护内部和外部进行数据交换的安全； （2）保证内部局域网的安全。 任务 1：网络安全认知 1.网络安全的目标 （1）机密性：确保信息不泄露给未授权的实体或进程。 （2）完整性：只有得到允许的人才能修改实体或进程，并且能够判别出实体或进程是否已被修改。完整性鉴别机制，保证只有得到允许的人才能修改数据。 （3）可用性：得到授权的实体可获得服务，攻击者不能占用所有的资源而阻碍授权者的工作。用访问控制机制，阻止非授权用户进入网络。使静态信息可见，动态信息可操作。 （4）可控性：可控性主要指对危害国家信息安全（包括利用加密的非法通信活动）的监视审计。控制授权范围内的信息流向及行为方式。使用授权机制，控制信息传播范围、内容，必要时能恢复密钥，实现对网络资源及信息的可控性。 （5）不可否认性：对出现的安全问题提供调查的依据和手段。使用审计、监控、防抵赖等安全机制，使得攻击者、破坏者、抵赖者“逃不脱”，并进一步对网络出现的安全问题提供调查依据和手段，实现信息安全的可审查性。一般通过数字签名来提供不可否认服务。 任务 1：网络安全认知 2.网络安全模型 一个常用的网络安全模型是P2DR模型。P2DR是Policy（安全策略）、 Protection（防护）、Detection（检测）和Response（响应），如图所示。 （1）Policy 在考虑建立网络安全系统时，在了解了网络信息安全系统等级划分和评估网络安全风险后，一个重要的任务就是要制订一个网络安全策略。一个策略体系的建立包括：安全策略的制订、安全策略的评估、安全策略的执行等。网络安全策略一般包括两部分：总体的安全策略和具体的安全规则。 任务 1：网络安全认知 （2）Protection 防护就是根据系统可能出现的安全问题采取一些预防措施，是通过一些传统的静态安全技术及方法来实现的。通常采用的主动防护技术有：数据加密，身份验证，访问控制，授权和虚拟网络(VPN)技术；被动防护技术有：防火墙技术，安全扫描，入侵检测，路由过滤，数据备份和归档，物理安全，安全管理等。 （3）Detection 攻击者如果穿过防护系统，检测系统就会将其检测出来。如检测入侵者的身份，包括攻击源、系统损失等。防护系统可以阻止大多数的入侵事件，但不能阻止所有的入侵事件，特别是那些利用新的系统缺陷、新攻击手段的入侵。如果入侵事件发生，就要启动检测系统进行检测。 （4）Response 系统一旦检测出入侵，响应系统则开始响应，进行事件处理。P2DR中的响应就是在已知入侵事件发生后，进行的紧急响应(事件处理)。响应工作可由特殊部门—计算机紧急响应小组负责。世界上第一个计算机紧急响应小组简称CERT (Computer Emergency Response Team)，我国的第一个计算机紧急响应小组是中国教育与科研计算机网络建立的，简称“CCERT”。不同机构也有相应的计算机紧急响应小组。 任务 1：网络安全认知 3 网络安全的等级 不能简单地说一个计算机系统是安全的或是不安全的。依据处理信息的等级和采取相应对策来划分，将安全等级为4类7级，从低到高依次是D1、C1、C2、B1、B2、B3、A级。D~A分别表示了不同的安全等级。 网络安全等级 以下是其简单说明： D1：整个计算机系统是不可信任的，硬件和操作系统都很容易 被侵袭。对用户没有验证要求 C1：对计算机系统硬件有一定的安全机制要求，计算机在被使用前需要进行登录。但是它对登录到计算机的用户没有进行访问级别的限制。 C2：比 C1级更进一步，限制了用户执行某些命令或访问某些文件的能力。这也就是说它不仅进行了许可权限的限制，还进行了基于身份级别的验证。 B1：支持多级安全，也就是说安全保护安装在不同级别的系统中，可以对敏感信息提供更高级别的保护。 B2：此级别也称结构保护，计算机系统对所有的对象加了标签，且给设备分配安全级别。 B3：要求终端必须通过可信任途径连接到网络，同时要求采用硬件来保护安全系统的存储区。 A：最高的一个级别。它附加了一个安全系统受监控的设计并要求安全的个体必须通过这一设计。 任务 1：网络安全认知 7.1.1 网络安全防范措施 为了保证网络安全，通常可采取以下措施： （1）访问控制 对用户访问网络资源的权限进行严格的认证和控制。例如，进行用户身份认证，对口令加密、更新和鉴别，设置用户访问目录和文件的权限，控制网络设备配置的权限等。 （2）数据加密 加密是保护数据安全的重要手段。加密的作用是保障信息被人截获后不能读懂其含义。防止计算机网络病毒，安装网络防病毒系统。 （3）数字签名 简单地说，所谓数字签名就是附加在数据单元上的一些数据，或是对数据单元所作的密码变换。这种数据或变换允许数据单元的接收者用以确认数据单元的来源和数据单元的完整性并保护数据，防止被人伪造、篡改和否认。 任务 1：网络安全认知 7.1.1 网络安全防范措施 （4）数据备份 数据备份是容灾的基础，是指为防止系统出现操作失误或系统故障导致数据丢失，而将全部或部分数 据集合从应用主机的硬盘或阵列复制到其它的存储介质的过程。 （5）部署防火墙 防火墙系统决定了哪些内部服务可以被外界访问；外界的哪些人可以访问内部的哪些服务；以及哪些外部服务可以被内部人员访问。 （6）部署IDS IDS（Intrusion Detection Systems，入侵检测系统）是依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。 入侵检测系统根据信息来源可分为基于主机 IDS 和基于网络的 IDS，根据检测方法又可分为异常入侵检测和滥用入侵检测。不同于防火墙，IDS 入侵检测系统是一个监听设备，没有跨接在任何链路上，无须网络流量流经它便可以工作。 7.1.2 校园网网络安全案例分析 1.案例背景 在各行业中，大学在信息化方面一直扮演着领头羊的角色，率先建立了校园网，并作为教育网的网络节点。某大学师生人数众多，拥有两万多台主机，上网用户也在 2 万人左右， 而且用户数量一直呈上升趋势。校园网为广大师生提供便捷、高效的学习、工作环境，但在宽带管理、计费和安全等方面存在许多问题。 2.案例简介 (1) IP 地址及用户账号的盗用 (2)多人使用同一账号 (3)网络计费管理功能的单一 (4)对带宽资源的大量占用导致重要应用无法进行。 (5)访问权限难以控制。 (6)安全问题日益突出。 (7)异常网络事件的审计和追查 (8)多个校区的管理和维护 任务 1：网络安全认知 任务 1：网络安全认知 7.1.1 校园网网络安全案例分析 3.案例分析 针对这些问题，该大学进行了一套完整的校园网宽带管理、计费方案。该方案所采用的软、硬件是由信利自行研发的蓝信系列产品，包括：蓝信 AC（访问控制系统）、蓝信 AAA（管理、认证系统）和蓝信 BL（计费系统）。