移動(dòng)企業(yè)網(wǎng)絡(luò)安全整體項(xiàng)目解決方案1-文庫(kù)吧在線文庫(kù)
【正文】 規(guī)則例外使包過(guò)濾規(guī)則過(guò)于復(fù)雜而難以管理。這樣的應(yīng)用稱為代理服務(wù)，運(yùn)行代理服務(wù)的主機(jī)被稱為應(yīng)用網(wǎng)關(guān)。 應(yīng)用網(wǎng)關(guān)的缺點(diǎn)在于： √ 新的服務(wù)需要安裝新的代理服務(wù)器。 √ 增加的需要，如加密或拔號(hào)接入支持。 √ 對(duì)遠(yuǎn)程用戶進(jìn)行認(rèn)證方法培訓(xùn)。 √ Firewall必須支持實(shí)際的安全政策，而非改變安全策略適應(yīng)Firewall。 √ Firewall應(yīng)該支持對(duì)公共Information server的訪問(wèn)，支持對(duì)公共Information server的保護(hù)，并且將Information server同內(nèi)部網(wǎng)隔離。由于網(wǎng)絡(luò)的廣泛互聯(lián)，病毒的傳播途徑和速度大大加快。 (2) 檢查和清除病毒。 (3) 由于性能的限制，防火焰通常不能提供實(shí)時(shí)的入侵檢測(cè)能力。 基于主機(jī)的安全監(jiān)控系統(tǒng)具備如下特點(diǎn)： (1) 精確，可以精確地判斷入侵事件。 (4) 精確度較差。 (4) 精確度及完整度，防欺騙能力。通常與相應(yīng)的服務(wù)器操作系統(tǒng)緊密相關(guān)。 (4) 是否支持可定制的攻擊方法。 認(rèn)證技術(shù)將應(yīng)用到企業(yè)網(wǎng)絡(luò)中的以下方面： (1) 路由器認(rèn)證，路由器和交換機(jī)之間的認(rèn)證。 數(shù)字簽名技術(shù)主要用于： (1) 基于PKI認(rèn)證體系的認(rèn)證過(guò)程。該種方法安全程度較高，綜合采用了摘要算法、不對(duì)稱加密、對(duì)稱加密、數(shù)字簽名等技術(shù)，很好地將安全性和高效率結(jié)合起來(lái)。當(dāng)企業(yè)通過(guò)INTERNET進(jìn)行通訊時(shí)，信息可能受到竊聽(tīng)和非法修改。 并且，如果消息隨數(shù)字簽名一同發(fā)送，對(duì)消息的任何修改在驗(yàn)證數(shù)字簽名時(shí)都將會(huì)被發(fā)現(xiàn)。IPsec使用ISAKMP/Oakley及SKIP進(jìn)行密鑰交換、管理及加密通訊協(xié)商(Security Association)。(易于管理)。同時(shí)，新發(fā)現(xiàn)的針對(duì)BINDNDS實(shí)現(xiàn)的安全漏洞也開(kāi)始發(fā)現(xiàn)，而絕大多數(shù)的域名系統(tǒng)均存在類似的問(wèn)題。 Web Server經(jīng)常成為Internet用戶訪問(wèn)公司內(nèi)部資源的通道之一，如Web server通過(guò)中間件訪問(wèn)主機(jī)系統(tǒng)，通過(guò)數(shù)據(jù)庫(kù)連接部件訪問(wèn)數(shù)據(jù)庫(kù)，利用CGI訪問(wèn)本地文件系統(tǒng)或網(wǎng)絡(luò)系統(tǒng)中其它資源。 (6) 。 (4) 升級(jí)到最新的安全版本。能干的人，不在情緒上計(jì)較，只在做事上認(rèn)真；無(wú)能的人！不在做事上認(rèn)真，只在情緒上計(jì)較。寧可累死在路上，也不能閑死在家里！寧可去碰壁，也不能面壁。 加強(qiáng)電子郵件系統(tǒng)的安全性，通常有如下辦法： (1) 設(shè)置一臺(tái)位于?；饏^(qū)的電子郵件服務(wù)器作為內(nèi)外電子郵件通訊的中轉(zhuǎn)站(或利用防火墻的電子郵件中轉(zhuǎn)功能)。 (3) 在通往Web服務(wù)器的網(wǎng)絡(luò)路徑上安裝基于網(wǎng)絡(luò)的實(shí)時(shí)入侵監(jiān)控系統(tǒng)。 (2) 域名服務(wù)器及域名查找應(yīng)用安裝相應(yīng)的安全補(bǔ)丁。下面的幾個(gè)部分列出了在Internet/Intranet中主要的應(yīng)用平臺(tái)服務(wù)的安全問(wèn)題及相關(guān)技術(shù)。提供Ipsecgateway之間的通訊。而其它的加密模式需要管理的密鑰數(shù)目與通訊者數(shù)目的平方成正比。數(shù)字簽名 數(shù)字簽名作為驗(yàn)證發(fā)送者身份和消息完整性的根據(jù)。