信息安全与评估赛项

2023-03-20 19:06 作者:Zvivne 0人读过 | 我要投稿

2赛项时间

第一场比赛：13:00-17:30，共计4小时30分，含赛题发放、系统部署、收卷时间。

一、赛项信息

第一场比赛：

竞赛阶段

任务阶段

竞赛任务

竞赛时间

分值

第一阶段

平台搭建与安全设备配置防护

任务1

网络平台搭建

13:00-16:00

700

任务2

网络安全设备配置与防护

第二阶段

系统安全攻防及运维安全管控

任务1

代码审计：WEB安全测试

任务2

数字取证调查：操作系统取证

任务3

协议安全：网络数据包分析

任务4

PWN

任务5

逆向：应用程序安全分析

第三阶段

分组对抗

系统加固

16:00-17:30

300

系统攻防

二、赛项内容

选手首先需要在U盘的根目录下建立一个名为“GZxx”的文件夹（xx用具体的工位号替代），赛题第一阶段所完成的“XXX-答题模板”放置在文件夹中。

例如：08工位，则需要在U盘根目录下建立“GZ08”文件夹，并在“GZ08”文件夹下直接放置第一个阶段的所有“XXX-答题模板”文件。

特别说明：只允许在根目录下的“GZxx”文件夹中体现一次工位信息，不允许在其他文件夹名称或文件名称中再次体现工位信息，否则按作弊处理。

(一) 赛项环境设置

赛项环境设置包含了三个竞赛阶段的基础信息：网络拓扑图、IP地址规划表、设备初始化信息。

1. 网络拓扑图

2. IP地址规划表

设备名称

接口

IP地址

对端设备

接口

防火墙DCFW

ETH0/1-2

20.0.0.1/30（Trust安全域）

DCRS

eth1/0/1-2

221.1.19.1/27（untrust安全域）

DCRS

SSL Pool

192.168.10.1/24

可用IP数量为20

SSL VPN地址池

三层交换机DCRS

ETH1/0/4

DCWS ETH1/0/4

ETH1/0/5

DCWS ETH1/0/5

VLAN2021

ETH1/0/1-2

20.0.0.2/30

DCFW

Vlan name

TO-DCFW

VLAN2022

ETH1/0/1-2

221.1.19.2/27

DCFW

Vlan name

TO-internet

VLAN 2031

ETH1/0/3

221.1.19.33/27

DCBC

Vlan name

TO-DCBC

VLAN 52

ETH1/0/22

192.168.1.1/24

WAF

Vlan name

TO-WAF

VLAN 10

172.16.10.1/24

无线1

Vlan name

WIFI-vlan10

VLAN 20

172.16.20.1/25

无线2

Vlan name

WIFI-vlan20

VLAN 30

ETH1/0/7-9

172.16.30.1/26

PC1

Vlan name

VLAN 40

ETH1/0/10-12

192.168.40.1/24

PC3

Vlan name

SERVER

Vlan 50

Eth1/0/13-14

192.168.50.1/24

Vlan name

Sales

VLAN 100

192.168.100.1/24

DCWS

Vlan name

Manage

无线控制器DCWS

VLAN 100

192.168.100.254/24

DCRS

Vlan name

Manage

无线管理VLAN

VLAN 101

ETH1/0/3

192.168.101.1/24

Vlan name

Manage-ap

Vlan 50

Eth 1/0/6-8

日志服务器DCBC

LAN2

192.168.201.1/24

PC2

WAN2

221.1.19.34/27

DCRS

WEB应用防火墙WAF

ETH2

192.168.1.2/24

DCST

ETH3

DCRS

堡垒服务器DCST

WAF

3. 设备初始化信息

设备名称

管理地址

默认管理接口

用户名

密码

防火墙DCFW

http://192.168.1.1

ETH0

admin

网络日志系统DCBC

https://192.168.0.1：9090

LAN1

admin

admin*PWD

WEB应用防火墙WAF

https://192.168.45.1

ETH5

admin

admin123

三层交换机DCRS

Console

无线交换机DCWS

Console

堡垒服务器DCST

参见“DCST登录用户表”

备注

所有设备的默认管理接口、管理IP地址不允许修改;

