移動(dòng)集團(tuán)網(wǎng)絡(luò)安全整體解決方案(編輯修改稿)
2025-05-25 08:17 本頁面
【文章內(nèi)容簡介】 以禁止FTP連接的Put命令。 √ 信息隱藏，應(yīng)用網(wǎng)關(guān)為外部連接提供代理。 √ 健壯的認(rèn)證和日志。 √ 節(jié)省費(fèi)用，第三方的認(rèn)證設(shè)備(軟件或硬件)只需安裝在應(yīng)用網(wǎng)關(guān)上。 √ 簡化和靈活的過濾規(guī)則，路由器只需簡單地通過到達(dá)應(yīng)用網(wǎng)關(guān)的包并拒絕其余的包通過。 應(yīng)用網(wǎng)關(guān)的缺點(diǎn)在于： √ 新的服務(wù)需要安裝新的代理服務(wù)器。 √ 有時(shí)需要對(duì)客戶軟件進(jìn)行修改。 √ 可能會(huì)降低網(wǎng)絡(luò)性能?！?應(yīng)用網(wǎng)關(guān)可能被攻擊。線路級(jí)網(wǎng)關(guān)線路級(jí)網(wǎng)關(guān)提供內(nèi)部網(wǎng)和外部網(wǎng)連接的中繼，但不提供額外的處理和過濾能力。Stateful防火墻 該類防火墻綜合了包過濾防火墻及應(yīng)用網(wǎng)關(guān)的特性。能夠提供比應(yīng)用網(wǎng)關(guān)更多的連接特性，但是安全性比較應(yīng)用網(wǎng)關(guān)差。 建設(shè)Firewall的原則 分析安全和服務(wù)需求 以下問題有助于分析安全和服務(wù)需求： √ 計(jì)劃使用哪些Internet服務(wù)(如，ftp，gopher)，從何處使用Internet服務(wù)(本地網(wǎng)，撥號(hào)，遠(yuǎn)程辦公室)。 √ 增加的需要，如加密或拔號(hào)接入支持。 √ 提供以上服務(wù)和訪問的風(fēng)險(xiǎn)。 √ 提供網(wǎng)絡(luò)安全控制的同時(shí)，對(duì)系統(tǒng)應(yīng)用服務(wù)犧牲的代價(jià)。 策略的靈活性 Internet相關(guān)的網(wǎng)絡(luò)安全策略總的來說，應(yīng)該保持一定的靈活性，主要有以下原因： √ Internet自身發(fā)展非?？?，機(jī)構(gòu)可能需要不斷使用Internet提供的新服務(wù)開展業(yè)務(wù)。新的協(xié)議和服務(wù)大量涌現(xiàn)帶來新的安全問題，安全策略必須能反應(yīng)和處理這些問題。 √ 機(jī)構(gòu)面臨的風(fēng)險(xiǎn)并非是靜態(tài)的，機(jī)構(gòu)職能轉(zhuǎn)變、網(wǎng)絡(luò)設(shè)置改變都有可能改變風(fēng)險(xiǎn)。 遠(yuǎn)程用戶認(rèn)證策略 √ 遠(yuǎn)程用戶不能通過放置于Firewall后的未經(jīng)認(rèn)證的Modem訪問系統(tǒng)。 √ PPP/SLIP連接必須通過Firewall認(rèn)證。 √ 對(duì)遠(yuǎn)程用戶進(jìn)行認(rèn)證方法培訓(xùn)?！ 苋?撥出策略 √ 撥入/撥出能力必須在設(shè)計(jì)Firewall時(shí)進(jìn)行考慮和集成。 √ 外部撥入用戶必須通過Firewall的認(rèn)證。 Information Server策略 √ 公共信息服務(wù)器的安全必須集成到Firewall中。 √ 必須對(duì)公共信息服務(wù)器進(jìn)行嚴(yán)格的安全控制，否則將成為系統(tǒng)安全的缺口。 √ 為Information server定義折中的安全策略允許提供公共服務(wù)。 √ 對(duì)公共信息服務(wù)和商業(yè)信息(如)講行安全策略區(qū)分。 Firewall系統(tǒng)的基本特征 √ Firewall必須支持．“禁止任何服務(wù)除非被明確允許”的設(shè)計(jì)策略。 √ Firewall必須支持實(shí)際的安全政策，而非改變安全策略適應(yīng)Firewall。 √ Firewall必須是靈活的，以適應(yīng)新的服務(wù)和機(jī)構(gòu)智能改變帶來的安全策略的改變?！ ?Firewall必須支持增強(qiáng)的認(rèn)證機(jī)制。 √ Firewall應(yīng)該使用過濾技術(shù)以允許或拒絕對(duì)特定主機(jī)的訪問。 √ IP過濾描述語言應(yīng)該靈活，界面友好，并支持源IP和目的IP，協(xié)議類型，源和目的TCP/UDP口，以及到達(dá)和離開界面。 √ Firewall應(yīng)該為FTP、TELNET提供代理服務(wù)，以提供增強(qiáng)和集中的認(rèn)證管理機(jī)制。如果提供其它的服務(wù)(如NNTP，等)也必須通過代理服務(wù)器。 √ Firewall應(yīng)該支持集中的SMTP處理，減少內(nèi)部網(wǎng)和遠(yuǎn)程系統(tǒng)的直接連接。 √ Firewall應(yīng)該支持對(duì)公共Information server的訪問，支持對(duì)公共Information server的保護(hù)，并且將Information server同內(nèi)部網(wǎng)隔離。 √ Firewall可支持對(duì)撥號(hào)接入的集中管理和過濾。 √ Firewall應(yīng)支持對(duì)交通、可疑活動(dòng)的日志記錄。 √ 如果Firewall需要通用的操作系統(tǒng)，必須保證使用的操作系統(tǒng)安裝了所有己知的安全漏洞Patch。 √ Firewall的設(shè)計(jì)應(yīng)該是可理解和管理的。 √ Firewall依賴的操作系統(tǒng)應(yīng)及時(shí)地升級(jí)以彌補(bǔ)安全漏洞。選擇防火墻的要點(diǎn) (1) 安全性：即是否通過了嚴(yán)格的入侵測試。 (2) 抗攻擊能力：對(duì)典型攻擊的防御能力 (3) 性能：是否能夠提供足夠的網(wǎng)絡(luò)吞吐能力 (4) 自我完備能力：自身的安全性，F(xiàn)ailclose (5) 可管理能力：是否支持SNMP網(wǎng)管 (6) VPN支持 (7) 認(rèn)證和加密特性(8) 服務(wù)的類型和原理(9)網(wǎng)絡(luò)地址轉(zhuǎn)換能力三. 病毒防護(hù)技術(shù) 病毒歷來是信息系統(tǒng)安全的主要問題之一。由于網(wǎng)絡(luò)的廣泛互聯(lián)，病毒的傳播途徑和速度大大加快。 我們將病毒的途徑分為： (1 ) 通過FTP，電子郵件傳播。 (2) 通過軟盤、光盤、磁帶傳播。 (3) 通過Web游覽傳播，主要是惡意的Java控件網(wǎng)站。 (4) 通過群件系統(tǒng)傳播。 病毒防護(hù)的主要技術(shù)如下： (1) 阻止病毒的傳播。 在防火墻、代理服務(wù)器、SMTP服務(wù)器、網(wǎng)絡(luò)服務(wù)器、群件服務(wù)器上安裝病毒過濾軟件。在桌面PC安裝病毒監(jiān)控軟件。 (2) 檢查和清除病毒。 使用防病毒軟件檢查和清除病毒。 (3) 病毒數(shù)據(jù)庫的升級(jí)。 病毒數(shù)據(jù)庫應(yīng)不斷更新，并下發(fā)到桌面系統(tǒng)。 (4) 在防火墻、代理服務(wù)器及PC上安裝Java及ActiveX控制掃描軟件，禁止未經(jīng)許可的控件下載和安裝。四. 入侵檢測技術(shù) 利用防火墻技術(shù)，經(jīng)過仔細(xì)的配置，通常能夠在內(nèi)外網(wǎng)之間提供安全的網(wǎng)絡(luò)保護(hù)，降低了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。但是，僅僅使用防火墻、網(wǎng)絡(luò)安全還遠(yuǎn)遠(yuǎn)不夠： (1) 入侵者可尋找防火墻背后可能敞開的后門。 (2) 入侵者可能就在防火墻內(nèi)。 (3) 由于性能的限制，防火焰通常不能提供實(shí)時(shí)的入侵檢測能力。 入侵檢測系統(tǒng)是近年出現(xiàn)的新型網(wǎng)絡(luò)安全技術(shù)，目的是提供實(shí)時(shí)的入侵檢測及采取相應(yīng)的防護(hù)手段，如記錄證據(jù)用于跟蹤和恢復(fù)、斷開網(wǎng)絡(luò)連接等。 實(shí)時(shí)入侵檢測能力之所以重要首先它能夠?qū)Ω秮碜詢?nèi)部網(wǎng)絡(luò)的攻擊，其次它能夠縮短hacker入侵的時(shí)間。 入侵檢測系統(tǒng)可分為兩類：√ 基于主機(jī) √ 基于網(wǎng)絡(luò) 基于主機(jī)的入侵檢測系統(tǒng)用于保護(hù)關(guān)鍵應(yīng)用的服務(wù)器，實(shí)時(shí)監(jiān)視可疑的連接、系統(tǒng)日志檢查，非法訪問的闖入等，并且提供對(duì)典型應(yīng)用的監(jiān)視如Web服務(wù)器應(yīng)用。基于網(wǎng)絡(luò)的
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1