移動企業(yè)網(wǎng)絡(luò)安全整體項目解決方案1-文庫吧在線文庫
【正文】 規(guī)則例外使包過濾規(guī)則過于復(fù)雜而難以管理。這樣的應(yīng)用稱為代理服務(wù)，運行代理服務(wù)的主機被稱為應(yīng)用網(wǎng)關(guān)。 應(yīng)用網(wǎng)關(guān)的缺點在于： √ 新的服務(wù)需要安裝新的代理服務(wù)器。 √ 增加的需要，如加密或拔號接入支持。 √ 對遠程用戶進行認證方法培訓(xùn)。 √ Firewall必須支持實際的安全政策，而非改變安全策略適應(yīng)Firewall。 √ Firewall應(yīng)該支持對公共Information server的訪問，支持對公共Information server的保護，并且將Information server同內(nèi)部網(wǎng)隔離。由于網(wǎng)絡(luò)的廣泛互聯(lián)，病毒的傳播途徑和速度大大加快。 (2) 檢查和清除病毒。 (3) 由于性能的限制，防火焰通常不能提供實時的入侵檢測能力。 基于主機的安全監(jiān)控系統(tǒng)具備如下特點： (1) 精確，可以精確地判斷入侵事件。 (4) 精確度較差。 (4) 精確度及完整度，防欺騙能力。通常與相應(yīng)的服務(wù)器操作系統(tǒng)緊密相關(guān)。 (4) 是否支持可定制的攻擊方法。 認證技術(shù)將應(yīng)用到企業(yè)網(wǎng)絡(luò)中的以下方面： (1) 路由器認證，路由器和交換機之間的認證。 數(shù)字簽名技術(shù)主要用于： (1) 基于PKI認證體系的認證過程。該種方法安全程度較高，綜合采用了摘要算法、不對稱加密、對稱加密、數(shù)字簽名等技術(shù)，很好地將安全性和高效率結(jié)合起來。當(dāng)企業(yè)通過INTERNET進行通訊時，信息可能受到竊聽和非法修改。 并且，如果消息隨數(shù)字簽名一同發(fā)送，對消息的任何修改在驗證數(shù)字簽名時都將會被發(fā)現(xiàn)。IPsec使用ISAKMP/Oakley及SKIP進行密鑰交換、管理及加密通訊協(xié)商(Security Association)。(易于管理)。同時，新發(fā)現(xiàn)的針對BINDNDS實現(xiàn)的安全漏洞也開始發(fā)現(xiàn)，而絕大多數(shù)的域名系統(tǒng)均存在類似的問題。 Web Server經(jīng)常成為Internet用戶訪問公司內(nèi)部資源的通道之一，如Web server通過中間件訪問主機系統(tǒng)，通過數(shù)據(jù)庫連接部件訪問數(shù)據(jù)庫，利用CGI訪問本地文件系統(tǒng)或網(wǎng)絡(luò)系統(tǒng)中其它資源。 (6) 。 (4) 升級到最新的安全版本。能干的人，不在情緒上計較，只在做事上認真；無能的人！不在做事上認真，只在情緒上計較。寧可累死在路上，也不能閑死在家里！寧可去碰壁，也不能面壁。 加強電子郵件系統(tǒng)的安全性，通常有如下辦法： (1) 設(shè)置一臺位于?；饏^(qū)的電子郵件服務(wù)器作為內(nèi)外電子郵件通訊的中轉(zhuǎn)站(或利用防火墻的電子郵件中轉(zhuǎn)功能)。 (3) 在通往Web服務(wù)器的網(wǎng)絡(luò)路徑上安裝基于網(wǎng)絡(luò)的實時入侵監(jiān)控系統(tǒng)。 (2) 域名服務(wù)器及域名查找應(yīng)用安裝相應(yīng)的安全補丁。下面的幾個部分列出了在Internet/Intranet中主要的應(yīng)用平臺服務(wù)的安全問題及相關(guān)技術(shù)。提供Ipsecgateway之間的通訊。而其它的加密模式需要管理的密鑰數(shù)目與通訊者數(shù)目的平方成正比。數(shù)字簽名 數(shù)字簽名作為驗證發(fā)送者身份和消息完整性的根據(jù)。