构建堡垒主机抵御网络攻击

赵瑞霞 王会平

福建省福州市61716部队 福建 350003

0 引言

在网络快速发展的情况下，对网络安全的技术要求已经越来越高，针对网络安全的细节要求和极致防御，国外开始出现防御能力极强的“堡垒主机”，并在极短时间内风靡网络，受到网络管理员的信任。在国内的网络安全技术现状下，即使投入大量的金钱，使用种类繁多的硬件防火墙等相关设备来进行防御，依然有被攻破的极大可能，因为滞后的网络防御技术、陈旧的硬件级防御设备和呆板单一的防御思维往往对新兴的、变异的网络攻击无从下手，导致大量资金成本的浪费。从这一角度看，综合考虑防御强度、设备成本等因素，构建防御能力超强的堡垒主机不失为一种经济实用的网络安全防御策略。

1 堡垒主机的概念与作用

堡垒主机是一种被强化的可以防御进攻的计算机，被暴露于因特网上，作为进入内部网的一个检查点，以达到把整个网络的安全问题集中在某个主机上解决，从而省时省力，不用考虑其它主机安全的目的。从定义我们可以看到，堡垒主机是网络中最容易受到侵害的主机，所以堡垒主机也必须是自身保护最完善的主机。在实用级网络中，堡垒主机一般承担着某种单一而且固定的网络服务，比如Web、FTP、DNS等。安全堡垒主机的配置与通常的主机相比明显不同，所有不必要的服务、协议、程序和网络接口都将被禁用或删除，以达到“最小化安全”，以强化堡垒主机，极大地限制可能出现的网络攻击。

2 搭建堡垒主机

2.1 人员接触控制与BIOS安全

堡垒主机首先是一台服务器，是一台设备，在管理员的配置和管理下才成为能发挥作用的系统平台，如果可以让任何人没有限制地物理接触、控制、操作这台服务器，那无疑毫无安全性可言，因此可以利用比如出入登记、门禁系统、视频监控、区域管理、电话记录、维护授权和身份审核等等手段来强化物理安全保护，保证最基本的安全。

在一个没有限制外部设备启动的堡垒主机中，任何的系统级防御措施都是空谈，攻击者可以使用最古老的DOS启动盘启动系统，也可以使用系统安装盘、PE盘等光驱支持设备进行绕过系统验证的数据删除或者非法读写，还可以使用U盘或者移动硬盘，以加载启动盘或者PE操作系统的方式，同样实现破坏、窃取等操作。堡垒主机的BIOS安全设置包含：BIOS密码和禁用外部设备启动。

2.2 最小化操作系统安装与操作系统安全设置

在网络安全中，“最小化安全”是有名的安全理念，即只开放需要的功能或服务，其他与之无关的功能或服务均去掉，以此减少可能受到的攻击风险。所谓最小化操作系统，是为堡垒主机安装最基本的操作系统环境，然后再根据具体情况逐渐安装需要的服务组件。

以Windows Server 2003系统为例，要打造一个足够强悍的堡垒主机，需要注意以下几方面细节：NTFS格式的磁盘，可信的安装盘，不要直接接入网络等。另外，不建议配置成与环境中的计算机。

操作系统的安全设置主要有账户密码的安全策略、系统服务优化、本地安全策略、文件及权限安全等方面。使用组策略中启用密码复杂性要求、启用密码长度最小值等各项策略来进行强制的密码安全策略指派，可以防患于未然，提高堡垒主机的安全性。系统服务在为操作系统提供各种功能的同时，也为攻击者扩大了攻击范围与攻击点，对于堡垒主机来说，根据实际的运行服务或组件，合理地进行系统服务的禁用是提高安全性的优秀手段。对于堡垒主机需要集中设置的“本地安全策略”主要有三个方面：启用并配置日志审核、启用并配置用户权限分配以及启用并配置安全选项。庞大而驳杂的文件是影响安全性的罪魁祸首，需要进行合理的删除与转移，比如删除无用的子系统项目、不必要的网络服务文件和执行文件等；目录权限庞杂而灵活，要严格根据系统运行的服务进行设置。

2.3 最小化网络的安全设置

最小化网络的基本目的是尽量减少无用的网络功能，只保留必须的组件和程序，从而提高网络的安全性。典型的无用的网络功能有共享、IPC连接、NETBIOS和远程协助等，要进行相应的删除、禁止、禁用和关闭等设置操作。而且要在接入网络前进行基本的网络安全设置，包括开启系统默认防火墙、关闭远程桌面和开启TCP/IP筛选等。另外，注册表中存放了很多和网络安全相关的项目，通过对其进行合理设置，可以提高堡垒主机对某些网络攻击的防御能力。

3 结束语

“三分技术，七分管理”，不仅需要管理员技术的娴熟，也需要建立完善的制度，否则即使建立了安全的堡垒主机工作环境，如果没有完善的管理策略，一个微小的失误就会把一切安全准备完全破坏。

[1]郝永清.堡垒主机搭建全攻略与流行黑客攻击技术深度分析.科学出版社.2010.

[2]网络安全基础:防火墙的来历及应用现状.http://soft.yesky.com/securityw/aqff/499/2013999_3.shtml.