网络安全-密码策略审计-.pdf

第三章 入侵检测技术实验 密码策略审计 【实验名称】 密码策略审计 【实验目的】 使用 RG-IDS 对网络服务的登录密码强度进行审计 【背景描述】 某企业网络中使用 FTP 服务器提供文件传输服务。用户在访问 FTP 服务器之前需要进 行身份验证。由于 FTP 服务器中存放了很多重要的数据和文件，所以需要用户使用高强度 安全性的密码进行认证。 【需求分析】 需求：密码是最为常见的一种认证形式，而且经常是外部和重要服务之间的唯一壁垒。 攻击者可以使用一些程序来帮助猜测或"破解"密码，但是通过选择一个安全的密码并做好 必要的保密工作， 那么那些未经授权却想非法进入服务人就会觉得的非常困难。 通常在组织 内部对用户访问其重要服务器的密码安全均有强度等安全要求。 分析：通过 RG-IDS 实时检测和告警，使管理员及时发现使用不安全密码登录的用户， 及时进行必要的调整，降低不必要的风险。 【实验拓扑】 【实验设备】 PC 3 台 RG-IDS 1 台 直连线 4 条 127 网络安全实验教程 交换机 1 台（支持多对一的端口镜像） 【预备知识】 交换机端口镜像配置 RG-IDS 配置 FTP 服务器的配置 【实验原理】 密码攻击是骇客攻击时最常用到的方式之一， 利用密码的猜测、 暴力破解等方法来掌握 关键帐号的密码，已达到控制远程机器的目的。 防范此种攻击最常用的方法是保障密码的强度， 即对帐号所使用的密码长度、 复杂度 （使 用大小写、字母、数字、非标准字符等进行组合）进行强制性要求。 本实验通过模拟某 FTP 服务器登录帐号密码使用简单密码，IDS 将及时产生告警。 【实验步骤】 第一步：策略编辑 点击主界面上的"策略"按钮，切换到策略编辑器界面，从现有的策略模板中生成一个 新的策略。新的策略中选择"authentication:authentication"及"FTP" ，根据策略要求调整 "authentication: authentication"的检测参数，将"PASSWORD_MATCH" 、 "NUMPASS"的 值置为"1"将，并将策略下发到引擎。 第二步：使用弱密码进行登录 在 FTP 服务器上建立帐户"test01" 、 "test02" ，密码分别是"123456"和"test02" 。在 FTP 客户端机器上分别使用帐户"test01" 、 "test02"进行登录。 第三步：查看警报 进入 RG-IDS 控制台，通过"安全事件"组件，查看 IDS 检测的安全事件信息，如下图 所示。 128 第三章 入侵检测技术实验 RG-IDS 准确检测出两次弱密码登录事件事件，事件详细信息如下图所示： 129 网络安全实验教程 第四步：修改策略 在 RG-IDS 控制台中修改策略参数，将"ALERT PASSWORDS"的值修改为"1" ，保存并应 用策略到 IDS 当中。 第五步：重新登录 FTP 服务器 重复第二、三步骤，观察报警详细信息的差异，告警信息中将显示出不安全的密码。 130 第三章 入侵检测技术实验 附：authentication: authentication 主要参数功能说明 131 网络安全实验教程 ALERT_PASSWORD 告警密码显示。 此值设置后用来判断是否需要在事件告警时显示用户口令信息 。 MIN_PASSWORD_LENGTH 触发事件告警的最短口令长度。 此策略值设置后，当告警的口令小于 8 位时，系统将进行告警。 BAD_USER_LIST 错误的用户名列表。 触发事件告警的错误用户名称列表或不需要口令用户名。 BAD_PASSWORD_LIST 错误的口令列表 。 触发事件告警的错误的或不安全的用户口令。 BAD_SRC_IP 错误的源 IP 地址。 触发事件告警的源 IP 地址。 BAD_DST_IP 错误的目的 IP 地址。 触发事件告警的目的 IP 地址。 PASSWORD_MATCH 用户名和口令相同时是否触发事件告警。 此参数值设置为 1 检测用户和口令匹配时触发告警，设置为 0 时不进行检测。 NULLPASS 空口令。 参数值设置为 1 时当检测到口令为空时触发事件告警，设置为 0 时不告警。 NUMPASS 数字口令。 参数值设置为 1 时当检测到口令仅为数字时触发事件告警，设置为 0 时不告警。 ALPHAPASS 字母口令。 参数值设置为 1 时当检测到口令仅为字母时触发事件告警，设置为 0 时不告警。 SPACEPASS 口令中有空格。 参数值设置为 1 时当检测到口令中有空格时触发事件告警，设置为 0 时不告警。 132 第三章 入侵检测技术实验 WHITESPACEPASS 口令是空白（即没有输入任何键时）。 参数值设置为 1 时当检测到口令是空白