该方案提供了一个融合防火墙、接入服务器、访问控制、认证和计费功能的强大系统，该系统针对该大学原存在的每个问题都能提供完全的应对策略。 4.案例分析战略 (1)客户账号与 IP 地址、MAC 地址、NAS 设备地址和 NAS 端口绑定。系统将客户账号与客户使用的 IP 地址、MAC 地址、连接的 NAS 设备地址和 NAS 端口进行四重绑定，极大程度地提高了客户行为的唯一性，有效地防止了 IP 地址和客户账号盗用现象的发生。 (2)限定账号登录次数。 系统对同一账号同时登录次数做出明确的限定，避免了多人次使用同一账号上网的现象。 (3)完善计费管理功能 任务 1：网络安全认知 7.1.1 校园网网络安全案例分析 (4)带宽的限定和业务优先级的设定 系统能对每个客户上下行的带宽上限加以限定，防止个别客户占用过多网络资源。还能对不同的用户数据设定业务优先级（例如实验室、教师机房与学生宿舍、普通机房相区别），以保证重要数据能得到更好的服务。 (5)访问区域和访问时间的有效控制 互联网上充斥了许多色情、暴力、反动信息，如何让学校、家长放心，使孩子尽量远离这些不良信息也是必须解决的一个问题。 (6)内外网 IP 地址间的 NAT 功能 系统提供了内、外网 IPNAT 功能（地址转换功能），避免了内网 IP 地址的暴露，为不怀好意者对校园网的攻击增加了难度，减少校园网遭受网络攻击的可能性。 (7)强大的事件追查功能 系统中丰富的日志信息和便捷的追查工具能使网络管理员在面对异常事件时，能及时做出反应，迅速找出幕后“黑手”。 (8)多校区远程管理功能 系统能同时对位于不同校区的 NAS 设备提供远程管理功能，在实现统一多个校区资费策略的同时还大大减少了网络管理员的工作量。 任务 1：网络安全认知 7.1.1 校园网网络安全案例分析 任务 2：ARP 欺骗攻击防御 7.2.1 ARP 欺骗原理 以太网协议规定：同一局域网中的一台主机要和另一台主机进行直接通信，必须要知道目标主机的 MAC 地址。而在 TCP/IP 协议中，网络层和传输层只关心目标主机的 IP 地址。这就导致在以太网中使用 IP 协议时，数据链路层的以太网协议接到上层 IP 协议提供的数据中，只包含目的主机的 IP 地址。于是需要一种方法，根据目的主机的 IP 地址，获得其 MAC 地址。这就是 ARP 协议要做的事情。所谓地址解析（address resolution）就是主机在发送帧前将目标 IP 地址转换成目标 MAC 地址的过程。 另外，当发送主机和目的主机不在同一个局域网中时，即便知道目的主机的 MAC 地址， 两者也不能直接通信，必须经过路由转发。所以，此时发送主机通过 ARP 协议获得的将不是目的主机的真实 MAC 地址，而是一台可以通往局域网外的路由器的某个端口的 MAC 地址。于是此后发送主机发往目的主机的所有帧，都将发往该路由器，通过它向外发送。这种情况称为 ARP 代理（ARPProxy）。 在每台安装有 TCP/IP 协议的电脑里都有一个 ARP 缓存表，表里的 IP 地址与 MAC 地址是一一对应的。 RARP 的工作原理： (1)发送主机发送一个本地的 RARP 广播，在此广播包中，声明自己的 MAC 地址并且请求任何收到此请求的 RARP 服务器分配一个 IP 地址； (2)本地网段上的 RARP 服务器收到此请求后，检查其 RARP 列表，查找该 MAC 地址对应的 IP 地址； (3)如果存在，RARP 服务器就给源主机发送一个响应数据包并将此 IP 地址提供给对方主机使用； (4)如果不存在，RARP 服务器对此不做任何的响应； (5)源主机收到从 RARP 服务器的响应信息，就利用得到的 IP 地址进行通信；如果一直没有收到 RARP 服务器的响应信息，表示初始化失败； (6)如果在第（1）～（3）中被 ARP 病毒攻击，则服务器做出的反映就会被占用，源主机同样得不到 RARP 服务器的响应信息，此时并不是服务器没有响应而是服务器返回的源主机的 IP 被占用。 任务 2：ARP 欺骗攻击防御 7.2.1 ARP 欺骗原理 任务 2：ARP 欺骗攻击防御 7.2.2 任务实战：Win Arp Attacker 工具的使用 任务目的： 了解 Win Arp Attacker 软件攻击的方法和步骤 学会使用 ARP 欺骗的攻击方法和掌握 ARP 欺骗的防范方 任务内容： ARP 欺骗攻击； ARP 防御。 任务环境： 1. 操作系统：Windows Server 2012 R2 /Window 10； 2. VMware虚拟机两台，一台安装WinArpAttacker工具，另一台安装ARP防火墙工具antiarp软件。 任务 2：ARP 欺骗攻击防御 7.2.2任务实战：Win Arp Attacker 工具的使用 任务步骤： 步骤1：ARP的攻击器V3.70升级版需要WinPcap的支持，安装后可进行下一步操作。 步骤2：打开ARP攻击器V3.70，双击ARP攻击器，选中扫描，便可扫描到网内主机，如图所示。 任务 2：ARP 欺骗攻击防御 7.2.2任务实战：Win Arp Attacker 工具的使用 步骤3：选中目标主机进行扫描，如图所示。 任务 2：ARP 欺骗攻击防御 7.2.2任务实战：Win Arp Attacker 工具的使用 步骤4：对选中的目标机进行IP占用，如图所示。 任务 2：ARP 欺骗攻击防御 7.2.2任务实战：Win Arp Attacker 工具的使用 步骤5：下图为ARP的一个冲突显示，如图所示。 任务 2：ARP 欺骗攻击防御 7.2.2任务实战：Win Arp Attacker 工具的使用 步骤6：安装ARP防火墙，打开antiarp（需要先解压缩），然后双击安装程序，进入安装向导，如图所示。 步骤7：接受许可并选择下一步，如图所示。 任务 2：ARP 欺骗攻击防御 7.2.2任务实战：Win Arp Attacker 工具的使用 步骤8：选择“默认安装”路径，下一步如图所示。 步骤9：按照相关提示，然后单击“安装”，如图所示。 任务 2：ARP 欺骗攻击防御 7.2.2任务实战：Win Arp Attacker 工具的使用 步骤10：单击安装好的应用程序，启动保护功能。在ARP防火墙的保护功能下，拦截到的外部IP冲突攻击，如图所示。 任务 2： 端口扫描 7.2.1 端口扫描概述 端口扫描的目的是扫描大范围的主机连接一系列的 TCP 端口，判断主机开放了哪些服务，这些开放的端口往往与一定的服务相对应，通过这些开放的端口，就能了解主机运行的服务，然后就可以进一步整理和分析这些服务可能存在的漏洞，随后采取针对性的攻击。 端口扫描原理分类： (1)全 TCP 连接 这种扫描方法使用三次握手，与目标计算机建立标准的TCP连接。 (2)半打开式扫描（SYN 扫描） 在这种扫描技术中，扫描主机自动向目标计算机的指定端口发送SYN数据段，表示发送建立连接请求。 (3) FIN 扫描 这种扫描技术依靠发送FIN来判断目标计算机的指定端口是否活动。 7.2.2 端口扫描工具 任务 2： 端口扫描 1. x-scan x-scan 是一款黑客扫描漏洞软件，采用多线程方式对指定 IP 地址段（或单机）进行安全漏洞检测，支持插件功能。扫描内容包括：远程服务类型、操作系统类型及版本，各种弱口令漏洞、后门、应用服务漏洞、网络设备漏洞、拒绝服务漏洞等二十几个大类。不用注册码， 完全绿色免费。但它支持 Windows 9x/NT4/2000 X-Scan 把扫描报告和安全焦点网站相连接， 对扫描到的每个漏洞进行“风险等级”评估，并提供漏洞描述、漏洞溢出程序，方便网管测试、修补漏洞。 2. Nmap Nmap 是一个网络连接端扫描软件，用来扫描网上电脑开放的网络连接端。确定哪些服务运行在哪些连接端，并且推断计算机运行哪个操作系统（这是亦称 fingerprinting）。其基本功能有三个：一是探测一组主机是否在线；其次是扫描主机端口，嗅探所提供的网络服务； 第三是推断主机所用的操作系统。 3. SuperScan SuperScan 功能强大的端口扫描工具。具有以下功能： （1）通过 Ping 来检验 IP 是否在线； （2） IP 和域名相互转换； （3）检验目标计算机提供的服务类别； （4）检验一定范围目标计算机是否在线和端口情况； （5）工具自定义列表检验目标计算机是否在线和端口情况； （6）自定义要检验的端口，并可以保存为端口列表文件； （7）软件自带一个木马端口列表 trojans.lst，通过这个列表我们可以检测目标计算机是否有木马；同时，我们也可以自己定义修改这个木马端口列表。 任务 2： 端口扫描 7.2.2 端口扫描工具 任务 2： 端口扫描 7.2.3 任务实战：X-Scan 工具的使用 任务目的：掌握网络安全工具 X-Scan 的安装和使用方法。 任务内容：利用 X-Scan 对局域网内的指定计算机进行扫描。 任务环境：操作系统：Windows XP/2003 VPC 虚拟机，安装 X-Scan-v3.3 工具 任务步骤： 步骤 1：启动软件，打开 X-Scan-v3.3，文件，如图所示。 任务 2： 端口扫描 7.2.3 任务实战：X-Scan 工具的使用 步骤 2：双击 xscan_gui.exe 即可运行，打开软件如图所示。 步骤 3：设置扫描参数，如图所示。 任务 2： 端口扫描 7.2.3 任务实战：X-Scan 工具的使用 步骤 4：设置要扫描的主机 ip 地址 如图所示 步骤 5：设置全局扫描选项，分为：扫描模块、并发扫描、扫描报告、其他设置。 任务 2： 端口扫描 7.2.3 任务实战：X-Scan 工具的使用 步骤 6：设置插件选项，分为：端口相关设置、SNMP 设置、NETBIOS 设置、漏洞检测脚本设置、CGI 设置、字典文件设置，如图所示。 7.2.3 任务实战：X-Scan 工具的使用 步骤 7：设置成功后，对指定对象开始扫描，如图所示。 步骤 8：扫描结束后，报告自动生成，并且通过 IE 浏览器自动打开，如图所示。 任务 2： 端口扫描 任务 3： DoS 攻击 7.3.1 拒绝服务原理 拒绝服务攻击即攻击者想办法让目标机器停止提供服务或资源访问。这些资源包括磁盘空间、内存、进程甚至网络带宽，从而阻止正常用户的访问。其实对网络带宽进行的消耗性攻击只是拒绝服务攻击的一小部分，只要能够对目标造成麻烦，使某些服务被暂停甚至主机死机，都属于拒绝服务攻击。 攻击者进行拒绝服务攻击，实际上让服务器实现两种效果：一是迫使服务器的缓冲区满， 不接新的请求；二是使用 IP 欺骗，迫使服务器把合法用户的连接复位，影响合法用户的连接。 常见的几种拒绝服务方法： 1.SYN Food SYN Food 攻击是利用特殊的程序，设置 TCP 的Header，向服务器端不断地成倍发送只有 SYN 标志的 TCP 连接请求。当服务器接收的时候，都认为是没有建立起来的连接请求， 于是为这些请求建立会话，排到缓冲区队列中。如果你的 SYN 请求超过了服务器能容纳的限度，缓冲区队列满，那么服务器就不再接收新的请求了。其他合法用户的连接都被拒绝掉。此时，服务器已经无法再提供正常的服务了，所以 SYN Food 攻击是拒绝服务攻击。 2.IP 欺骗 DOS 攻击 这种攻击利用 RST 位来实现。假设现在有一个合法用户（1.1.1.1）已经同服务器建立了正常的连接，攻击者构造攻击的 TCP 数据，伪装自己的 IP 为 1.1.1.1，并向服务器发送一个带有 RST 位的 TCP 数据段。服务器接收到这样的数据后，认为从 1.1.1.1 发送的连接有错误， 就会清空缓冲区中建立好的连接。这时，如果合法用户 1.1.1.1 再发送合法数据，服务器就已经没有这样的连接了，该用户就必须重新开始建立连接。攻击时，伪造大量的 IP 地址，向目标发送 RST 数据，使服务器不对合法用户服务。 3. UDP 洪水攻击 UDP Flood 是当前最流行的 DoS（拒绝服务攻击）与 DDoS（分布式拒绝服务攻击）的方式之一，这种攻击是抓住了 UDP 协议是一个面向无连接的传输层协议，以至于在数据传送过程中，不需要建立连接和进行认证这一特点，进行攻击时攻击方就可以向被攻击方发送大量的异常高流量的完整 UDP 数据包，这样一方面会使被攻击主机所在的网络资源被耗尽（CPU 满负荷或内存不足），还会使被攻击主机忙于处理 UDP 数据包，而使系统崩溃。 7.3.1 拒绝服务原理 任务 3： DoS 攻击 任务 3： DoS 攻击 7.3.1 拒绝服务原理 4. Smurf 攻击 Smurf 攻击就是利用发送 ICMP 应答包来导致目标主机的服务拒绝攻击。在 Smurf 攻击中，ICMP 应答请求数据包中的目标 IP 是一个网络的广播 IP 地址，源 IP 地址是其要攻击主机的 IP 地址。这种攻击方式主要由 3 部分组成：攻击者、中间媒介（主机、路由器和其他网络设备）和被攻击者。当攻击者发送一个 ICMP 请求应答包时，他并不将自己机器的 IP 作为源 IP。相反，攻击者将被攻击对象的 IP 作为包的源 IP。当中间媒介收到一个指向其所在网络的广播地址后，中间媒介将向源 IP（被攻击者的 IP）发送一个 ICMP 应答包。 任务 3： DoS 攻击 7.3.2 任务实战：DoS/DDoS 攻击与防范 任务目的：1. 了解 DoS/DDoS 攻击的原理和危害，掌握利用 TCP 协议的 DoS/DDoS 攻击原理 2. 