某集團(tuán)公司整體網(wǎng)絡(luò)架構(gòu)方案(fortigate)-文庫(kù)吧
2025-09-23 08:17 本頁(yè)面
【正文】 度的增加， IT 專業(yè)人員必須掌握新的安全威脅，并添置新的探測(cè)和安全設(shè)備或重新設(shè)計(jì)網(wǎng)絡(luò)架構(gòu)，以減少系統(tǒng)漏洞。多年來(lái)，企業(yè)一直依靠狀態(tài)檢測(cè)防火墻、入侵檢測(cè)系統(tǒng)、基于主機(jī)的防病毒系統(tǒng)和反垃圾郵件解決方案來(lái)保證企業(yè)用戶和資源的安全。但是情況在迅速改變，那些傳統(tǒng)的單點(diǎn)防御安全設(shè)備作用越來(lái)越小，已經(jīng)不再勝任。為了檢測(cè)出最新的攻擊，安全設(shè)備必須提供多種安全功能。 圖 ： 使用平均“存活時(shí)間”來(lái)跟蹤攻擊之間的間隔 （平均每隔 18 分鐘就會(huì)有一次攻擊被報(bào)告）。 傳統(tǒng)的防火墻、 IDS、防病毒系統(tǒng)等安全產(chǎn)品在防范新型攻擊時(shí)已經(jīng)力不從心。 傳統(tǒng)的防火墻系統(tǒng) 上海軟盛信息技術(shù)有限公司 Tel： 02152916000 上海市中山北路 2020 號(hào)中星經(jīng)貿(mào)大廈 19 樓 Fax： 02152949018 狀態(tài)檢測(cè)防火墻原本是設(shè)計(jì)成一個(gè)可信任企業(yè)網(wǎng)絡(luò)和不可信任的公共網(wǎng)絡(luò)之間的安全隔離設(shè)備，用以保證企業(yè)的互聯(lián)網(wǎng)安全。狀態(tài)檢測(cè)防火墻是通過(guò)跟蹤會(huì)話的發(fā)起和狀態(tài)來(lái)工作的。通過(guò)檢查數(shù)據(jù)包頭，狀態(tài)檢測(cè)防火墻分析和監(jiān)視網(wǎng)絡(luò)層（ L3）和協(xié)議層（ L4），基于一套用戶自定義的防火墻策略來(lái)允許、拒絕或轉(zhuǎn)發(fā)網(wǎng)絡(luò)流量。 傳統(tǒng)防火墻的問(wèn)題在于黑 客已經(jīng)研究出大量的方法來(lái)繞過(guò)防火墻策略。這些方法包括： ? 利用端口掃描器的探測(cè)可以發(fā)現(xiàn)防火墻開(kāi)放的端口。 ? 攻擊和探測(cè)程序可以通過(guò)防火墻開(kāi)放的端口穿越防火墻。如 MSN、 等 IM（即時(shí)通信）工具均可通過(guò) 80 端口通信， BT、電驢、 Skype 等 P2P 軟件的通信端口是隨機(jī)變化的，使得傳統(tǒng)防火墻的端口過(guò)濾功能對(duì)他們無(wú)能為力。 SoftEther 等軟件更可以將所有 TCP/IP通訊封裝成 HTTPS數(shù)據(jù)包發(fā)送，使用傳統(tǒng)的狀態(tài)檢測(cè)防火墻簡(jiǎn)直防不勝防。 SoftEther 可以很輕易的穿越傳統(tǒng)防火墻 ? PC 上感染的木馬程序可以從防 火墻的可信任網(wǎng)絡(luò)發(fā)起攻擊。由于會(huì)話的發(fā)起方來(lái)自于內(nèi)部，所有來(lái)自于不可信任網(wǎng)絡(luò)的相關(guān)流量都會(huì)被防火墻放過(guò)。當(dāng)前流行的從可信任網(wǎng)絡(luò)發(fā)起攻擊應(yīng)用程序包括后門(mén)、木馬、鍵盤(pán)記錄工具等，它們產(chǎn)生非授權(quán)訪問(wèn)或?qū)⑺矫苄畔l(fā)送給攻擊者。 ? 較老式的防火墻對(duì)每一個(gè)數(shù)據(jù)包進(jìn)行檢查，但不具備檢查包負(fù)載的能力。病毒、蠕蟲(chóng)、木馬和其它惡意應(yīng)用程序能未經(jīng)檢查而通過(guò)。 上海軟盛信息技術(shù)有限公司 Tel： 02152916000 上海市中山北路 2020 號(hào)中星經(jīng)貿(mào)大廈 19 樓 Fax： 02152949018 ? 當(dāng)攻擊者將攻擊負(fù)載拆分到多個(gè)分段的數(shù)據(jù)包里，并將它們打亂順序發(fā)出時(shí)，較新的深度包檢測(cè)防火墻往往也會(huì)被愚弄。 ? 使用筆記本電腦、 PDA 和便攜郵件設(shè)備的移動(dòng)用戶會(huì)在他們離開(kāi)辦公室的 時(shí)候被感染，并將威脅帶回公司網(wǎng)絡(luò)。邊界防火墻對(duì)于從企業(yè)信任的內(nèi)部網(wǎng)絡(luò)發(fā)起的感染和攻擊愛(ài)莫能助。 圖：被通過(guò)知名端口（ 80 端口）攻擊的網(wǎng)站數(shù) 傳統(tǒng)的入侵檢測(cè)系統(tǒng)（ IDS） 正如傳統(tǒng)防火墻一樣，傳統(tǒng)的 IDS 為了對(duì)付越來(lái)越復(fù)雜的新型攻擊也發(fā)展了一些新的技術(shù)。攻擊者發(fā)現(xiàn)了 IDS 的弱點(diǎn)，并采用了新方法來(lái)繞過(guò)這些監(jiān)視系統(tǒng)。 IDS 的弱點(diǎn)包括： ? IDS 通常放置在關(guān)鍵位置如網(wǎng)絡(luò)邊界和重要節(jié)點(diǎn)上。它們不能監(jiān)視到整個(gè)網(wǎng)絡(luò)。 ? IDS 設(shè)備能夠檢查每一個(gè)流過(guò)的數(shù)據(jù)包，但它并不是在線式（ ”inline”）設(shè)備，所以不能實(shí)時(shí)的主動(dòng)阻 斷攻擊。它們僅僅是監(jiān)視設(shè)備，在發(fā)現(xiàn)惡意流量時(shí)進(jìn)行報(bào)警。這就使快速傳播的攻擊得以成功。 ? IDS 會(huì)被分段和打亂順序傳送的數(shù)據(jù)包所蒙蔽。 ? 對(duì)多個(gè)千兆端口的流量進(jìn)行鏡像或重定向很容易使 IDS 的性能透支，從而導(dǎo)致丟包而漏報(bào)。 ? IDS 會(huì)產(chǎn)生大量的誤報(bào)，需要連續(xù)的監(jiān)視和對(duì)規(guī)則的細(xì)致調(diào)整使之變得更加有效，這 上海軟盛信息技術(shù)有限公司 Tel： 02152916000 上海市中山北路 2020 號(hào)中星經(jīng)貿(mào)大廈 19 樓 Fax： 02152949018 就導(dǎo)致很高的維護(hù)成本。許多 IT 人員并沒(méi)有足夠的時(shí)間來(lái)查看 IDS 的日志，從而使可疑的流量未被發(fā)現(xiàn)而通過(guò)。 ? 即使 IDS 與防火墻進(jìn)行聯(lián)動(dòng)，對(duì)于網(wǎng)絡(luò)蠕蟲(chóng)病毒等快速傳播的威脅的響應(yīng)速度仍然是很慢的。 為了克服 IDS 的弱點(diǎn)，一些安全 廠商將它們被動(dòng)的 IDS 技術(shù)轉(zhuǎn)變?yōu)橹鲃?dòng)的 IPS（入侵防御系統(tǒng)）。 