主动防御安全网关的架设

电解阳极板

主动防御安全网关的架设

实验任务

	实验目的

本实验的出发点源于对一个实际的网络安全问题的思考：如何在没有主流网络安全设备（或设备缺乏相应功能）的情况下，利用Internet中提供的开放资源，实现在不同的网络间搭建一个安全的网关。

本实验注重锻炼实验者的问题分析能力，网络安全信息检索能力以及对资源的整合运用能力。实验强调应用创新，但并不强调实验者的程序开发能力。

	实验需求

图2-1

如图2-1所示，网段I、II为两个拥有不同网络地址的独立网段，网段中主机通过网关G实现跨网段访问。同时，管理主机M可实现对网关G进行远程管理。

基于上述网络环境，设计和部署网关G及配套设施，满足如下需求：

（1）网关G可直接或间接探测网段I、II中网络行为，并能够发现异常的网络行为；

（2）对发生异常网络行为的主机，网关G能够阻止其进行跨网段访问；

（3）除管理主机M外，网段I、II中任何主机不可对网关G进行本地（进程）访问；

（4）网关G禁止主动转发网段I、II到管理主机M的数据流；

（5）管理主机M能够通过远程管理手段对网关G进行管理。

	实验学时

4×5学时

	实验要求

（1）网关G是一台安装有Linux kernel 2.4/6操作系统的主机，并配有三块100/1000M网卡，分别定义为eth0，eth1和eth2。网络连接如下：

网关接口	连接网段/主机
eth0	管理主机M
eth1	网段I
eth2	网段II

除上表描述网段/主机外，网关各接口不再连接其它网络/主机。

（2）管理主机M访问网关G不受限。

（3）填写实验报告，提交实验报告及相关实验设计文档。

实验指导

蜂盘

	设计思想

图2-2

核心思想：通过Snort、SnortSam与iptables联动，实现安全网关的架设。

如图2-2所示，架设方案如下：

（1）开启网关G的网络接口转发功能。

（2）在网络段I、II中部署Snort入侵检测器，用于检测所在网段中的异常网络事件，在产生报警的同时，能够向网关G发送阻塞请求。阻塞请求的主要内容为产生异常网络事件的源，即威胁源。

（3）在网关G上部署SnortSam代理，允许其接受来自多个入侵检测器发出的阻塞请求。由SnortSam实时控制本地防火墙iptables，禁止来自威胁源的任何数据通过防火墙。

（4）在网关G上安装Webmin系统管理工具，管理主机M以http方式远程访问。同样，在入侵检测器上安装Webmin和snort-webmin插件，能够实现对Snort进行远程管理，如入侵规则管理等。

（5）设置网关G防火墙规则，仅允许阻塞请求和eth0数据访问本地SnortSam、Webmin等进程，其它禁止。

（6）管理主机通过Web方式查看入侵检测器的报警日志。

过滤饮水机

	技术分析

Snort是一款开源的、基于网络的入侵检测系统（NIDS，Network Based Intrusion Detection System）。NIDS的名称来自于它的工作模式——监视整个网络。更精确地说，它监视整个网络的一部分。正常情况下，计算机的网卡（NIC）工作在非混杂模式，在这种模式中，只有数据包的目的地址是网卡的MAC地址时网卡才会接收这个数据包并处理。NIDS在混杂模式下监视不流向自己的MAC地址的网络流量。在混杂模式中，NIDS可以得到所有网络中的数据包。

SnortSam是Snort的入侵防范插件，可以说是基于Snort和iptables的主动防御手段。它由插件和代理两部分组成，支持SnortSam插件的Snort，会将报警信息输出给插件，然后由插件向代理发送阻塞请求。SnortSam代理根据报警信息控制防火墙的过滤规则。

Webmin是一款开源的、基于Web的Unix/Linux系统管理工具。管理员通过浏览器访问Webmin的各种管理功能并完成相应的管理动作。通过Webmin能够在远程使用HTTPS（SSL上的HTTP）协议的Web浏览器通过Web界面管理主机，在保证了安全性的前提下提供了简单深入的远程管理。另外，Webmin的模块化架构允许编写第三方配置模块。

snort-1.0.wbm是基于Webmin模块化架构的用于管理Snort系统的配置模块，可以对Snort进行远程管理。

SnortSnarf是一款用于对Snort日志文件进行分析的工具，通过分析生成一套静态结果页面。它可以根据签名、IP地址对日志进行分组，也提供了Web链接以便获得已探测到的攻击的相关信息资源。SnortSnarf可以作为一个cron任务定期地执行，也可以随时手工执行。