七. VPN技術(shù) 企業(yè)對(duì)VPN 技術(shù)的需求 企業(yè)總部和各分支機(jī)構(gòu)之間采用internet網(wǎng)絡(luò)進(jìn)行連接，由于internet是公用網(wǎng)絡(luò)，因此，必須保證其安全性。 UserName/Password認(rèn)證 該種認(rèn)證方式是最常用的一種認(rèn)證方式，用于操作系統(tǒng)登錄、telnet、rlogin等，但由于此種認(rèn)證方式過(guò)程不加密，即password容易被監(jiān)聽(tīng)和解密。 (4) VPN網(wǎng)關(guān)設(shè)備之間的認(rèn)證。 (6) 更新周期。在網(wǎng)絡(luò)內(nèi)進(jìn)行安全掃描非常耗時(shí)。 安全掃描工具源于Hacker在入侵網(wǎng)絡(luò)系統(tǒng)時(shí)采用的工具。 (2) 在需要監(jiān)視的網(wǎng)絡(luò)路徑上，放置監(jiān)視模塊(sensor),分別向管理服務(wù)器報(bào)告及上傳證據(jù)，提供跨網(wǎng)絡(luò)的入侵監(jiān)視解決方案?！ ? (5) 占用主機(jī)寶貴資源?；诰W(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)用于實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)關(guān)鍵路徑的信息，其基本模型如下圖示：(., close connection)(.,detection of“phf”stringin session)Countermeasure(C) Box(., store contentsof connectiondisk)PatternMatchingSignatureAnalysisStorage (D) BoxPassiveProtocolAnalysis (, TCP Stream reconstruction) Ethernet圖21 入侵檢測(cè)系統(tǒng)的基本模型 上述模型由四個(gè)部分組成： (1) Passive protocol Analyzer網(wǎng)絡(luò)數(shù)據(jù)包的協(xié)議分析器、將結(jié)果送給模式匹配部分并根據(jù)需要保存。 (4) 在防火墻、代理服務(wù)器及PC上安裝Java及ActiveX控制掃描軟件，禁止未經(jīng)許可的控件下載和安裝。 (4) 通過(guò)群件系統(tǒng)傳播。 √ Firewall的設(shè)計(jì)應(yīng)該是可理解和管理的。 √ IP過(guò)濾描述語(yǔ)言應(yīng)該靈活，界面友好，并支持源IP和目的IP，協(xié)議類型，源和目的TCP/UDP口，以及到達(dá)和離開(kāi)界面。 √ 必須對(duì)公共信息服務(wù)器進(jìn)行嚴(yán)格的安全控制，否則將成為系統(tǒng)安全的缺口。新的協(xié)議和服務(wù)大量涌現(xiàn)帶來(lái)新的安全問(wèn)題，安全策略必須能反應(yīng)和處理這些問(wèn)題。線路級(jí)網(wǎng)關(guān)線路級(jí)網(wǎng)關(guān)提供內(nèi)部網(wǎng)和外部網(wǎng)連接的中繼，但不提供額外的處理和過(guò)濾能力。 √ 信息隱藏，應(yīng)用網(wǎng)關(guān)為外部連接提供代理。此時(shí)用戶通過(guò)重新映射端口，可以繞過(guò)過(guò)濾路由器。 Firewall的基本分類包過(guò)濾 IP包過(guò)濾： √ 源IP地址； √ 目的IP地址； √ TCP/UDP源端口； √ TCP/UDP目的端口。 設(shè)置Firewall的要素網(wǎng)絡(luò)策略 影響Firewall系統(tǒng)設(shè)計(jì)、安裝和使用的網(wǎng)絡(luò)策略可分為兩級(jí)，高級(jí)的網(wǎng)絡(luò)策略定義允許和禁止的服務(wù)以及如何使用服務(wù)，低級(jí)的網(wǎng)絡(luò)策略描述Firewall如何限制和過(guò)濾在高級(jí)策略中定義的服務(wù)。例如，F(xiàn)irewall允許外部訪問(wèn)特定的Mail Server和Web Server。但這要求整個(gè)網(wǎng)絡(luò)桌面使用交換端口或每個(gè)交換端口所在的網(wǎng)段機(jī)器均屬于相同的VLAN。因此、防止了大部分基于網(wǎng)絡(luò)監(jiān)聽(tīng)的入侵手段。l 網(wǎng)絡(luò)安全管理：在網(wǎng)絡(luò)層設(shè)置路由器、防火墻、安全
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1