七. VPN技術(shù) 企業(yè)對VPN 技術(shù)的需求 企業(yè)總部和各分支機構(gòu)之間采用internet網(wǎng)絡(luò)進行連接，由于internet是公用網(wǎng)絡(luò)，因此，必須保證其安全性。 UserName/Password認證 該種認證方式是最常用的一種認證方式，用于操作系統(tǒng)登錄、telnet、rlogin等，但由于此種認證方式過程不加密，即password容易被監(jiān)聽和解密。 (4) VPN網(wǎng)關(guān)設(shè)備之間的認證。 (6) 更新周期。在網(wǎng)絡(luò)內(nèi)進行安全掃描非常耗時。 安全掃描工具源于Hacker在入侵網(wǎng)絡(luò)系統(tǒng)時采用的工具。 (2) 在需要監(jiān)視的網(wǎng)絡(luò)路徑上，放置監(jiān)視模塊(sensor),分別向管理服務(wù)器報告及上傳證據(jù)，提供跨網(wǎng)絡(luò)的入侵監(jiān)視解決方案?！ ? (5) 占用主機寶貴資源?；诰W(wǎng)絡(luò)的入侵檢測系統(tǒng)用于實時監(jiān)控網(wǎng)絡(luò)關(guān)鍵路徑的信息，其基本模型如下圖示：(., close connection)(.,detection of“phf”stringin session)Countermeasure(C) Box(., store contentsof connectiondisk)PatternMatchingSignatureAnalysisStorage (D) BoxPassiveProtocolAnalysis (, TCP Stream reconstruction) Ethernet圖21 入侵檢測系統(tǒng)的基本模型 上述模型由四個部分組成： (1) Passive protocol Analyzer網(wǎng)絡(luò)數(shù)據(jù)包的協(xié)議分析器、將結(jié)果送給模式匹配部分并根據(jù)需要保存。 (4) 在防火墻、代理服務(wù)器及PC上安裝Java及ActiveX控制掃描軟件，禁止未經(jīng)許可的控件下載和安裝。 (4) 通過群件系統(tǒng)傳播。 √ Firewall的設(shè)計應(yīng)該是可理解和管理的。 √ IP過濾描述語言應(yīng)該靈活，界面友好，并支持源IP和目的IP，協(xié)議類型，源和目的TCP/UDP口，以及到達和離開界面。 √ 必須對公共信息服務(wù)器進行嚴格的安全控制，否則將成為系統(tǒng)安全的缺口。新的協(xié)議和服務(wù)大量涌現(xiàn)帶來新的安全問題，安全策略必須能反應(yīng)和處理這些問題。線路級網(wǎng)關(guān)線路級網(wǎng)關(guān)提供內(nèi)部網(wǎng)和外部網(wǎng)連接的中繼，但不提供額外的處理和過濾能力。 √ 信息隱藏，應(yīng)用網(wǎng)關(guān)為外部連接提供代理。此時用戶通過重新映射端口，可以繞過過濾路由器。 Firewall的基本分類包過濾 IP包過濾： √ 源IP地址； √ 目的IP地址； √ TCP/UDP源端口； √ TCP/UDP目的端口。 設(shè)置Firewall的要素網(wǎng)絡(luò)策略 影響Firewall系統(tǒng)設(shè)計、安裝和使用的網(wǎng)絡(luò)策略可分為兩級，高級的網(wǎng)絡(luò)策略定義允許和禁止的服務(wù)以及如何使用服務(wù)，低級的網(wǎng)絡(luò)策略描述Firewall如何限制和過濾在高級策略中定義的服務(wù)。例如，F(xiàn)irewall允許外部訪問特定的Mail Server和Web Server。但這要求整個網(wǎng)絡(luò)桌面使用交換端口或每個交換端口所在的網(wǎng)段機器均屬于相同的VLAN。因此、防止了大部分基于網(wǎng)絡(luò)監(jiān)聽的入侵手段。l 網(wǎng)絡(luò)安全管理：在網(wǎng)絡(luò)層設(shè)置路由器、防火墻、安全
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1