搜索

[19322] 2018-05-29_信息安全攻守道之WindowsIP安全策略

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-18
2018-05-29_信息安全攻守道之WindowsIP安全策略 信 息 安 全 攻 守 道 之   W i n d o w s   I P 安 全 策 略 i 春 秋   2 0 1 8 - 0 5 - 2 9 作 者 ： b y 降 龙 i 春 秋 社 区 引 言 引 言 在 一 些 针 对 外 网 到 内 网 环 境 的 测 试 场 景 中 ， 我 们 经 常 会 遇 到 一 些 诸 如 下 图 中 类 似 尴 尬 的 情 况 ： 上 面 两 图 ， 我 来 解 释 一 下 。 第 一 幅 图 是 拿 到 一 台 服 务 器 的 网 站 应 用 的 命 令 执 行 权 限 ， 并 使 用 中 国 菜 刀 查 看 了 目 标 系 统 的 端 口 开 放 情 况 ； 第 二 幅 图 是 我 们 用 扫 描 器 对 目 标 系 统 进 行 R D P   服 务 3 3 8 9 端 口 扫 描 ， 结 果 . . . . . 没 扫 到 。 表 哥 们 初 次 遇 到 类 似 这 种 情 况 ， 肯 定 会 自 问 ： “ W h y ？ 为 什 么 会 这 样 ？ 这 T m 连 不 上 ？ 有 毒 ？ 白 弄 了 几 天 ？ 我 @ % # ^ ! @ * & & ! @ # & @ # . . . . . . . . . . . . . . . ” ， 其 实 到 这 里 ， 有 些 细 心 的 表 哥 就 会 想 到 ， 目 标 是 不 是 内 网 操 作 系 统 ？ 是 不 是 没 有 做 端 口 映 射 ？ 其 实 我 要 写 的 情 况 不 是 这 个 问 题 ：
2 3 3 3 3 3 ， 这 就 是 本 机 搭 建 的 环 境 ， 所 以 说 这 种 尴 尬 的 事 情 ， 即 使 是 D M Z 了 的 内 网 系 统 ， 有 的 时 候 也 不 是 内 网 环 境 导 致 的 问 题 。 O K ， 我 们 现 在 就 把 这 个 问 题 延 伸 到 现 实 场 景 ， 我 们 一 起 看 一 下 这 种 配 置 的 原 理 ！ I P 安 全 策 略 安 全 策 略 前 面 我 们 使 用 的 配 置 ， 得 益 于 w i n d o w s 本 地 安 全 策 略 中 的 I P 安 全 策 略 。 “ I P 安 全 策 略 是 一 个 给 予 通 讯 分 析 的 策 略 ， 它 将 通 讯 内 容 与 设 定 好 的 规 则 进 行 比 较 以 判 断 通 讯 是 否 与 预 期 相 吻 合 ， 然 后 决 定 安 全 策 略 是 一 个 给 予 通 讯 分 析 的 策 略 ， 它 将 通 讯 内 容 与 设 定 好 的 规 则 进 行 比 较 以 判 断 通 讯 是 否 与 预 期 相 吻 合 ， 然 后 决 定 是 允 许 还 是 拒 绝 通 讯 的 传 输 ， 它 弥 补 了 传 统 是 允 许 还 是 拒 绝 通 讯 的 传 输 ， 它 弥 补 了 传 统 T C P / I P 设 计 上 的 设 计 上 的 " 随 意 信 任 随 意 信 任 " 重 大 安 全 漏 洞 ， 可 以 实 现 更 仔 细 更 精 确 的 重 大 安 全 漏 洞 ， 可 以 实 现 更 仔 细 更 精 确 的 T C P / I P 安 安 全 ， 也 就 是 说 ， 当 我 们 配 置 好 全 ， 也 就 是 说 ， 当 我 们 配 置 好 I P 安 全 策 略 后 ， 就 相 当 于 拥 有 了 一 个 免 费 ， 但 功 能 完 善 的 个 人 防 火 墙 。 安 全 策 略 后 ， 就 相 当 于 拥 有 了 一 个 免 费 ， 但 功 能 完 善 的 个 人 防 火 墙 。 ” — — 百 度 百 科 百 度 百 科 个 人 理 解 ， I P 安 全 策 略 与 w i n d o w s 的 防 火 墙 的 不 同 ， 在 于 它 提 供 了 一 个 更 底 层 的 T C P / I P 访 问 策 略 ， 可 以 更 有 效 的 对 操 作 系 统 与 外 界 系 统 间 的 网 络 联 系 进 行 控 制 。 举 个 例 子 ： W i n d o w s 防 火 墙 侧 重 于 对 应 用 程 序 的 网 络 访 问 策 略 ： I P 安 全 策 略 只 在 乎 操 作 系 统 的 网 络 数 据 流 的 访 问 策 略 ：
