怎么利用Window自帶Ipsec安全策略對服務(wù)器進(jìn)行安全加固
網(wǎng)絡(luò)安全是目前互聯(lián)網(wǎng)的熱門話題之一,作為個(gè)人用戶的我們同樣需要關(guān)注,做好防護(hù)。這篇文章主要介紹了利用Window自帶Ipsec安全策略進(jìn)行安全加固,需要的朋友可以參考下
Ipsec安全策略
方法:設(shè)置安全策略。采用window的IPSec進(jìn)行防護(hù)。允許80 3306端口。拒絕所有其他端口連接。
1:控制面板-系統(tǒng)和安全-管理工具-本地安全策略
打開本地安全策略。默認(rèn)是沒有的。這里我已經(jīng)添加一個(gè)策略。
右鍵屬性,直接點(diǎn)擊添加
需要注意,該安全策略的排序方法是以英文字母數(shù)字類型來排序的。a開頭在下邊(首次不設(shè)置為拒絕,只允許)
鑒于是客戶端訪問固定服務(wù)器。所以我們這里直接默認(rèn)
網(wǎng)絡(luò)類型,我們采用所有網(wǎng)絡(luò)連接
直接點(diǎn)擊添加。這樣就開始添加。Ip篩選器列表中可以添一個(gè)熟悉的名稱。
點(diǎn)擊添加
下一步的時(shí)候我們看到這里便是用來寫描述的。勾選鏡像
下一步后我們看到的是ip流量的來源。這里我們根據(jù)情況,我們提供的是web的服務(wù)。所以,我們允許所有ip即 源地址選擇任何ip地址
下一步后,需要選擇目標(biāo)地址,因?yàn)槲覀冃枰靼椎氖强蛻舳嗽L問我們這臺提供web服務(wù)的server。所以我們直接選擇我的IP地址
11因?yàn)槭莌ttp服務(wù),所以選擇tcp,然后點(diǎn)擊下一步。到協(xié)議端口設(shè)置
根據(jù)信息,是從客戶端請求本服務(wù)器的80端口。所以這個(gè)地方選擇,到此端口。點(diǎn)擊完成。
這樣一個(gè)ip篩選器就建立完畢。
全部建立完畢,我們選擇其中一個(gè),
點(diǎn)擊下一步。進(jìn)行設(shè)置篩選器的操作方式,(我之前已經(jīng)添加過)這里我們點(diǎn)擊添加
進(jìn)入篩選器名稱創(chuàng)建,因?yàn)槭?0端口。所以我們這里命名無條件允許
點(diǎn)擊下一步后??梢赃x擇的操作行為選項(xiàng)有3個(gè)。許可阻止和協(xié)商安全。我們直接選擇許可
點(diǎn)擊完成。。。返回到當(dāng)前安全規(guī)則向?qū)ы撁?,我們選中我們建立的允許方法,
點(diǎn)擊下一步完成,繼而返回,我們繼續(xù)添加需要的列表。在IP篩選列表頁面。我們接著選擇其他端口。繼續(xù)剛才的行為設(shè)置。全部完成后點(diǎn)擊確定。
以上設(shè)置的時(shí)我們常見的服務(wù),(例如提供到公網(wǎng)上的web?;蛘吣承┕潭ü_端口)
訪問規(guī)則
我們接下來就開始設(shè)置,固定的訪問規(guī)則,例如網(wǎng)站數(shù)據(jù)庫分開的情況。
那么我們需要了解的就是3306是固定機(jī)器訪問固定機(jī)器,其他任何人沒有權(quán)限不能訪問該端口。服務(wù)器提供的80端口是公開的,我們80端口就按照上邊所屬進(jìn)行設(shè)置即可。
來看我們3306如何設(shè)置固定訪問端口:
在ip篩選器列表中,點(diǎn)擊添加
寫好名稱。然后點(diǎn)擊添加-下一步,設(shè)置描述信息-設(shè)置ip流量源。
因?yàn)榫W(wǎng)站是請求端,而數(shù)據(jù)庫服務(wù)器是目標(biāo)。所以這里我們設(shè)置我們自己的IP地址
點(diǎn)擊下一步,我們開始設(shè)置目標(biāo)地址。選擇一個(gè)特定的ip地址或者子網(wǎng)。我們選擇個(gè)ip地址
點(diǎn)擊下一步,選擇協(xié)議為tcp協(xié)議 端口為3306 點(diǎn)擊完成。到ip篩選器列表我們點(diǎn)擊確定,返回到選擇界面。選擇我們當(dāng)前設(shè)置的3306篩選器,點(diǎn)擊下一步,創(chuàng)建安全規(guī)則向?qū)У牟僮鳌?/p>