了解针对 DoS/DDoS 攻击的防范措施和手段 任务内容：利用 DDoSer 软件在局域网内演练攻击和防范任务环境 操作系统：Windows Server 2012 R2 /Window 10； VPC 虚拟机，安装 DDoSer 工具 任务步骤：步骤 1：打开生成器 DDosMaker.exe，设置目标主机的 IP 地址为自己的主机 IP；端口为80；并发连接线程数为 10；最大 TCP 连接数为 1000；注册表启动项键名和攻击者程序文件名为缺省，如图所示。 任务 3： DoS 攻击 步骤 2：单击“生成”按钮，DDoS 攻击者程序会自动生成完毕，如图所示。 7.3.2 任务实战：DoS/DDoS 攻击与防范 任务 3： DoS 攻击 7.3.2 任务实战：DoS/DDoS 攻击与防范 步骤 3：受到攻击时，会收到大量不完整的 TCP“两次握手”连接。在目标主机的文本和屏幕下执行 netstat 命令，可以看到从另外一台主机发来的大量连接，如图所示。 7.3.2 任务实战：DoS/DDoS 攻击与防范 任务 3： DoS 攻击 当攻击者不需要扮演“攻击者”角色时，要将攻击程序清除，可按如下方法手工处理： 从攻击者主机上删除 DDoSer.exe 程序； 在任务管理器中，结束 Kernel32 进程； 修改注册表：通过“开始”→“运行”→“regedit”，进入注册表，然后逐级进行修改： HKEY_LOCAL_MACHINE—Software—Microsoft—Windows—CurrentVersion—Run 和RunServices 查看，有 KERNERL32.EXE 一项存活的话，将其键值删除（如图所示）。 7.3.2 任务实战：DoS/DDoS 攻击与防范 任务 3： DoS 攻击 DDoS 攻击防范策略： 由于 DDoS 攻击具有隐蔽性，因此到目前为止还没有发现对 DDoS 攻击行之有效的解决方法。所以要加强安全防范意识，提高网络系统的安全性。可采取的安全防御措施有以下几种： 1.及早发现系统存在的攻击漏洞，及时安装系统补丁程序； 2.在网络管理方面，要经常检查系统的物理环境，禁止那些不必要的网路服务。 3.利用网络安全设备（如防火墙）来加固网络的安全性，配置好安全规则，过滤掉所有可能的伪造数据包； 4.遭受 DDoS 攻击时，应启动应对策略，尽可能快地追踪攻击包，并且要及时联系 ISP和有关应急组织，分析受影响的系统，确定涉及的其他节点，从而阻挡已知攻击节点的流量； 5.及时清除系统中存在的 DDoS 攻击的工具软件。 7.4.1 网络监听原理及检测 任务 4：网络监听 1. 网络监听的原理 网络监听是一种数据链路层的技术，利用的是共享式的网络传输介质。共享意味着网络中的一台机器可以监听到传递给本网段（冲突域）中的所有机器的报文。 2. 网络监听防范措施 网络监听是很难被发现的，因为运行网络监听的主机只是被动地接收在局域局上传输的信息，不是主动地与其他主机交换信息，也没有修改在网上传输的数据包。 （1）从逻辑或物理上对网络分段 （2）以交换式集线器代替共享式集线器 （3）使用加密技术 （4）划分 VLAN 3. 网络监听检测方法 （1） PING 方法 （2） ARP 方法 任务 4：网络监听 7.4.2 任务实战： Wireshark 的使用 任务目的： 1.掌握嗅探工具的安装与使用方法，理解 TCP/IP 协议栈中 IP、TCP、UDP 等协议的数据结 2.了解 FTP、HTTP 等协议明文传输的特性，建立安全意识，防止此类协议传输明文造成的泄密 任务内容： 分析 wireshark捕获 TCP 数据报报文。 任务环境： 1.操作系统： Windows Server 2012 R2 /Window 10； 2. VMware虚拟机，安装Wiresharkv2.6.2 工具。 任务 4：网络监听 7.4.1 网络监听原理及检测 任务步骤： 步骤1：在PC1上启动Wiresharkv2.6.2，进入Wireshark可以看到嗅探器已经开始扫描网内的主机MAC地址，如图所示。 步骤 2：然后按下【F10】开始抓包（或单击下面的开始按钮），如图所示。 7.4.1 网络监听原理及检测 任务 4：网络监听 步骤3：在PC2上运行命令“ftp 192.168.3.1 ”访问FTP服务器，如图所示。 步骤 4：观察工具栏的状态，当捕获状态图标变红时，表示已捕捉到数据，如图所示。 任务 4：网络监听 7.4.1 网络监听原理及检测 步骤 5：点击解码，可以对捕获到的解码数据包进行分析，如图所示。 任务 4：网络监听 7.4.1 网络监听原理及检测 步骤 6：选择有USER字段的数据包(FTP传输数据是明文传输)，很容易就找到FTP用户名和密码，如图所示。 7.5.1 防火墙技术概述 任务 5：使用防火墙保护计算机系统 防火墙是一套可以增强机构内部网络资源的安全系统，用于加强网络间的访问控制，防止外部用 非法使用内部网的资源，保护内部网络的设备不被破坏，防止内部网络的敏感数据被窃取。防火墙只允许授权的数据通过，并且防火墙自身也必须能够免于渗透。但是，防火墙一旦被攻击者突破或者迂回，就不会再有任何的保护效果了。 对于防火墙来说，从其原理上进行划分，可将防火墙分为： 1. 包过滤型防火墙 2. 应用层代理防火墙 3. 状态检测防火墙 4. 自适应代理防火墙 7.5.2 防火墙组网 任务 5：使用防火墙保护计算机系统 为了维护计算机网络的安全，在工作中人们提出了许多手段和方法，其中防火墙技术是增加网络安全最主要的手段之一，它有效地起到了纺织内部信息外漏和外部网络人员恶意入侵的作用，大大提高了网络整体的安全性。 1. 屏蔽路由器系统 屏蔽路由器实际上是一个包过滤防火墙，可以由厂家专门生产的路由器实现，也可以用主机来实现，采用这种技术的防火墙的优点是速度快、实现方便，但该技术的安全性能差， 一旦被攻陷后很难发现，而且不能识别不同的用户(如图所示)。 7.5.2 防火墙组网 任务 5：使用防火墙保护计算机系统 2.双宿主机（堡垒主机）网关系统 双宿主机网关属于应用层代理防火墙，双宿主机又称堡垒主机，一般装有两块网卡，分别与内外网相连。双宿主机内外的网络都可以和双宿主机通信，但内外网络之间不可直接通信 7.5.2 防火墙组网 任务 5：使用防火墙保护计算机系统 3.三宿主机（堡垒主机）网关系统 三宿主机一般装有三块网卡，分别与内外网及 DMZ 区相连，DMZ（Demilitarized Zone） 称作隔离区或非军事化区，是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区。 7.5.2 防火墙组网 任务 5：使用防火墙保护计算机系统 4.被屏蔽子网网关系统 这种方法是在网络中包含两个屏蔽路由器和壁垒主机，形成内部防火墙和外部防火墙，在两个防火墙 之间建立一个被隔离的子网，子网内构成一个 DMZ 区。 