	参考资源

知识	资源
iptables及其应用	知识体系\|实验27\|练习二 iptables应用
Snort及其应用	知识体系\|实验28\|练习一基于网络入侵检测系统
snortsam及其应用	知识体系\|实验28\|练习二 NIDS与防火墙联动
SSL安全套接层协议	知识体系\|实验18\|练习二 SSL－安全套接层协议
7-adcaWebmin的安装、配置及应用	应用服务器web-source/index.html检索
基于Webmin管理snort	应用服务器web-source/index.html检索
Snortsnarf安装、配置与应用	应用服务器web-source/index.html检索

枕头包装

	实验步骤

「说明」应用服务器IP/web-source/index.html提供实验所需软件工具及相关参考资源。

一．搭建网络环境

使用主机A～F搭建实验网络环境，如图2-3所示。

图2-3

实验主机角及系统环境要求如下表。

实验主机	实验角	系统环境
主机A	网段I内工作主机	Windows 轨道根数
主机B	网段I入侵检测器	Linux
主机C	网关G	Linux
主机D	管理主机M	Windows
主机E	网段II内工作主机	Linux
主机F	网段II入侵检测器	Linux

1．主机C网关环境配置

主机C添加两块以太网卡（共三块），为三块网卡静态分配IP地址，并开启IPv4数据包转发功能（静态IP如下）。

2．其它主机网络环境配置

主机A、B、D、E、F静态分配IP地址，设置默认网关，并在本机ARP缓冲表中绑定网关IP/MAC地址对。

二．软件安装与配置

「注」对系统环境已安装软件，实验期间允许对其进行覆盖安装。

1．主机C（网关G）软件安装与配置

（1）主机C安装SnortSam代理，并配置f文件。要求如下：

● SnortSam代理监听端口为30898；

● 接收网段I、II内检测器发出的阻塞请求；

● 将管理主机加入白名单列表；

● 后台运行SnortSam代理

（2）设置snortsam代理开机自启。

（3）安装Webmin，确保管理主机能够对主机C进行远程管理。Webmin登录界面如图2-4所示：

图2-4

2．主机B、F（检测器）软件安装与配置

（1）安装支持SnortSam输出插件的Snort入侵检测系统，并配置f文件。要求如下：

● 将配置文件f与规则文件*.rules放入同级目录中；

● 指定报警输出插件为alert_fwsam；

● 利用Snort安装源中的S99snort启动脚本，实现Snort作为服务启动、停止和重新启动；

● 设置Snort开机自启。

（2）安装Webmin及Snort扩展模块，并修改Snort IDS Admin配置信息，要求如下：

（3）安装SnortSnarf，编写执行脚本snortsnarf.sh。每隔30分钟执行一次snortsnarf.sh脚本。由SnortSnarf生成的静态Web页面如图2-5所示：

图2-5

三．软件安装与配置

1.主机C（网关G）防火墙设置

主机C修改/etc/sysconfig/iptables文件，重新配置缺省的防火墙规则，规则实现访问控制如下：

● 设置filter表INPUT规则链默认DROP策略；

● 允许接收内部回环数据（lo网络接口）；

● 允许接收eth0网络数据（管理主机所在网络）；）

● 允许源172.16.0.253（网段I入侵检测器）访问网关30898/tcp服务（SnortSam代理服务端口）；

● 允许源192.168.0.253（网段II入侵检测器）访问网关30898/tcp服务器；

● 设置filter表FORWARD规则链默认DROP策略；

● 允许对eth1<->eth2数据流进行转发；

● 允许对eth0->eth1的网络会话进行转发；

● 允许对eth0->eth2的网络会话进行转发。

2.主机B、F（检测器）防火墙设置

主机B、F修改/etc/sysconfig/iptables文件，重新配置缺省的防火墙规则，规则实现访问控制如下：

● 设置filter表INPUT规则链默认DROP策略；

● 允许源10.10.0.50（管理主机）访问检测器10000/tcp（Webmin）、80/tcp服务；

● 允许检测器访问网关30898/tcp服务。

四．入侵检测与网关G联动测试

1.测试用例

管理主机远程控制检测器（主机B），添加snort规则，对来自主机A、目的地址为主机E的ICMP回显请求数据进行报警，验证网关G对主机A的后续跨网段访问是否阻断成功。

管理主机远程控制检测器（主机F），添加snort规则，对来自主机E、目的地址为主机A的80/tcp访问数据进行报警，验证网关G对主机E的后续跨网段访问是否阻断成功。

2.用例实施

本文发布于:2024-09-23 05:27:19，感谢您对本站的认可！

本文链接：https://www.17tex.com/tex/3/324651.html

上一篇：信息安全主动防御预警平台的需求分析和规划设计

下一篇：石化行业无人机主动防御系统研究

标签：网关实验网络进行管理

留言与评论（共有 0 条评论）