網(wǎng)絡與信息安全概述-文庫吧
2025-01-18 13:02 本頁面
【正文】 防止影響的擴散 安全區(qū)域的劃分原則 ? 需求牽引：業(yè)務層面的需求（不同業(yè)務、不同部門的安全等級需求不同）以及網(wǎng)絡結構層面的需求（安全域在邏輯上可以和網(wǎng)絡層次結構對應）；與現(xiàn)有網(wǎng)絡結構，網(wǎng)絡拓撲緊密結合，盡量不大規(guī)模的影響網(wǎng)絡布局（考慮到用戶需求和成本等因素）與業(yè)務需求一致性原則，安全域的范圍，邊界的界定不能導致業(yè)務與實際分離； ? 統(tǒng)一安全策略：安全域的最重要的一個特征是安全策略的一致性，所以劃分安全域的的前提是具備自上而下（縱向的），自內(nèi)而外（橫向的）的宏觀上的安全策略規(guī)劃； ? 部署實施方便：最少化安全設備原則，合理的安全域劃分可以減少冗余設備，精簡開支； ? 等級保護的需要； ? 為集中化的安全管理服務。 安全控制 接入?yún)^(qū)域 邏 輯 隔 離 業(yè)務處理區(qū)域 業(yè)務終端區(qū)域 業(yè)務處理區(qū)域 橫向骨干 接入?yún)^(qū)域 邏 輯 隔 離 業(yè)務處理區(qū)域 業(yè)務終端區(qū)域 業(yè)務處理區(qū)域 核心數(shù)據(jù)區(qū)域 Ⅱ Ⅱ Ⅲ Ⅲ Ⅳ Ⅳ Ⅳ Ⅳ Ⅴ Ⅴ C C C C C C C C C C C C 縱向骨干 安全邊界 ? 安全邊界將需要保護的資源、可能的風險和保障的需求結合起來 ? 可以在通信路徑上完成訪問控制的授權、范圍、期限。 ? 安全邊界的設計 ? 良好的清晰度以便進行審查和測試 ? 具備簡潔性以便能夠迅速自動化執(zhí)行減輕維護人員的工作量 ? 具備現(xiàn)實性以便采用成熟的技術和產(chǎn)品 ? 安全邊界可采用的安全技術包括隔離、監(jiān)控、檢測、評估、審計、加密等。 可作為安全邊界的設備 ? 交換機 ? 路由器 ? 防火墻 ? 入侵檢測 ? 網(wǎng)關 ? VPN ? Etc……. 第三部分 交換機設備安全配置 配置內(nèi)容 ? 關閉不必要的設備服務 ? 使用強口令或密碼 ? 加強設備訪問的認證與授權 ? 升級設備固件或 OS ? 使用訪問控制列表限制訪問 ? 使用訪問控制表限制數(shù)據(jù)包類型 交換機 針對 CDP攻擊 交換機 針對 STP攻擊 ? 說明 ? Spanning Tree Protocol ? 防止交換網(wǎng)絡產(chǎn)生回路 ? Root Bridge ? BPDUbridge ID, path cost, interface ? 攻擊 ? 強制接管 root bridge，導致網(wǎng)絡邏輯結構改變，在重新生成 STP時，可以導致某些端口暫時失效，可以監(jiān)聽大部份網(wǎng)絡流量。 ? BPDU Flood：消耗帶寬，拒絕服務 ? 對策 ? 對 UserEnd端口，禁止發(fā)送 BPDU 交換機 針對 VTP攻擊 ? 作用 ? Vlan Trunking Protocol ? 統(tǒng)一了整個網(wǎng)絡的 VLAN配置和管理 ? 可以將 VLAN配置信息傳遞到其它交換機 ? 動態(tài)添加刪除 VLAN ? 準確跟蹤和監(jiān)測 VLAN變化 ? 模式 ? Server, Client, Transparent ? 脆弱性 ? Domain：只有屬于同一個 Domain的交換機才能交換 Vlan信息 set vtp domain power ? Password：同一
教學課件相關推薦
鄂ICP備17016276號-1