網(wǎng)絡系統(tǒng)項目建設方案(編輯修改稿)
2025-06-06 18:11 本頁面
【文章內(nèi)容簡介】 臺的UNIX系統(tǒng)及應用資源，變更傳統(tǒng)的被動應答故障成為前瞻式監(jiān)測的管理方式，及時了解出現(xiàn)的問題，在條件允許的情況下，還能夠?qū)崿F(xiàn)自我修復。網(wǎng)絡管理是對整個項目的網(wǎng)絡設備進行管理。對網(wǎng)絡管理軟件的要求是：使用靈活的組件技術，支持多種操作平臺，并能夠與多種通用網(wǎng)管平臺集成，實現(xiàn)從設備級到網(wǎng)絡級全方位的網(wǎng)絡管理，對網(wǎng)絡、主機、操作系統(tǒng)、數(shù)據(jù)庫和應用的狀態(tài)及其相應的日志文件的監(jiān)控。 安全系統(tǒng)建設方案網(wǎng)絡設備自身安全包括設備本身對病毒和蠕蟲的防御以及網(wǎng)絡協(xié)議本身的防范措施。有以下是本項目所涉及的網(wǎng)絡設備和協(xié)議環(huán)境面臨的威脅和相應的解決方案： 防蠕蟲病毒的攻擊數(shù)據(jù)中心雖然沒有直接連接Internet，但內(nèi)部專網(wǎng)中很多計算機并無法保證在整個使用周期內(nèi)不會接觸互聯(lián)網(wǎng)和各種移動存儲介質(zhì)，仍然會較多的面臨大量網(wǎng)絡蠕蟲病毒的威脅，比如Red Code，SQL Slammer等等，由于它們經(jīng)常變換特征，防火墻也不能完全對其進行過濾，它們一般發(fā)作的機理如下： 利用Microdsoft OS或應用的緩沖區(qū)溢出的漏洞獲得此主機的控制權 獲得此主機的控制權后，安裝病毒軟件，病毒軟件隨機生成大量的IP地址，并向這些IP地址發(fā)送大量的IP包。 有此安全漏洞的MS OS會受到感染，也隨機生成大量IP地址，并向這些IP地址發(fā)送大量的IP包。 導致阻塞網(wǎng)絡帶寬，CPU利用率升高等 直接對網(wǎng)絡設備發(fā)出錯包，讓網(wǎng)絡設備CPU占用率升高直至引發(fā)協(xié)議錯誤甚至宕機因此需要在設備一級保證受到攻擊時本身的健壯性。 防VLAN的脆弱性配置在數(shù)據(jù)中心的不同安全域進行防火墻訪問控制隔離時，存在多個VLAN，雖然廣泛采用端口捆綁、vPC等技術使正常工作中拓撲簡化甚至完全避免環(huán)路，但由于網(wǎng)絡VLAN多且關系復雜，無法在工程上完全杜絕諸如網(wǎng)絡故障切換、誤操作造成的臨時環(huán)路，因此有必要運行生成樹協(xié)議作為二層網(wǎng)絡中增加穩(wěn)定性的措施。但是，當前有許多軟件都具有STP 功能，惡意用戶在它的PC上安裝STP軟件與一個Switch相連，引起STP重新計算，它有可能成為STP Root， 因此所有流量都會流向惡意軟件主機，惡意用戶可做包分析。局域網(wǎng)交換機應具有Root guard（根橋監(jiān)控）功能，可以有效防止其它Switch成為STP Root。本項目我們在所有允許二層生成樹協(xié)議的設備上，特別是接入層中都將啟動Root Guard特性，另外Nexus5000/2000還支持BPDU filters, Bridge Assurance等生成樹特性以保證生成樹的安全和穩(wěn)定。還有一些惡意用戶編制特定的STP軟件向各個Vlan加入，會引起大量的STP的重新計算，引起網(wǎng)絡抖動，CPU占用升高。本期所有接入層交換機的所有端口都將設置BPDU Guard功能，一旦從某端口接收到惡意用戶發(fā)來的STP BPDU,則禁止此端口。防止ARP表的攻擊的有效手段本項目大量使用了三層交換機，在發(fā)送數(shù)據(jù)前其工作方式同路由器一樣先查找ARP，找到目的端的MAC地址，再把信息發(fā)往目的。很多病毒可以向三層交換機發(fā)一個冒充的ARP,將目的端的IP地址和惡意用戶主機的MAC對應，因此發(fā)往目的端的包就會發(fā)往惡意用戶，以此實現(xiàn)包竊聽。在Host上配置靜態(tài)ARP是一種防止方式，但是有管理負擔加重，維護困難，并當通信雙方經(jīng)常更換時，幾乎不能及時更新。本期所使用的所有三層交換機都支持動態(tài)ARP Inspection功能，可動態(tài)識別DHCP，記憶MAC地址和IP地址的正確對應關系，有效防止ARP的欺騙。實際配置中，主要配置對Server和網(wǎng)絡設備實施的ARP欺騙，也可靜態(tài)人為設定，由于數(shù)量不多，管理也較簡單。 防止DHCP相關攻擊本項目中的樓層網(wǎng)段會采用DHCP Server服務器提供用戶端地址，但是卻面臨著幾種與DHCP服務相關的攻擊方式，它們是：l DHCP Server 冒用：當某一個惡意用戶再同一網(wǎng)段內(nèi)也放一個DHCP 服務器時，PC很容易得到這個DHCP server的分配的IP地址而導致不能上網(wǎng)。l 惡意客戶端發(fā)起大量DHCP請求的DDos 攻擊：惡意客戶端發(fā)起
公司管理相關推薦
鄂ICP備17016276號-1