相 比 之 下 ， I P 安 全 策 略 对 于 网 络 的 限 制 是 绝 对 的 ， 比 w i n d o w s 防 火 墙 更 为 绝 对 ， 而 且 ， 启 用 该 策 略 ， 无 需 开 启 防 火 墙 ， 也 就 不 用 考 虑 防 火 墙 对 其 他 应 用 程 序 的 网 络 限 制 和 其 导 致 的 意 外 配 置 错 误 。 下 面 我 们 看 一 下 刚 才 我 们 对 I P 安 全 策 略 的 配 置 情 况 。 首 先 打 开 I P 安 全 策 略 的 界 面 。 开 始 开 始   >   控 制 面 板 控 制 面 板   >   管 理 工 具 管 理 工 具   >   本 地 安 全 策 略 本 地 安 全 策 略   >   I P 安 全 策 略 安 全 策 略
我 们 设 置 的 策 略 是 ， 在 策 略 内 建 立 一 个 名 称 为 3 3 8 9 的 I P 筛 选 器 ， 筛 选 器 的 行 为 为 阻 止 连 接 ， 筛 选 器 列 表 只 有 一 条 网 络 配 置 ： 任 意 I P 访 问 到 本 机 系 统 的 3 3 8 9 端 口 ， 阻 止 。 所 以 刚 才 我 们 在 扫 描 本 机 的 局 域 网 地 址 1 9 2 . 1 6 8 . 1 . 1 1 1   的 3 3 8 9 端 口 时 ， 没 有 像 预 期 开 放 的 一 样 被 检 测 出 来 ， 也 在 一 定 程 度 上 防 止 了 进 一 步 的 黑 客 攻 击 ， 并 且 在 实 际 的 安 全 防 护 当 中 ， I P 安 全 策 略 的 应 用 可 以 说 是 十 分 重 要 的 存 在 。 攻 守 道 攻 守 道 讲 了 这 么 多 ， 让 我 们 回 归 现 实 吧 。 攻 攻 如 果 遇 到 像 文 章 开 头 这 种 配 置 ， 例 如 ， 禁 止 了 外 网 对 3 3 8 9 端 口 的 访 问 ， 但 在 非 交 互 式 命 令 行 中 ， 我 们 无 法 直 接 操 作 目 标 系 统 的 桌 面 。 而 我 们 刚 才 的 配 置 是 在 可 视 化 界 面 进 行 的 操 作 ， 那 我 们 该 如 何 对 3 3 8 9 的 访 问 权 限 进 行 开 放 呢 ？ 下 面 到 了 下 面 到 了 w i n d o w s 的 一 个 极 其 的 一 个 极 其 N B 的 命 令 登 场 的 时 刻 ！ 的 命 令 登 场 的 时 刻 ！ N E T S H 我 们 使 用 n e t s h 命 令 中 的   i p s e c   功 能 ， i p s e c 就 是 我 们 上 文 提 到 的 I P 安 全 策 略 。 当 我 键 入   n e t s h   i p s e c   s t a t i c   d e l e t e   a l l   后 ， 该 条 命 令 会 删 除 所 有 的 保 存 的 I P 安 全 策 略 ， 那 么 ， 目 标 系 统 对 3 3 8 9 的 封 锁 已 被 g g ：
守 守 如 果 想 快 速 的 利 用 I P 安 全 策 略 对 自 己 的 操 作 系 统 进 行 访 问 权 限 限 制 ， 图 形 化 速 度 操 作 过 于 慢 ， 命 令 行 操 作 是 不 二 之 选 ， 一 键 完 成 安 全 策 略 部 署 。 下 面 再 介 绍 一 些 命 令 行 中 的 n e t s h   i p s e c 的 配 置 方 法 ， 请 认 真 阅 读 下 面 的 策 略 配 置 说 明 ： n e t s h   i p s e c   s t a t i c   a d d   p o l i c y   n a m e   =   b i m     添 加 一 个 名 为 添 加 一 个 名 为 b i m 的 安 全 策 略 的 安 全 策 略 n e t s h   i p s e c   s t a t i c   a d d   f i l t e r a c t i o n   n a m e   =   P e r m i t   a c t i o n   =   p e r m i t   