7.5.3 任务实战：Windows 防火墙配置 任务 5：使用防火墙保护计算机系统 任务目的： 1. 掌握防火墙的基本原理和功能 2. 掌握 Windows 防火墙的基本使用方法 任务内容： 设置 Window 防火墙允许 ftp 程序运行。 任务环境： 1. 操作系统：Windows Server 2012 R2/Window 10； 2. VMware 虚拟机两台，Windows自带防火墙及FTP服务软件,如图7-34所示。 任务 5：使用防火墙保护计算机系统 任务步骤： 步骤 1：在“控制面板”中打开“Windows 防火墙”应用程序，并“启用”防火墙功能， 如图所示。 7.5.3 任务实战：Windows 防火墙配置 任务 5：使用防火墙保护计算机系统 步骤 2：在客户端访问 FTP 服务器，连接结果如图所示。 7.5.3 任务实战：Windows 防火墙配置 7.5.2 防火墙组网 任务 5：使用防火墙保护计算机系统 步骤 3：点击Windows防火墙 “高级设置”选项，进入高级安全Windows防火墙页面，如图所示。 7.5.2 防火墙组网 任务 5：使用防火墙保护计算机系统 步骤4：右击“入站规则”,选择“新建规则”选项，如图所示。 7.5.2 防火墙组网 任务 5：使用防火墙保护计算机系统 步骤 5：选择要创建的规则类型为“端口”。如图所示。 7.5.2 防火墙组网 任务 5：使用防火墙保护计算机系统 步骤 6：选择此规则应用的协议为“TCP”，端口为“20,21”, 如图7-40所示。 7.5.2 防火墙组网 任务 5：使用防火墙保护计算机系统 步骤7：设置连接符合指定条件时选择“允许连接”操作，如图所示。 步骤 8：根据环境选择规则使用场合，如图所示。 7.5.2 防火墙组网 任务 5：使用防火墙保护计算机系统 步骤9：为此规则命名为ftp，如图所示。 步骤10：创建完成后，开始验证规则。通过客户机可以成功访问FTP服务器，如图所示。 7.6.1 共享资源的安全管理 任务 6：系统资源的安全管理 1.卷影副本启用和管理 卷影副本功能可提供网络共享上的文件的即时点副本。利用共享文件夹的卷影副本，可以查看网络文件夹在过去某一时间点的内容。在以下三种情况下此功能可能非常有用： (1) 希望恢复被意外删除的文件。此功能是“回收站”功能的网络替代品。如果意外地删除了一个文件，则可以打开该文件的旧版本，然后将它复制到一个安全位置。共享文件夹的卷影副本可以恢复通过任何方法删除的文件，只要存在所需的历史文件夹。 (2) 希望恢复被意外覆盖的文件。通过打开一个现有文件，对其进行修改，然后用一个新名称保存该文件来创建新文件，那么在这样的环境中，共享文件夹的卷影副本可能非常有用。 (3) 在处理文件时，经常需要检查该同一文件的不同版本。在正常的工作周期内，如果需要确定同一文件的两个版本之间发生了哪些更改，则可以使用共享文件夹的卷影副本。 7.6.1 共享资源的安全管理 任务 6：系统资源的安全管理 使用卷影副本的方法如下： （1）启用共享文件夹的卷影副本功能。 步骤 1：依次选择“开始”→“管理工具”→“计算机管理”，右击“共享文件夹”→“所有任务”→“配置卷影副本”，如图所示。 7.6.1 共享资源的安全管理 任务 6：系统资源的安全管理 步骤 2：在“卷影副本”对话框中，选择要启用“卷影复制”的驱动器，例如 C：\，单击“启用”按钮，如图所示。 7.6.1 共享资源的安全管理 任务 6：系统资源的安全管理 步骤 3：接着会出现“启用卷影副本”的提示，如下图所示。单击“是”之后就完成了卷影副本的创建。之后如果想要再一次对卷影副本的卷进行选定，可在图 中“选定卷的卷影副本”中创建新的副本，并且可以对其进行删改。 7.6.1 共享资源的安全管理 任务 6：系统资源的安全管理 步骤 4：在创建卷影副本之后可根据需要在“设置”里对副本的存储最大值进行限制，并且可以根据需要进行计划性的创建，有效提高效率，保证了创建卷影副本的便捷。 7.6.1 共享资源的安全管理 任务 6：系统资源的安全管理 （2）客户端访问“卷影副本”内的文件。 步骤1：假设误操作删掉了192.168.3.1共享资源share的新建文件夹里，如图所示。 7.6.1 共享资源的安全管理 任务 6：系统资源的安全管理 步骤2：在空白处选择“属性”，在对话框里选择“以前的版本”选项卡。如图所示。 7.6.1 共享资源的安全管理 任务 6：系统资源的安全管理 步骤3：“以前的版本”选项卡中， 单击“查看”副本中保存的文件，如图所示。 7.6.1 共享资源的安全管理 任务 6：系统资源的安全管理 步骤4：关掉以前的副本内容，单击“还原”，在以前的版本窗口中单击“是”按钮，还原成功，如图所示。 7.6.1 共享资源的安全管理 任务 6：系统资源的安全管理 步骤5：再次查看192.168.3.1上的共享资源share，发现之前删除掉的文件还原回来了。如图所示。 7.6.1 共享资源的安全管理 任务 6：系统资源的安全管理 2.文件夹权限隐藏管理 (1)特殊共享查看 在“计算机管理”控制台中单击“共享文件夹”，如图所示，出现“共享文件夹”管理单元。 7.6.1 共享资源的安全管理 任务 6：系统资源的安全管理 常 见 的 有 如 下 几 种 ： ADMIN$：在远程管理计算机时系统使用的资源； IPC$：共享命名管道的资源； PRINT$：远程管理打印过程中使用的资源； Drive Letter$：为存储设备的根目录创建的一种共享资源显示为 C$或 D$。 7.6.1 共享资源的安全管理 任务 6：系统资源的安全管理 （2）特殊共享查看 步骤1：共享文件夹隐藏就是为该共享文件夹命名时，在名字的最后加一个符号“$”，就可以将该文件夹隐藏。例如新建“财务部数据”隐藏共享，如图所示。 7.6.1 共享资源的安全管理 任务 6：系统资源的安全管理 （2）特殊共享查看 步骤2：在访问隐藏共享时，也允许在共享资源名称后加“$”。如图所示。 7.6.1 共享资源的安全管理 任务 6：系统资源的安全管理 3. NTFS 权限设置与管理 NTFS 权限的概述 利用 NTFS 权限，可以控制用户账号和组对文件夹和个别文件的访问。只适用于 NTFS 磁盘分区、共享文件夹权限与 NTFS 文件系统权限的组合 如何快速有效地控制对 NTFS 磁盘分区上网络资源的访问呢？答案就是利用默认的共享文件夹权限共享文件夹，然后，通过授予 NTFS 权限控制对这些文件夹的访问。当共享的文件夹位于 NTFS 格式的磁盘分区上时，该共享文件夹的权限与 NTFS 权限进行组合，用以保护文件资源。 7.6.1 共享资源的安全管理 任务 6：系统资源的安全管理 (2) 转换分区的文件系统 转换方式有三种： 方法 1：在安装过程中，直接将 FAT32 转换为 NTFS 格式。 方法 2：使用“pqmagic.exe”专用工具进行转换。使用这种方法应当注意的是：从 FAT32 转换为 NTFS 格式对原有的系统中的数据是没有影响的；反之会对系统有影响，如设置的审核、文件和目录的安全性。 方法 3：在已安装的 Windows2000/2003/xp 中进行转换时，只能进行从 FAT32 到 NTFS 格式的转换。 在微软操作系统中，无论是安装过程，还是在安装完之后，都可以使用系统内置的命令“进行转换”。但是，只能将 FAT 或 FAT32 格式转换为 NTFS 格式，而且这种转换不会损坏已安装的系统；反之则不行。 7.6.2 数据的备份和还原 任务 6：系统资源的安全管理 “备份”工具支持5种方法来备份计算机或网络上的数据。 （1）副本备份可以复制所有选定的文件，但不将这些文件标记为已经备份（换言之，不清除存档属性）。如果要在正常和增量备份之间备份文件，复制是很有用的，因为它不影响其他备份操作。 （2）每日备份用于复制执行每日备份的当天修改过的所有选定文件。备份的文件将不会标记为已经备份（换言之，不清除存档属性）。 （3）差异备份用于复制自上次正常或增量备份以来所创建或更改的文件。它不将文件标记为已经备份（换言之，不清除存档属性）。如果要执行正常备份和差异备份的组合，则还原文件和文件夹将需要上次已执行过正常备份和差异备份。 （4）增量备份仅备份自上次正常或增量备份以来创建或更改的文件。它将文件标记为已经备份（换言之，清除存档属性）。如果将正常和增量备份结合使用，需要具有上次的正常备份集和所有增量备份集才能还原数据。 （5）正常备份用于复制所有选定的文件，并且在备份后标记每个文件（换言之，清除存档属性）。使用正常备份，只需备份文件或磁带的最新副本就可以还原所有文件。通常，在首次创建备份集时执行一次正常备份。 7.6.2 数据的备份和还原 任务 6：系统资源的安全管理 1.数据备份 使用Windows Server 2012 R2的备份工具可以很方便进行数据备份。 步骤1：依次打开 “服务器管理器”→“工具”→“Windows Server Backup” →“本地备份”→“备份计划”选项，打开备份计划向导，选择下一步，对数据进行备份，接着选择备份文件和设置。如图所示。 7.6.2 数据的备份和还原 任务 6：系统资源的安全管理 步骤2：单击“下一步”按钮，出现“选择备份配置”对话框，单击“自定义”选项，如图所示。 7.6.2 数据的备份和还原 任务 6：系统资源的安全管理 步骤3：单击“添加项目”按钮，出现“要备份的项目”对话框。根据需要可进行选择，如图所示。 7.6.2 数据的备份和还原 任务 6：系统资源的安全管理 步骤4：单击“下一步”按钮，选择指定备份时间，如图所示。 7.6.2 数据的备份和还原 任务 6：系统资源的安全管理 步骤5：单击“下一步”按钮，选择指定目标类型为“备份到卷”，如图所示。 7.6.2 数据的备份和还原 任务 6：系统资源的安全管理 步骤6：单击“下一步”按钮，添加指定备份的路径为“本地磁盘（D:）”，如图所示。 7.6.2 数据的备份和还原 任务 6：系统资源的安全管理 步骤7：单击“下一步”按钮，确认备份计划。如图所示。 7.6.2 数据的备份和还原 任务 6：系统资源的安全管理 步骤8：单击“摘要” ，可以看到已经创建的备份信息，如图。 7.6.2 数据的备份和还原 任务 6：系统资源的安全管理 2.数据还原 在出现数据异常或丢失时，可以很快捷的使用Windows server 2012 R2的故障恢复工具还原以前备份的数据。 步骤 1：打开“备份工具”对话框，默认情况下，将启动备份或还原向导，并选择“并选择“恢复”设置。如图所示。 7.6.2 数据的备份和还原 任务 6：系统资源的安全管理 步骤 2：单击“下一步”按钮，进入“还原项目”对话框，选择需要还原的任何组织形式的驱动器、文件夹或文件，如图所示。 7.6.2 数据的备份和还原 任务 6：系统资源的安全管理 步骤 3：单击“下一步”按钮，对选择的恢复项目进行确认。如图所示。 7.6.2 数据的备份和还原 任务 6：系统资源的安全管理 步骤 4：单击“完成”按钮，进入“还原进度”对话框，数据正在还原（等待一段时间）。单击“关闭”按钮，完成还原，如图所示。 7.6.3 任务实战：加密文件系统使用 任务 6：系统资源的安全管理 任务目的： 1. 掌握对称加密和非对称加密技术原理 2. 掌握 EFS 使用方法 任务内容： 使用 EFS 对文件进行加密。 任务环境： 1. 操作系统：Windows Server 2012 R2/Window 10； 2. VMware虚拟机。 7.6.3 任务实战：加密文件系统使用 任务 6：系统资源的安全管理 步骤 1：右键单击件技术资料，然后单击“属性”按钮。在“常规”选项卡上，单击“高级”按钮，选中“加密内容以便保护数据”复选框，如右图所示。 步骤 2：然后单击“确定”按钮，文件变成“绿色”，代表已经 加密，如图所示 7.6.3 任务实战：加密文件系统使用 任务 6：系统资源的安全管理 步骤 3：单击“开始”，打开“运行”对话框，键入 certmgr.msc，然后按【回车键】确定，如图所示。 7.6.3 任务实战：加密文件系统使用 任务 6：系统资源的安全管理 步骤 4：在“证书控制台”窗口，打开“当前用户”→“个人”→“证书”目录树，右击该证书，在弹出的快捷菜单中选择“所有任务”→“导出”命令，如图所示。 7.6.3 任务实战：加密文件系统使用 任务 6：系统资源的安全管理 步骤 5：使用“证书导出向导”，单击“下一步”按钮，进入“导出私钥”对话框，如图所示。选择“是，导出私钥按钮”按钮。如图所示。 7.6.3 任务实战：加密文件系统使用 任务 6：系统资源的安全管理 步骤 6：单击“下一步”按钮，进入“导出文件格式”对话框。单击“个人信息交换—PKCS#12（.PEX）”选项。如图所示。 7.6.3 任务实战：加密文件系统使用 任务 6：系统资源的安全管理 步骤 7：单击“下一步”按钮，进入“密码”对话框，如图7-78所示。指定在导入证书时要用到的密码，如果丢失，将无法打开加密的文件。 7.6.3 任务实战：加密文件系统使用 任务 6：系统资源的安全管理 步骤 8：单击“下一步”按钮，进入“要导出的文件”对话框，如图7-79所示，指定要导出的证书和私钥的文件名和位置。 7.6.3 任务实战：加密文件系统使用 任务 6：系统资源的安全管理 步骤9：单击“下一步”按钮，继续安装，最后单击 “完成”按钮，如图所示，将完成证书的导出。 7.6.3 任务实战：加密文件系统使用 任务 6：系统资源的安全管理 步骤 10：切换用户，用小李帐户来访问，打开文件时出现“拒绝访问”，如图所示。 7.6.3 任务实战：加密文件系统使用 任务 6：系统资源的安全管理 步骤 11：双击该证书，便会出现导入向导，进入“证书导入向导对话框”文件，在导入的文件窗口中选择证书文件，如图所示。 7.6.3 任务实战：加密文件系统使用 任务 6：系统资源的安全管理 步骤 12：在密码窗口中输入证书保护密钥，按照向导完成导入，双击打开加密文件，如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 1. 启用 Windows Update 服务 步骤 1：选择“我的电脑”，右击“属性”，打开“自动更新”标签，时间一般选择每天凌晨一次（上网人少，速度快），如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤 2：单击链接 http：//www.microsoft.com/zh-cn/default.aspx 随时进行在线更新，如图所示。 2.用户基本管理 步骤 1：禁止或删除不必要的账户（如 Guest），如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤 2：启动组策略时，单击“开始”按钮，选择“运行”命令，在“运行”文本框中输入“gpedit.msc” 命令，即可启动组策略，如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤 3：设置增强的密码策略（密码长度至少 9 个字符；设置一个与系统或网络相适应的最短密码存留期为 1～7 天；设置一个与系统或网络相适应的最长密码存留期不超过42 天；设置密码历史至少6 个），如图所示。 步骤 4：设置账户锁定策略（修改复位账户锁定计数器为 30 min 之后，账户锁定时间为30 min，账户锁定阈值 5 次），如图所示。 步骤 5：加强管理员账户的安全性（将 Administrator 重命名；为 Administrator 账户设置一个杂密码；建立一个伪账户，其名字虽然是 Administrator，但是没有任何权限；除管理员账户外，有必要再增加一个属于管理员组（Administrators）的账户，作为备用账户。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤 6：利用 SYSKEY 保护账户信息。 SYSKEY 密钥来保护 SAM 的账户信息。默认情况下，启动密钥是一个随机生成的密钥， 存储在本地计算机上，这个启动密钥在计算机启动时必须正确输入才能登录系统，运行SYSKEY 方式： 在“运行”对话框中输入 SYSKEY 命令，单击“确定”按钮，进行 SYSKEY 设置，如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤 6：利用 SYSKEY 保护账户信息。 单击“确定”按钮，此刻会发现操作系统没有任何提示，但是其实已经完成了对散列值的二次加密工作。此时，即使攻击者通过另一个系统进入系统，盗走 SAM文件的副本或者在线提取密码散列值，这份副本或散列值对于攻击者也是没有意义的，因为 SYSKEY 提供了安全保护。 如果要设置系统启动密码或启动软件就要单击对话框中的“更新”按钮，弹出如图所示的对话框。 若想设置系统启动时的密码，可以单击“系统产生的密码”和“在软盘上保存启动密码”；若想保存一个密码作为操作系统的一部分，在系统开始时不需要任何交互操作，可依次单击“系统产生的密码”和“在本机上保存启动密码”。 项目实战：加固 Windows Server 2012 R2 操作系统 3.优化和筛选系统服务中的各项服务。 步骤 1：“开始”→“运行”，输入 services.msc 命令，单击确定，如图所示。 步骤 2：在服务窗口中，打开“Computer Browser”，如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤 3：在常规标签启动类型中，选择“禁用”，在服务状态选择“停止”。Computer Browser 服务被关闭，可用来防止局域网之间的浏览，如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤 4：按同样的方法停止 Messenger、Print Spooler、Windows Time、 Windows User Mode Driver Framework、WinHTTP Web Proxy Auto-Discovery Service、 Wireless Configuration、Workstation、Remote Registry、TCP/IP NetBIOS Helper、 Telnet 终端等服务。 步骤 5：Remote Procedure Call（RPC）服务不能停用，要把恢复项中的失败全部设置为不操作， 如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤 6：Windows Firewall/Internet Connection Sharing（ICS）此项为系统自带的防火墙， 根据情况最好开启。在启动类型中选择“自动”，在服务状态中选择启动。 步骤 7：如果服务器不进行资源共享，Server 服务就需要禁用。在常规标签启动类型中， 选择“禁用”，在服务状态中选择“停止”，如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 Server 服务禁用后，在“计算机管理”→“共享文件夹”→“共享”中执行“新文件共享”命令，系统出现错误提示，如右图所示。将系统的常规共享、IPC$等关闭。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤 8：禁用 TCP/IP 上的 NetBIOS（关闭 137/138 端口）。打开“TCP/IP”属性，选择“高级”，在高级设置窗口中选择“WINS”标签，在 NetBIOS设置中“禁用 TCP/IP 上的 NetBIOS”。单击“确定”，如图 所示。 项目实战：加固 Windows Server 2012 R2 操作系统 4.关闭常用端口及防止PING攻击 步骤1：打开“程序”→“ 管理工具”→ “本地安全策略”，选中“IP 安全策略，在本地计算机”，在右边窗格的空白位置右击鼠标，弹出快捷菜单，选择“创建IP安全策略”，会弹出一个向导。在向导中点击“下一步”按钮，为新的安全策略命名为“禁用ICMP”。如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤2：再按“下一步”，则显示“安全通信请求”对话框，在对话框上把“激活默认相应规则”左边的钩去掉。