網(wǎng)絡(luò)與信息安全概述-文庫(kù)吧
2025-01-18 13:02 本頁(yè)面
【正文】 防止影響的擴(kuò)散 安全區(qū)域的劃分原則 ? 需求牽引：業(yè)務(wù)層面的需求（不同業(yè)務(wù)、不同部門(mén)的安全等級(jí)需求不同）以及網(wǎng)絡(luò)結(jié)構(gòu)層面的需求（安全域在邏輯上可以和網(wǎng)絡(luò)層次結(jié)構(gòu)對(duì)應(yīng)）；與現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)，網(wǎng)絡(luò)拓?fù)渚o密結(jié)合，盡量不大規(guī)模的影響網(wǎng)絡(luò)布局（考慮到用戶(hù)需求和成本等因素）與業(yè)務(wù)需求一致性原則，安全域的范圍，邊界的界定不能導(dǎo)致業(yè)務(wù)與實(shí)際分離； ? 統(tǒng)一安全策略：安全域的最重要的一個(gè)特征是安全策略的一致性，所以劃分安全域的的前提是具備自上而下（縱向的），自?xún)?nèi)而外（橫向的）的宏觀(guān)上的安全策略規(guī)劃； ? 部署實(shí)施方便：最少化安全設(shè)備原則，合理的安全域劃分可以減少冗余設(shè)備，精簡(jiǎn)開(kāi)支； ? 等級(jí)保護(hù)的需要； ? 為集中化的安全管理服務(wù)。 安全控制 接入?yún)^(qū)域 邏 輯 隔 離 業(yè)務(wù)處理區(qū)域 業(yè)務(wù)終端區(qū)域 業(yè)務(wù)處理區(qū)域 橫向骨干 接入?yún)^(qū)域 邏 輯 隔 離 業(yè)務(wù)處理區(qū)域 業(yè)務(wù)終端區(qū)域 業(yè)務(wù)處理區(qū)域 核心數(shù)據(jù)區(qū)域 Ⅱ Ⅱ Ⅲ Ⅲ Ⅳ Ⅳ Ⅳ Ⅳ Ⅴ Ⅴ C C C C C C C C C C C C 縱向骨干 安全邊界 ? 安全邊界將需要保護(hù)的資源、可能的風(fēng)險(xiǎn)和保障的需求結(jié)合起來(lái) ? 可以在通信路徑上完成訪(fǎng)問(wèn)控制的授權(quán)、范圍、期限。 ? 安全邊界的設(shè)計(jì) ? 良好的清晰度以便進(jìn)行審查和測(cè)試 ? 具備簡(jiǎn)潔性以便能夠迅速自動(dòng)化執(zhí)行減輕維護(hù)人員的工作量 ? 具備現(xiàn)實(shí)性以便采用成熟的技術(shù)和產(chǎn)品 ? 安全邊界可采用的安全技術(shù)包括隔離、監(jiān)控、檢測(cè)、評(píng)估、審計(jì)、加密等。 可作為安全邊界的設(shè)備 ? 交換機(jī) ? 路由器 ? 防火墻 ? 入侵檢測(cè) ? 網(wǎng)關(guān) ? VPN ? Etc……. 第三部分 交換機(jī)設(shè)備安全配置 配置內(nèi)容 ? 關(guān)閉不必要的設(shè)備服務(wù) ? 使用強(qiáng)口令或密碼 ? 加強(qiáng)設(shè)備訪(fǎng)問(wèn)的認(rèn)證與授權(quán) ? 升級(jí)設(shè)備固件或 OS ? 使用訪(fǎng)問(wèn)控制列表限制訪(fǎng)問(wèn) ? 使用訪(fǎng)問(wèn)控制表限制數(shù)據(jù)包類(lèi)型 交換機(jī) 針對(duì) CDP攻擊 交換機(jī) 針對(duì) STP攻擊 ? 說(shuō)明 ? Spanning Tree Protocol ? 防止交換網(wǎng)絡(luò)產(chǎn)生回路 ? Root Bridge ? BPDUbridge ID, path cost, interface ? 攻擊 ? 強(qiáng)制接管 root bridge，導(dǎo)致網(wǎng)絡(luò)邏輯結(jié)構(gòu)改變，在重新生成 STP時(shí)，可以導(dǎo)致某些端口暫時(shí)失效，可以監(jiān)聽(tīng)大部份網(wǎng)絡(luò)流量。 ? BPDU Flood：消耗帶寬，拒絕服務(wù) ? 對(duì)策 ? 對(duì) UserEnd端口，禁止發(fā)送 BPDU 交換機(jī) 針對(duì) VTP攻擊 ? 作用 ? Vlan Trunking Protocol ? 統(tǒng)一了整個(gè)網(wǎng)絡(luò)的 VLAN配置和管理 ? 可以將 VLAN配置信息傳遞到其它交換機(jī) ? 動(dòng)態(tài)添加刪除 VLAN ? 準(zhǔn)確跟蹤和監(jiān)測(cè) VLAN變化 ? 模式 ? Server, Client, Transparent ? 脆弱性 ? Domain：只有屬于同一個(gè) Domain的交換機(jī)才能交換 Vlan信息 set vtp domain power ? Password：同一
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1