【正文】 擊、緩沖區(qū)溢出攻擊以及跨站點(diǎn)腳本攻擊。? 保護(hù)組織的信息資產(chǎn)避免來自 Internet 上的黑客攻擊。? 現(xiàn)有防火墻（或其他安全設(shè)備）的廠商因?yàn)樵O(shè)備已經(jīng)變得過時(shí)而即將停止支持該設(shè)備。? 提高檢測(cè)和防止應(yīng)用程序?qū)庸舻哪芰ΑＲ嫣帲? 抵御外部威脅： 保護(hù)企業(yè)的信息資產(chǎn)免遭外部威脅，比如黑客發(fā)起的 Internet 攻擊。? 高級(jí)安全功能：增加避免知識(shí)產(chǎn)權(quán)遭受攻擊（比如中間人攻擊、網(wǎng)站篡改、DNS 攻擊檢測(cè)和 IP 欺騙）的保護(hù)。方案規(guī)劃：安全的 Internet 連接基礎(chǔ)結(jié)構(gòu)應(yīng)該：? 充當(dāng)所通過的流量的代理，為內(nèi)部網(wǎng)絡(luò)用戶提供安全的 Internet 訪問。? 執(zhí)行入侵檢測(cè)，入侵檢測(cè)用于檢測(cè)各種惡意活動(dòng)并發(fā)送關(guān)于這些活動(dòng)的相應(yīng)警告。? 訪問內(nèi)部網(wǎng)絡(luò)上的站點(diǎn)的 Internet 用戶。圖 . 安全 Internet 連接設(shè)計(jì)建議：公司需要一個(gè)多用途設(shè)備充當(dāng)路由器、防火墻、NAT 設(shè)備，并在需要時(shí)充當(dāng) VPN 設(shè)備。此外，還可能將專用的硬件設(shè)備用于應(yīng)用程序篩選、代理服務(wù)以及 實(shí)施了 VPN 的環(huán)境中的 VPN 設(shè)備。 該服務(wù)器運(yùn)行單個(gè)或多個(gè)提供防火墻服務(wù)、入侵檢 測(cè)、應(yīng)用程序篩選、Web 代理和 Web 緩存的軟件。? 性能要求。高容量： 專用設(shè)備能夠處理巨大的負(fù)載（比如大 量的 VPN 會(huì)話）而不影響性能。依賴廠商： 用于執(zhí)行不同功能的硬件和軟件是專用硬件和軟件，因此您要依賴廠商提供升級(jí)或附加功能。添加附加功能的能力： 針對(duì)標(biāo)準(zhǔn)操作系統(tǒng)的附加功能很容易獲得。安全性較低： 操作系統(tǒng)中的安全漏洞可能影響防火墻軟件。表 安全 Internet 連接部署可選方案 文件服務(wù) 文件服務(wù)是任何企業(yè)核心信息技術(shù)基礎(chǔ)結(jié)構(gòu)的一個(gè)重要組件。? 數(shù)據(jù)的集中通過提供較少的數(shù)據(jù)備份位置來代替包含文件的大量客戶端計(jì)算機(jī)，消除了管理負(fù)擔(dān)。? 在網(wǎng)絡(luò)共享上存儲(chǔ)某些系統(tǒng)文件夾可提供額外的益處。? 簡(jiǎn)化數(shù)據(jù)的保護(hù)、備份和恢復(fù)過程。環(huán)境初始狀態(tài)：可能的環(huán)境初始狀態(tài)包括：? 多臺(tái)服務(wù)器提供文件服務(wù)。? 基于 Microsoft Windows NT 和 Microsoft Windows 2000 的服務(wù)器提供文件服務(wù)。? 可伸縮性有限或無可伸縮性。? 改善數(shù)據(jù)的存儲(chǔ)和檢索：基于 Windows 的文件服務(wù)提供了高度可靠、可用和安全的數(shù)據(jù)存儲(chǔ)和檢索。這改善了整體網(wǎng)絡(luò)性能。方案規(guī)劃：? 在網(wǎng)絡(luò)上為用戶和應(yīng)用程序提供一個(gè)公共位置來存儲(chǔ)文件。? 低成本并易于實(shí)施和維護(hù)。? 通過提供集中的數(shù)據(jù)存儲(chǔ)使管理和備份更加容易。 應(yīng)該考慮公司的需求并選擇最好地滿足此需求的解決方案。? 由于從非現(xiàn)場(chǎng)的磁帶備份恢復(fù)數(shù)據(jù)的較長(zhǎng)的延遲，需要基于磁盤的備份。