添 加 一 个 名 为 添 加 一 个 名 为 P e r m i t ， 行 为 为 允 许 连 接 的 筛 选 器 操 作 ， 行 为 为 允 许 连 接 的 筛 选 器 操 作 n e t s h   i p s e c   s t a t i c   a d d   f i l t e r a c t i o n   n a m e   =   B l o c k   a c t i o n   =   b l o c k   添 加 一 个 名 为 添 加 一 个 名 为 B l o c k ， 行 为 为 阻 止 连 接 的 筛 选 器 操 作 ， 行 为 为 阻 止 连 接 的 筛 选 器 操 作 n e t s h   i p s e c   s t a t i c   a d d   f i l t e r l i s t   n a m e   =   A l l A c c e s s 添 加 一 个 名 为 添 加 一 个 名 为 A l l A c c e s s 的 筛 选 器 列 表 的 筛 选 器 列 表 n e t s h   i p s e c   s t a t i c   a d d   f i l t e r   f i l t e r l i s t   =   A l l A c c e s s   s r c a d d r =   M e   d s t a d d r   =   A n y 向 向 A l l A c c e s s 的 筛 选 器 列 表 中 添 加 一 条 ： 源 地 址 为 本 机 地 址 ， 目 标 地 址 为 任 意 地 址 的 条 目 的 筛 选 器 列 表 中 添 加 一 条 ： 源 地 址 为 本 机 地 址 ， 目 标 地 址 为 任 意 地 址 的 条 目 n e t s h   i p s e c   s t a t i c   a d d   r u l e   n a m e   =   B l o c k A l l A c c e s s   p o l i c y   =   b i m   f i l t e r l i s t   =   A l l A c c e s s   f i l t e r a c t i o n   =   B l o c k 添 加 一 条 名 为 添 加 一 条 名 为 B l o c k A l l A c c e s s 的 规 则 ， 安 全 策 略 为 的 规 则 ， 安 全 策 略 为 b i m ， 筛 选 器 列 表 为 ， 筛 选 器 列 表 为 A l l A c c e s s ， 筛 选 器 操 作 为 阻 止 连 接 。 总 而 言 之 ， 就 是 将 上 面 ， 筛 选 器 操 作 为 阻 止 连 接 。 总 而 言 之 ， 就 是 将 上 面 的 配 置 组 合 到 一 起 。 的 配 置 组 合 到 一 起 。 n e t s h   i p s e c   s t a t i c   s e t   p o l i c y   n a m e   =   b i m   a s s i g n   =   y 激 活 激 活 b i m 安 全 策 略 安 全 策 略 所 以 ， 当 我 们 需 要 对 本 机 的 一 些 特 殊 端 口 添 加 仅 允 许 访 问 的 白 名 单 时 ， 我 们 可 以 先 阻 止 本 机 特 殊 目 标 流 量 向 任 意 网 络 位 置 传 输 数 据 ， 再 让 我 们 允 许 的 白 名 单 内 成 员 拥 有 访 问 本 机 特 殊 端 口 的 策 略 ， 我 们 通 过 思 路 ， 组 装 上 述 命 令 ， 得 到 ： n e t s h   i p s e c   s t a t i c   a d d   p o l i c y   n a m e = b i m n e t s h   i p s e c   s t a t i c   a d d   f i l t e r a c t i o n   n a m e = P e r m i t   a c t i o n = p e r m i t n e t s h   i p s e c   s t a t i c   a d d   f i l t e r a c t i o n   n a m e = B l o c k   a c t