如果修改对应设备的缺省管理IP及管理端口，涉及此设备的题目按 0 分处理。

(二) 第一阶段任务书（300分）

任务1：网络平台搭建（60分）

题号

网络需求

根据网络拓扑图所示，按照IP地址参数表，对DCFW的名称、各接口IP地址进行配置。

根据网络拓扑图所示，按照IP地址参数表，对DCRS的名称进行配置，创建VLAN并将相应接口划入VLAN。

根据网络拓扑图所示，按照IP地址参数表，对DCRS各接口IP地址进行配置。

根据网络拓扑图所示，按照IP地址参数表，对DCWS的各接口IP地址进行配置。

根据网络拓扑图所示，按照IP地址参数表，对DCBC的名称、各接口IP地址进行配置。

根据网络拓扑图所示，按照IP地址参数表，对WAF的名称、各接口IP地址进行配置。

配置静态路由实现内部网络连通，到因特网流量采用默认路由。

任务2：网络安全设备配置与防护（240分）

1. 总部核心交换机DCRS上开启SSH远程管理功能, 本地认证用户名: DCN2021,密码：DCN2021;最大同时登录为6。

2. 为了减少广播，需要根据题目要求规划并配置VLAN。要求配置合理，所有链路上不允许不必要VLAN的数据流通过，包括VLAN 1。集团AC与核心交换机之间的互连接口发送交换机管理VLAN的报文时不携带标签，发送其它VLAN的报文时携带标签，要求禁止采用trunk链路类型。

3. 总部无线AC和核心运行一种协议，实现无线1和无线2通过一条链路传输，销售网段通过另外一条链路传输，要求两条链路负载分担,其中VLAN10、20业务数据在E1/0/5进行数据转发，要求VLAN50业务数据在E1/0/4进行数据转发，域名为DCN2021。设置路径开销值的取值范围为1-65535，BPDU支持在域中传输的最大跳数为7跳；同时不希望每次拓扑改变都清除设备MAC/ARP表，全局限制拓扑改变进行刷新的次数。

4. 总部核心交换机DCRS既是内网核心交换机又模拟外网交换机，其上使用某种技术，将内网路由和internet路由隔离；

5. 总部核心交换机DCRS上实现VLAN40业务内部终端相互二层隔离，vlan30接口下启用环路检测，环路检测的时间间隔为10s，发现环路以后关闭该端口，恢复时间为30分钟；

6. 总部核心交换机开启DHCP服务，为无线用户动态分配ip地址，前10 ip地址为保留地址，DNS server 为8.8.8.8，地址租约时间为1天10小时5分钟;

7. 因集团销售人员较多、同时也为了节约成本，在集团AC下挂两个8口HUB交换机实现销售业务接入，集团信息技术部已经为销售业务VLAN分配IP主机位为11-24，在集团接入交换机使用相关特性实现只允许上述IP数据包进行转发，对IP不在上述范围内的用户发来的数据包，交换机不能转发，直接丢弃, 要求禁止采用访问控制列表实现。

8. 总部核心交换机DCRS上实现访问控制，在E1/0/14端口上配置MAC地址为00-03-0f-00-20-21的主机不能访问MAC地址为00-00-00-00-00-ff的主机;

9. 集团预采购多个厂商网流分析平台对集团整体流量进行监控、审计，分别连接核心交换机E1/0/20-E1/0/21接口测试，将核心交换机与AC、防火墙互连流量提供给多个厂商网流分析平台，反射端口为1/0/16，反射vlan为4094。

10. 2017年勒索病毒席卷全球，爆发了堪称史上最大规模的网络攻击，通过对总部核心交换机DCRS所有业务VLAN下配置访问控制策略实现双向安全防护;勒索病毒端口号为tcp445、udp445。

11. 总部核心交换机中所有存在的接口启动定时发送免费 ARP 报文功能；总部核心交换机与AC互连接口通过采样、统计等方式将数据发送到分析器10.10.200.50，源地址为：192.168.100.1，采样速率1000pps,采样的最大时间间隔为60s,由分析器对收到的数据进行用户所要求的分析。

12. 总部部署了一套网管系统实现对核心DCRS交换机进行管理，网管系统IP为：172.16.100.21，读团体值为：DCN2011，版本为V2C，交换机DCRS Trap信息实时上报网管，当MAC地址发生变化时，也要立即通知网管发生的变化，每120s发送一次；

13. 为实现对防火墙的安全管理，在防火墙DCFW的Trust安全域开启PING,HTTP，SNMP功能，Untrust安全域开启SSH、HTTPS、ping功能;

14. 总部VLAN业务用户通过防火墙访问Internet时，轮询复用公网IP： 221.1.19.9、221.1.19.10；

15. 苏州分公司和总部使用同一套OA办公系统，OA服务器部署在总部vlan40 网段，要求在总部防火墙与分公司DCBC之间配置IPsec VPN，对分公司内网和总公司vlan40段相互访问的数据进行保护；第一阶段采用pre-share认证加密算法:3DES；第二阶段采用ESP协议，加密算法:3DES，预设共享秘钥:DCN2021

16. 远程移动办公用户通过专线方式接入总部网络，在防火墙DCFW上配置，采用SSL方式实现仅允许对内网VLAN 40的访问，用户名密码均为DCN2021，地址池参见地址表；

17. 出于安全考虑，无线用户移动性较强，无线用户访问INTERNET时需要采用认证，在防火墙上开启WEB认证，账号密码为DCN2011;

18. 为了合理利用网络出口带宽，需要对内网用户访问internet进行流量控制，园区总出口带宽为200M，对除无线用户以外的用户限制带宽，每天上午9:00到下午6:00每ip最大下载为2M，上传为1M；

19. FW上配置NAT功能，使PC2能够通过防火网外网口ip使用web方式正常管理到AC，端口号使用8888;AC管理地址为192.168.100.254；合理配置安全策略。

20. 苏州分公司通过DCBC接入因特网，DCBC做相关配置，内网ip转换为外网出口地址，使分公司内网用户能正常访问因特网。

21. 对苏州分公司内网用户访问因特网采用实名认证，采用web方式本地认证并记录日志；用户名为SZDCN,密码为SZDCN。

22. 苏州分公司由于出口带宽只有50兆，需要优先保证http访问带宽为20M；每周一到周五上午9:00到下午6:00，不允许浏览视频网站和看视频，也不允许玩游戏。

23. 苏州分公司，限制每用户上传与下载最大带宽为2M；

24. 分公司总经理使用IP地址为192.168.201.88，该ip地址访问因特网的流量不被策略控制；

25. 对苏州分公司用户的聊天软件进行控制，禁止分公司内网用户登录QQ；

26. 分公司出口带宽比较低，为了不影响正常办公使用，需要对内网用户使用迅雷下载进行限制，对使用迅雷下载的流量进行阻断，并记录日志；

27. 苏州分公司禁止员工访问“交友聊天”网站。

28. 在DCBC上做配置关键字过滤，类型为暴力类关键字，包含抢劫、枪支、暴动、砍人。

29. 对苏州内网用户，访问视频、游戏进行流量限制，每日限额为100M;

30. 控制苏州内网用户上网行为对用户上网做如下审计策略：

（1）记录即时通讯的登录信息

（2）启用邮件的全部记录；

（3）启用 WEB 的全部记录；

31. WAF上配置开启防护策略，将请求报头DATA 自动重写为DATE;

32. WAF上配置开启错误代码屏蔽功能，屏蔽404错误代码;

33. WAF上配置阻止用户上传ZIP、DOC、JPG、RAR格式文件;

34. WAF上配置开启基本防护功能，阻止SQL注入、跨站脚本攻击；

35. 无线控制器DCWS上配置管理VLAN为VLAN101,作为AP的管理地址,配置AP通过DHCP获取IP地址，采用AP找AC动态注册并启用序列号认证，要求连接AP的接口禁止使用TRUNK；

36. 无线控制器DCWS上配置DHCP服务，网关ip和后100个地址为保留地址，为AP分配ip地址，通过dhcp下发AC地址，AC地址为192.168.100.254。

37. 在NETWORK下配置SSID，需求如下：

1、设置SSID DCN2021，VLAN10，加密模式为wpa-personal,其口令为DCN-2021；

2、设置SSID GUEST，VLAN20加密模式为web共享密钥,字符长度为10，密钥类型为HEX，长度64，其口令为0123456789，做相应配置隐藏该SSID；

38. 在SSID DCN2021下启动组播转单播功能, 当某一组播组的成员个数超过8个时组播M2U功能就会关闭；

39. Network1下开启ARP抑制功能；开启自动强制漫游功能、动态黑名单功能;

40. 通过配置防止多AP和AC相连时过多的安全认证连接而消耗CPU资源，检测到AP与AC在10分钟内建立连接5次就不再允许继续连接，两小时后恢复正常。

41. SSID DCN2021最多接入20个用户，用户间相互隔离，并对DCN2021网络进行流控，上行1M，下行2M；

42. 通过配置避免接入终端较多且有大量弱终端时，高速客户端被低速客户端“拖累”，低速客户端不至于长时间得不到传输；

标签：

信息安全与评估赛项

一、赛项信息

二、赛项内容

1. 网络拓扑图

2. IP地址规划表

3. 设备初始化信息

任务1：网络平台搭建（60分）

任务2：网络安全设备配置与防护（240分）