如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤3：点击“下一步”选择验证方法，再点击“下一步”出现一个警示窗口，选择“是”，点击“完成”按钮就创建了一个新的IP 安全策略。 步骤4：右击该IP安全策略，在“属性”对话框中，出现“IP安全规则”对话框，把“使用添加向导”左边的钩去掉。如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤5：单击“添加”按钮添加新的规则，随后弹出“新规则属性”对话框，在画面上点击“添加”按钮，弹出“IP筛选器列表”窗口；在列表中，修改名称为“ICMP-ping”首先把“使用添加向导”左边的钩去掉，然后再点击右边的“添加”按钮添加新的筛选器。如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤6：进入“筛选器属性”对话框，首先看到的是寻址，源地址选“任何 IP 地址”，目标地址选“我的 IP 地址”。如图所示。 步骤7：点击“协议” 选项卡，在“选择协议类型” 的下拉列表中选择“ICMP”，如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤8：点击“确定”后回到筛选器列表的对话框，可以看到已经添加了一条策略，重复以上步骤可以添加多条规则。（例如：在“选择协议类型”的下拉列表中选择“TCP”，然后在“到此端口”下的文本框中输入“4012”，最后点击“确定”按钮，就可以关闭4012端口。）如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤9：在“新规则属性”对话框中，选择“新 IP 筛选器列表”，然后点击其左边的圆圈上加一个点，表示已经激活，最后点击“筛选器操作”选项卡。在“筛选器操作”选项卡中，把“使用添加向导”左边的钩去掉，点击“添加”按钮，添加“阻止”操作：在“新筛选器操作属性”的“安全措施”选项卡中，选择“阻止”，然后点击“确定”按钮。如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤10：进入“新规则属性”对话框，点击“新筛选器操作”，其左边的圆圈会加了一个点，表示已经激活，点击“关闭”按钮，关闭对话框；最后回到“新IP安全策略属性”对话框，在“新的IP筛选器列表”左边打钩，按“确定”按钮关闭对话框。在“本地安全策略”窗口，用鼠标右击禁用ICMP，然后选择“指派”。如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤11：重新启动后，计算机上相应的网络端口就被关闭了，病毒和黑客再也不能连接上这些端口，从而达到保护计算机系统的目的。在本例中配置了禁用ICMP策略， 发现本机不能ping 通192.168.3.1，如左图所示。但是可以访问该机的共享资源如右图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 5.用组策略加固系统 平时我们使用计算机时，会遇到自己喜欢的壁纸被修改；IE选项被修改等种种情况，这些情况的改变为自己使用带来了诸多不便。如果想要把这些修改回来就需要动用其他软件来完成，那有没有什么方法能够防患于未然，在被修改之前就将其禁止呢？利用Windows server 2012 R2自带的组策略就可以实现，只需要对相关的选项进行设置就可以轻松做到不被修改。 （1）在组策略中，提供了一个“Active Desktop壁纸”策略，通过这个策略允许用户设置桌面上的墙纸并防止用户更改壁纸及其外观。 步骤1：设置方法为：在“组策略编辑器”窗口左侧的“本地计算机策略”中依次展开 “用户配置”→“管理模版”→“桌面”→“Active Desktop”。 项目实战：加固 Windows Server 2012 R2 操作系统 步骤2：随后在右窗口中双击“Active Desktop壁纸”策略项，弹出一个设置对话框，首先点选“已启用”单选项，这时下面的文本框已被激活，其中在“壁纸名称”项中键入墙纸图像文件所在的文件夹和名称。并且在下面的“壁纸样式”中指定墙纸是否居于中央、是否平铺或拉伸等设置，在此可以根据需要选择，然后单击“确定”按钮即可，以后其他人在再也不会更改你桌面上的壁纸了。如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 在该策略中，系统提供了一个UNC 路径，通过该功能可以设置网络中的图片或局域网其它计算机中的图片做壁纸，如果设置其它计算机上的图片可以输入//Server/*.jpg格式。通过该策略设置后，用户就不能通过“系统属性”更改壁纸了。 （2）隐藏“Internet 选项” 如果有一台公用计算机，小王对IE进行了必要的设置，如安全级别、控件启用设置等。这些设置后，他不想让他人进行修改，这时就可以通过组策略将Internet 选项中的各项屏蔽掉，以后使用时启用即可。 屏蔽IE的“Internet 选项”时，首先依次展开“用户配置”→“管理模版”→“Windows组件”→“Internet Explore” →“Internet 控制面板”，此时在右窗口中出现了禁用“Internet 选项”的所有标签项策略，如果要屏蔽某一标签项，如：常规标签项。在此双击“禁用常规标签项”策略，然后在弹出的对话框中点选“已启用”选项，即可将其屏蔽，以后再使用各项功能时在此点选“未配置”项即可将其进行恢复。如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 （3）让“任务管理器”消失 许多人平时都喜欢使用Ctrl+Alt+Del组合键来显示用户选项，这里包括任务管理器、锁定计算机、更改Windows密码、注销Windows、关机等选项。这些选项都是非常重要的，为了防止他人操作可以在组策略中屏蔽这些按钮。 首先依次展开“用户设置”→“管理模版”→“系统”→“Ctrl+Alt+Del选项”分支，在该分支下可以共有“删除任务管理器、删除锁定计算机、删除更改密码、删除注销”四个策略，双击其中需要屏蔽的项目，弹出一个设置对话框，在该对话框中选择“启用”选项即可。如图所示。 项目实战：加固 Windows Server 2012 R2 操作系统 项目实战：加固 Windows Server 2012 R2 操作系统 习题 （1）什么是网络安全？ （2）网络安全技术主要有哪些？ （3）网络安全防范措施主要有哪些？ （4）网络防火墙有哪几种类型？ （5）简述拒绝服务的种类和类型。 $$