i o n = b l o c k n e t s h     i p s e c               s t a t i c           a d d         f i l t e r l i s t       n a m e = A l l A c c e s s n e t s h   i p s e c   s t a t i c   a d d   f i l t e r   f i l t e r l i s t = A l l A c c e s s   s r c a d d r = M e   d s t a d d r = A n y n e t s h   i p s e c   s t a t i c   a d d   r u l e   n a m e = B l o c k A l l A c c e s s   p o l i c y = b i m   f i l t e r l i s t = A l l A c c e s s   f i l t e r a c t i o n = B l o c k n e t s h     i p s e c       s t a t i c       a d d         f i l t e r l i s t           n a m e = U n L i m i t e d I P n e t s h     i p s e c   s t a t i c   a d d   f i l t e r   f i l t e r l i s t = U n L i m i t e d I P   s r c a d d r = 白 名 单 的 I P 地 址   d s t a d d r = M e n e t s h   i p s e c   s t a t i c   a d d   r u l e   n a m e = A l l o w U n L i m i t e d I P   p o l i c y = b i m   f i l t e r l i s t = U n L i m i t e d I P   f i l t e r a c t i o n = P e r m i t n e t s h   i p s e c   s t a t i c   s e t   p o l i c y   n a m e   =   b i m   a s s i g n   =   y 将 白 名 单 将 白 名 单 I P 地 址 进 行 修 改 后 ， 保 存 为 地 址 进 行 修 改 后 ， 保 存 为   . b a t 格 式 格 式   批 处 理 文 件 ， 即 可 进 行 本 机 批 处 理 文 件 ， 即 可 进 行 本 机 I P 安 全 策 略 的 快 速 配 置 ！ 安 全 策 略 的 快 速 配 置 ！ 思 考 思 考 诚 然 ， I P 安 全 策 略 对 于 操 作 系 统 安 全 性 至 关 重 要 ， 但 给 正 在 做 网 络 运 维 的 表 哥 们 提 个 醒 ， 只 靠 I P 安 全 策 略 是 不 能 根 本 解 决 所 有 安 全 问 题 的 ， 例 如 上 述   攻   方 面 所 言 。 边 缘 化 漏 洞 同 样 是 威 胁 系 统 安 全 的 帮 凶 ， 千 里 之 堤 毁 于 蚁 穴 。 只 有 定 期 对 安 全 问 题 进 行 排 查 ， 养 成 勤 查 勤 补 的 习 惯 ， 才 能 做 到 防 微 杜 渐 ， 才 能 让 本 文 所 述 只 有 定 期 对 安 全 问 题 进 行 排 查 ， 养 成 勤 查 勤 补 的 习 惯 ， 才 能 做 到 防 微 杜 渐 ， 才 能 让 本 文 所 述 I P 安 全 策 略 在 其 需 要 的 应 用 范 围 内 安 全 策 略 在 其 需 要 的 应 用 范 围 内 发 挥 的 更 为 出 色 ！ 发 挥 的 更 为 出 色 ！ 编 辑 ： 咕 嘟 嘟
责 任 编 辑 ： M A D 小 郭 校 对 ： 小 林 龙 马 、 山 雾 草 野 、 小 南 瓜 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 ~ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理