23點(diǎn)擊添加,我們這次選擇,協(xié)商安全。點(diǎn)擊下一步
完成后。我們在安全規(guī)則頁面。選中我們寫的協(xié)商選項(xiàng)
我們在身份驗(yàn)證方法中。設(shè)置字符串保護(hù)方法
至此,全部完成。我們點(diǎn)擊策略規(guī)則 右鍵 選擇分配。這樣就ok了。千萬千萬不要忘記,最后設(shè)置w開頭的拒絕策略。來自所有的,到本server的。所有協(xié)議,拒絕!。
結(jié)果:僅僅網(wǎng)頁訪問正常,遠(yuǎn)程調(diào)用數(shù)據(jù)庫可以進(jìn)行。
相關(guān)閱讀:2018網(wǎng)絡(luò)安全事件:
一、英特爾處理器曝“Meltdown”和“Spectre漏洞”
2018年1月,英特爾處理器中曝“Meltdown”(熔斷)和“Spectre” (幽靈)兩大新型漏洞,包括AMD、ARM、英特爾系統(tǒng)和處理器在內(nèi),幾乎近20年發(fā)售的所有設(shè)備都受到影響,受影響的設(shè)備包括手機(jī)、電腦、服務(wù)器以及云計(jì)算產(chǎn)品。這些漏洞允許惡意程序從其它程序的內(nèi)存空間中竊取信息,這意味著包括密碼、帳戶信息、加密密鑰乃至其它一切在理論上可存儲于內(nèi)存中的信息均可能因此外泄。
二、GitHub 遭遇大規(guī)模 Memcached DDoS 攻擊
2018年2月,知名代碼托管網(wǎng)站 GitHub 遭遇史上大規(guī)模 Memcached DDoS 攻擊,流量峰值高達(dá)1.35 Tbps。然而,事情才過去五天,DDoS攻擊再次刷新紀(jì)錄,美國一家服務(wù)提供商遭遇DDoS 攻擊的峰值創(chuàng)新高,達(dá)到1.7 Tbps!攻擊者利用暴露在網(wǎng)上的 Memcached 服務(wù)器進(jìn)行攻擊。網(wǎng)絡(luò)安全公司 Cloudflare 的研究人員發(fā)現(xiàn),截止2018年2月底,中國有2.5萬 Memcached 服務(wù)器暴露在網(wǎng)上 。
三、蘋果 iOS iBoot源碼泄露
2018年2月,開源代碼分享網(wǎng)站 GitHub(軟件項(xiàng)目托管平臺)上有人共享了 iPhone 操作系統(tǒng)的核心組件源碼,泄露的代碼屬于 iOS 安全系統(tǒng)的重要組成部分——iBoot。iBoot 相當(dāng)于是 Windows 電腦的 BIOS 系統(tǒng)。此次 iBoot 源碼泄露可能讓數(shù)以億計(jì)的 iOS 設(shè)備面臨安全威脅。iOS 與 MacOS 系統(tǒng)開發(fā)者 Jonathan Levin 表示,這是 iOS 歷史上最嚴(yán)重的一次泄漏事件。
四、韓國平昌冬季奧運(yùn)會遭遇黑客攻擊
2018年2月,韓國平昌冬季奧運(yùn)會開幕式當(dāng)天遭遇黑客攻擊,此次攻擊造成網(wǎng)絡(luò)中斷,廣播系統(tǒng)(觀眾不能正常觀看直播)和奧運(yùn)會官網(wǎng)均無法正常運(yùn)作,許多觀眾無法打印開幕式門票,最終未能正常入場。
五、加密貨幣采礦軟件攻擊致歐洲廢水處理設(shè)施癱瘓
2018年2月中旬,工業(yè)網(wǎng)絡(luò)安全企業(yè) Radiflow 公司表示,發(fā)現(xiàn)四臺接入歐洲廢水處理設(shè)施運(yùn)營技術(shù)網(wǎng)絡(luò)的服務(wù)器遭遇加密貨幣采礦惡意軟件的入侵。該惡意軟件直接拖垮了廢水處理設(shè)備中的 HMI 服務(wù)器 CPU,致歐洲廢水處理服務(wù)器癱瘓 。
Radiflow 公司稱,此次事故是加密貨幣惡意軟件首次對關(guān)鍵基礎(chǔ)設(shè)施運(yùn)營商的運(yùn)營技術(shù)網(wǎng)絡(luò)展開攻擊。由于受感染的服務(wù)器為人機(jī)交互(簡稱HMI)設(shè)備,之所以導(dǎo)致廢水處理系統(tǒng)癱瘓,是因?yàn)檫@種惡意軟件會嚴(yán)重降低 HMI 的運(yùn)行速度。
安全策略對服務(wù)器進(jìn)行安全加固相關(guān)文章: