分类： LINUX
2010-07-22 17:22:07
山寨内部数据文件安全控制设置指南
目录
一、 客户端控制：
1、 本地磁盘控制
2、 移动磁盘控制
3、 本地网络控制
二、 网络连接控制
1、 端口-网卡绑定
2、 外网控制
3、 虚拟专用网络设置
4、 网卡-IP-主机绑定
三、 文件服务器控制
1、 IP限制
2、 帐户限制
3、 磁盘加密
极端攻击途径
A. 文件服务器窃取
B. 文件服务器帐户窃取
C. 文件服务器硬盘窃取
直接的硬盘窃取是无法获得数据，需要首先窃取服务器管理员帐户，再植入木马硬盘方进行数据复制才可以隐蔽窃取；
D. 克隆机接入网络
需要破解自身网卡的物理地址外，还需要破解虚拟专用网络的专用程序或者连接用户名及密码；
E. 克隆机窃取网络磁盘
需要破解自身网卡物理地址或者交换机管理密码外，还需要破解ISCSI磁盘访问密码，并需要事前存储数据文件在ISCSI磁盘上；
F. 工作站连接外网
需要破解工作站管理员密码并还需要破解网关密码。
四、
工作站本地磁盘控制
工作站无本地物理磁盘（即使有磁盘也处于不可使用状态），工作站的本地磁盘采用ISCSI网络磁盘，被集中存放于磁盘服务器(DISKSEVER)上。ISCSI网络磁盘设置有如下的安全控制：
a， 最大连接数限制--------只允许任意时刻只有一台计算机可以连接特定的网络磁盘；
在iscsi网络磁盘的配置文件ietd.conf中设置；
b， 发现/登录连接密码限制------要使用网络磁盘，需要特定的密码；
在iscsi网络磁盘的配置文件ietd.conf中设置；
c， 存储还原限制------依据特定的触发事件，网络磁盘可以快速恢复到最初的安全状态；
设置LVM的磁盘快照，使工作磁盘只处于快照下，可以随时撤销再重新建立快照；
工作站移动磁盘控制
移动磁盘的限制不仅仅限制USB磁盘，还可同时限制所有的磁盘，包括物理硬盘和光驱，已经实施如下的限制：
a， 禁止系统安装新硬件
在系统组策略中设置
b， 禁止系统发现磁盘
在系统注册表中设置
c， 禁止系统读取磁盘
在系统注册表中设置
d， 禁止系统自动运行磁盘文件
在系统注册表中设置
e， 禁止系统调取USB磁盘驱动
用NTFS文件权限进行控制
本地网络控制
实施本地网络控制，可以防止工作站主动或者被动的连接非法的外接计算机系统。
目前仅仅实施对本地网络连接的 微软网络客户端 及微软网络的文件和打印机共享 进行限制，可以防止通过共享文件的方式传递文件。
端口-网卡绑定
将交换机的端口与工作站的网卡进行配对绑定，可以防止未经许可的计算机接入网络。
本功能依靠交换机的端口绑定功能实现。
外网控制
工作站计算机本身全部不可上外网。基于以下控制技术：
1、 网关陷阱：
工作站计算机依靠位于 文件服务器(FILESERVER) 上的动态地址分配器(DHCPD)获取局域网地址，默认网关指向 磁盘服务器，磁盘服务器未开启网络数据转发功能，以此造成工作站无可用网络途径连接外网；
基于ISCSI磁盘的启动限制，试图更改默认网关的行为可能造成工作站不可启动；
2、 网关控制：
在内网联通外网的网关上设置MAC认证，非法接入内网的计算机也没有外网通路；
部分工作站计算机的外网需求依靠远程连接虚拟计算机来实现，虚拟计算机上无内网访问权限，仅可以连接、查看外部资源。
虚拟专用网络设置
工作站计算机的内网访问权限依靠虚拟专用网络进行数据传递。
任何工作站均可主动按默认方式建立一个到工作区的虚拟专用网络连接，建立的网络的名称必须是“tech”，连接的地址是192.168.1.139
网卡-IP-主机绑定
工作站计算机的虚拟专用网络的连接用户名、密码被内置于 启动 菜单下的autovpn.exe可执行文件。这个可执行文件对工作站硬件进行绑定，只可以在特定的主机下运行，运行后绑定有特定的IP地址，其运行结果无法更改。由此获得硬件绑定，未经许可的计算机是不能连接内网计算机和访问文件服务器的资源的。
文件服务器IP限制
文件服务器在共享配置上屏蔽物理网络的连接网络，通过内置的虚拟专用网络服务，对通过虚拟专用网络连接的工作站提供文件共享服务，其对外开放的网络接口在真实的物理网络上是不存在的，使得非法接入物理网络的计算机根本不能查看文件服务器上共享资源。
配置文件分别为:
文件共享服务的配置文件smb.conf 和
虚拟专用网络服务的配置文件pptpd.conf
文件服务器的帐户限制
文件服务器启用帐户限制，开启日志审核，可以记录较长时间段内各帐户的文件操作事件。
文件服务器的具体使用参见《技术文件服务器使用说明》。
服务器的磁盘加密保护
文件服务器涉密磁盘建立在RAID基础之上，只有在完全相同的硬件及其配置环境下才可以打开。