IPS 是在線式（ ”inline”）設(shè)備，能夠主動(dòng)的丟棄或重置可疑和危險(xiǎn)的攻擊流量以及諸如 SYN Flood、 ICMP 攻擊等的協(xié)議異常攻擊。 基于主機(jī)的防病毒軟件 基于主機(jī)的防病毒軟件是部署得最廣泛的安全應(yīng)用，甚至超過(guò)了邊界防火墻。基于主機(jī)的防病毒軟件隨著上世紀(jì) 80 年代中期基于文件的病毒開(kāi)始流行而逐漸普及，如今已成為最受信任的安全措施之一。但是基于主機(jī)的防病毒軟件也有它的缺點(diǎn)，包括： ? 需要安裝、維護(hù)和保持病毒特征庫(kù)更新，這就導(dǎo)致了大量的維護(hù)開(kāi)銷(xiāo)。 ? 很多用戶并沒(méi)有打開(kāi)防病毒軟件的自動(dòng)更新功能，也沒(méi)有經(jīng)常的手動(dòng)更新他們的病毒庫(kù)，這就導(dǎo)致防病毒軟件對(duì)最新的威脅或攻擊無(wú)用。 ? 用戶有時(shí)可能會(huì)有意或無(wú)意的關(guān)閉他們的單機(jī)安全應(yīng)用程序。 ? 最新的復(fù)雜的木馬程序能對(duì)流行的基于主機(jī)的防病毒軟件進(jìn)行掃描，并在它們加載以前就將它們關(guān)閉 – 這就導(dǎo)致即使有了最新的病毒特征碼，事實(shí)上它們還是不能被檢測(cè)出來(lái)。 企業(yè)單純依靠給予主機(jī)的防病毒軟件和給操作系統(tǒng)和應(yīng)用程序打補(bǔ)丁的方法會(huì)使它們的內(nèi)部系統(tǒng)面臨很高的安全風(fēng)險(xiǎn)。隨著業(yè)務(wù)中使用了越來(lái)越多的面向全球且需要持續(xù)運(yùn)行的關(guān)鍵應(yīng)用，停機(jī)來(lái)更 新操作系統(tǒng)補(bǔ)丁、病毒特征碼和應(yīng)用升級(jí)變得越來(lái)越困難。而公司的 Web、 Email、電子商務(wù)、數(shù)據(jù)庫(kù)、應(yīng)用等服務(wù)器由于長(zhǎng)時(shí)間不打補(bǔ)丁會(huì)很容易在新的攻擊方式下暴露出它們的漏洞。僅僅依靠基于主機(jī)的防病毒軟件的另一個(gè)缺點(diǎn)是，事實(shí)上有害代碼在被每一個(gè)主機(jī)的安全軟件檢測(cè)和阻擋之前就已經(jīng)進(jìn)入了公司的網(wǎng)絡(luò)，這就大大威脅了企業(yè)關(guān)鍵業(yè)務(wù)系統(tǒng)和網(wǎng)絡(luò)應(yīng)用。 上海軟盛信息技術(shù)有限公司 Tel： 02152916000 上海市中山北路 2020 號(hào)中星經(jīng)貿(mào)大廈 19 樓 Fax： 02152949018 2 深度檢測(cè)的力量 專業(yè)人士已經(jīng)意識(shí)到傳統(tǒng)的、曾紅極一時(shí)的安全工具現(xiàn)在面對(duì)新一代攻擊例如混合式攻擊、社會(huì)工程陷阱和協(xié)議受控技術(shù)時(shí)已不再有效。現(xiàn)今為了成功的保護(hù)企業(yè)網(wǎng)絡(luò)，安全防御必須部署在網(wǎng)絡(luò)的各個(gè)層面，并采用更新的檢測(cè)和防護(hù)機(jī)制。用于增強(qiáng)現(xiàn)有安全防御的一些新型安全策略包括： ? 設(shè)計(jì)較小的安全區(qū)域來(lái)保護(hù)關(guān)鍵系統(tǒng)。 ? 增加基于網(wǎng)絡(luò)的安全平臺(tái)，以提供在線（ ”inline”）檢
法律信息相關(guān)推薦
鄂ICP備17016276號(hào)-1