（無法負(fù)擔(dān)專用于文件服務(wù)的服務(wù)器并希望使用一臺(tái)服務(wù)器。企業(yè)信息化建設(shè)的周期長(zhǎng)，投資大，不確定性強(qiáng)，只有進(jìn)行IT規(guī)劃才能夠從總體上把握信息化建設(shè)的進(jìn)程。公司資料現(xiàn)場(chǎng)公用。建立相對(duì)應(yīng)FTP賬戶與密碼。FTP管理：設(shè)定時(shí)間限制進(jìn)行臨時(shí)文件清空，防止過時(shí)文件占據(jù)磁盤空間造成浪費(fèi)。本部與現(xiàn)場(chǎng)的資源可以相互共享。VPN可以實(shí)現(xiàn)遠(yuǎn)程桌面，理論只要能接入Internet便可在任何地方任何時(shí)間遠(yuǎn)程接入公司相對(duì)應(yīng)的客戶端進(jìn)行遠(yuǎn)程控制操作。各server系統(tǒng)GHOST（正規(guī)使用磁帶機(jī)備份，現(xiàn)可以使用GHOST替代）?，F(xiàn)使用RAID5磁盤陣列系統(tǒng)，三塊硬盤中一塊為備份恢復(fù)盤（RAID 5介紹）定期每周一檢查硬盤指示燈。系統(tǒng)一季度一備份。文件掃描管理，將建立個(gè)人文檔目錄。光盤介質(zhì)備份，一年一次（最主要的文件備份）。VPN遠(yuǎn)程控制的衍生：通過遠(yuǎn)程控制軟件可進(jìn)行對(duì)公司本部PC進(jìn)行遠(yuǎn)程操作（現(xiàn)公司為固定外網(wǎng)地址IP，為VPN遠(yuǎn)程連接控制架設(shè)了良好的平臺(tái)。理論上若客戶端帶寬充足，便可建立上下傳輸速率高達(dá)4M/S的高速信息傳輸網(wǎng)絡(luò)）。現(xiàn)場(chǎng)可以與公司本部協(xié)同處理工程項(xiàng)目。例：賬戶權(quán)限 客戶及外部人員，只限閱讀權(quán)限。相對(duì)應(yīng)客戶文件夾。企業(yè)如果不進(jìn)行IT規(guī)劃，將會(huì)產(chǎn)生以下一些不良后果：1）遺留系統(tǒng)繁多，信息孤島林立，信息共享困難2）系統(tǒng)集成工作量大，導(dǎo)致反復(fù)投資3）系統(tǒng)維護(hù)費(fèi)用高、收益低、風(fēng)險(xiǎn)大4）軟硬件更新?lián)Q代頻率高5）系統(tǒng)不適應(yīng)新的業(yè)務(wù)而停滯不用，造成浪費(fèi)6）信息化建設(shè)無章可循，可能導(dǎo)致失敗可以看出企業(yè)進(jìn)行IT規(guī)劃是非常必要的，它可以從客觀方面解決以上問題，同時(shí)它還可以解決主觀方面的問題：通過IT規(guī)劃來推動(dòng)企業(yè)員工達(dá)成共識(shí)。（在同一臺(tái)服務(wù)器上運(yùn)行 多個(gè)服務(wù)可能會(huì)影響這些服務(wù)的一部分或全部。建議具有以下需求的公司在主基礎(chǔ)結(jié)構(gòu)服務(wù)器上承載文件服務(wù)：? 極少的數(shù)據(jù)存儲(chǔ)。? 易于伸縮以滿足數(shù)據(jù)的快速增長(zhǎng)。圖 . 企業(yè) IT 文件服務(wù)建議：此解決方案建議選擇以下兩種實(shí)施之一：? 專用于提供文件服務(wù)的基于 Windows Storage Server 2003 的網(wǎng)絡(luò)附加存儲(chǔ)設(shè)備。? 使用戶可以在未連接到網(wǎng)絡(luò)的情況下還可以訪問他們的文件。? 提供足夠的存儲(chǔ)容量以滿足現(xiàn)在和將來的存儲(chǔ)需求。此服務(wù)為在文件服務(wù)器上存儲(chǔ)的數(shù)據(jù)（甚至為打開的文件）提供了一種簡(jiǎn)單、可靠的備份機(jī)制。因此，可以輕松地管理數(shù)據(jù)（包括共享和訪問控制列表的備份、還原和管理）。? 除網(wǎng)絡(luò)服務(wù)、Active Directory 和其他服務(wù)之外，主基礎(chǔ)結(jié)構(gòu)服務(wù)器還提供文件服務(wù)。? 多臺(tái)文件服務(wù)器導(dǎo)致 IT 管理負(fù)擔(dān)增加，并使文件服務(wù)的總擁有成本增加。如果現(xiàn)有服務(wù)器達(dá)到了最大存儲(chǔ)限制，則需要添加新 服務(wù)器，或增加現(xiàn)有服務(wù)器的存儲(chǔ)容量。? 使用統(tǒng)一的命名空間。使用方案：? 將數(shù)據(jù)合并到一個(gè)中心位置以提供集中存儲(chǔ)的益處。? 使提供可靠存儲(chǔ)的成本減少。在網(wǎng)絡(luò)共享上存儲(chǔ)所有重要數(shù)據(jù)提供了以下益處：? 與企業(yè)有關(guān)的信息存放在一個(gè)集中的位置，使員工可以從多個(gè)位置對(duì)數(shù)據(jù)進(jìn)行訪問。附加軟件層： 存在運(yùn)行操作系統(tǒng)的性能開銷。只需更少的培訓(xùn)： IT 通才不需要任何特殊的培訓(xùn)，因?yàn)槭褂玫氖菢?biāo)準(zhǔn)硬件和操作系統(tǒng)。無應(yīng)用程序?qū)雍Y選： 許多硬件防火墻沒有內(nèi)置應(yīng)用程序?qū)雍Y選功能，而是依賴非 Microsoft 應(yīng)用程序提供此服務(wù)。難于管理： 需要更多的精力來安裝、配置、部署和支持專用設(shè)備。? 使用硬件 ASIC 設(shè)計(jì)。? 構(gòu)建和部署的難易。? 集成的防火墻服務(wù)器： 在部署中，單臺(tái)服務(wù)器提供保護(hù) Internet 連接所需要的所有服務(wù)和功能。? 專用的硬件設(shè)備：專用的硬件設(shè)備用于執(zhí)行不同的功能。應(yīng)該有一種以各種形式（比如電子郵件和事件日志記錄）發(fā)送警告通 知的機(jī)制。? 執(zhí)行應(yīng)用程序篩選以掃描各個(gè)應(yīng)用程序?qū)拥娜胝竞统稣玖髁浚ū热?SMTP、HTTP、FTP），并檢測(cè) 惡意代碼。? 提供防火墻服務(wù)，包括執(zhí)行狀態(tài)包檢查和網(wǎng)絡(luò)地址轉(zhuǎn)換 (NAT)。? 輕松實(shí)現(xiàn)可伸縮性,并輕松地?cái)U(kuò)展至處理更高的流量負(fù)載。 ? 附加功能： 提供附加的集成（如 Web 緩存）功能來改進(jìn)訪問 HTTP 和 FTP 站點(diǎn)的性能。? 清晰的日志記錄、監(jiān)視和報(bào)告機(jī)制。? 沒有用于監(jiān)視和控制雇員對(duì) Internet 的使用的機(jī)制。? 使用多個(gè)專用設(shè)備執(zhí)行不同的功能，比如防火墻、代理、入侵檢測(cè)和應(yīng)用程序篩選。? 應(yīng)用程序篩選，以避免用于針對(duì)應(yīng)用程序?qū)訁f(xié)議（比如 SMTP、HTTP 和 RPC）的攻擊。? 安全、輕松地發(fā)布 Intranet 站點(diǎn)，以便通過 Internet 向遠(yuǎn)程用戶提供信息。? 記錄、監(jiān)視和報(bào)告 Internet 活動(dòng)，比如使用情況和性能統(tǒng)計(jì)數(shù)據(jù)。? 在總公司設(shè)計(jì)和部署防火墻服務(wù)以提供對(duì) Internet 的安全訪問。IT 環(huán)境面對(duì)并且必須抵御來自 Internet 的下列安全威脅：? 黑客攻擊，比如拒絕服務(wù) (DoS) 攻擊、中間人 (maninthemiddle) 攻擊和網(wǎng)站篡改。這些資源包括 Web 服務(wù)、電子郵件服務(wù)、相關(guān)應(yīng)用程序。 安全 Internet 連接服務(wù) Internet 為用戶提供了訪問和共享信息并以經(jīng)濟(jì)、高效的方式進(jìn)行通信的能力。建議：建議部署兩臺(tái)冗余服務(wù)器，分別稱為“主基礎(chǔ)結(jié)構(gòu)服務(wù)器”和“輔助基礎(chǔ)結(jié)構(gòu)服務(wù)器”。然而，使用群集要求在兩臺(tái)基礎(chǔ)結(jié)構(gòu)服務(wù)器上安裝 Windows Server 2003 Enterprise Edition，這要比