移動企業(yè)網(wǎng)絡(luò)安全整體項(xiàng)目解決方案1-在線瀏覽
2025-06-20 07:17本頁面
【正文】 很多安全威脅來源于管理上的松懈及對安全威脅的認(rèn)識。l 系統(tǒng)安全體系的缺陷。l 管理制度的薄弱。l 審查系統(tǒng)安全體系。l 建立完善的系統(tǒng)管理制度。安全管理主要包括兩個方面：l 內(nèi)部安全管理：主要是建立內(nèi)部安全管理制度，如機(jī)房管理制度、設(shè)備管理制度、安全系統(tǒng)管理制度、病毒防范制度、操作安全管理制度、安全事件應(yīng)急制度等，并采取切實(shí)有效的措施保證制度的執(zhí)行。l 網(wǎng)絡(luò)安全管理：在網(wǎng)絡(luò)層設(shè)置路由器、防火墻、安全檢測系統(tǒng)后，必須保證路由器和防火墻的ACL設(shè)置正確，其配置不允許被隨便修改。 第二章 網(wǎng)絡(luò)安全技術(shù)概述基于以上的分析，企業(yè)網(wǎng)絡(luò)系統(tǒng)涉及到各方面的網(wǎng)絡(luò)安全問題，我們認(rèn)為整個企業(yè)的安全體系必須集成多種安全技術(shù)實(shí)現(xiàn)。下面就以上技術(shù)加以詳細(xì)闡述：一. 虛擬網(wǎng)技術(shù) 虛擬網(wǎng)技術(shù)主要基于近年發(fā)展的局域網(wǎng)交換技術(shù)(ATM和以太網(wǎng)交換）。因此，網(wǎng)管系統(tǒng)有能力限制局域網(wǎng)通訊的范圍而無需通過開銷很大的路由器。因此、防止了大部分基于網(wǎng)絡(luò)監(jiān)聽的入侵手段。但是，虛擬網(wǎng)技術(shù)也帶來了新的安全問題：執(zhí)行虛擬網(wǎng)交換的設(shè)備越來越復(fù)雜，從而成為被攻擊的對象。基于MAC的VLAN不能防止MAC欺騙攻擊。 但是，采用基于MAC的VLAN劃分將面臨假冒MAC地址的攻擊。但這要求整個網(wǎng)絡(luò)桌面使用交換端口或每個交換端口所在的網(wǎng)段機(jī)器均屬于相同的VLAN。IP協(xié)議族各廠家實(shí)現(xiàn)的不完善，因此，在網(wǎng)絡(luò)層發(fā)現(xiàn)的安全漏洞相對更多，如IP sweep, teardrop, syncflood, IP spoofing攻擊等。使用Firewall的益處保護(hù)脆弱的服務(wù) 通過過濾不安全的服務(wù)，F(xiàn)irewall可以極大地提高網(wǎng)絡(luò)安全和減少子網(wǎng)中主機(jī)的風(fēng)險(xiǎn)?？刂茖ο到y(tǒng)的訪問 Firewall可以提供對系統(tǒng)的訪問控制。例如，F(xiàn)irewall允許外部訪問特定的Mail Server和Web Server。如在Firewall可以定義不同的認(rèn)證方法，而不需在每臺機(jī)器上分別安裝特定的認(rèn)證軟件。增強(qiáng)的保密性 使用Firewall可以阻止攻擊者獲取攻擊網(wǎng)絡(luò)系統(tǒng)的有用信息，如Finger和DNS。策略執(zhí)行 Firewall提供了制定和執(zhí)行網(wǎng)絡(luò)安全策略的手段。 設(shè)置Firewall的要素網(wǎng)絡(luò)策略 影響Firewall系統(tǒng)設(shè)計(jì)、安裝和使用的網(wǎng)絡(luò)策略可分為兩級，高級的網(wǎng)絡(luò)策略定義允許和禁止的服務(wù)以及如何使用服務(wù)，低級的網(wǎng)絡(luò)策略描述Firewall如何限制和過濾在高級策略中定義的服務(wù)。 服務(wù)訪問策略必須是可行的和合理的。典型的服務(wù)訪問策略是：允許通過增強(qiáng)認(rèn)證的用戶在必要的情況下從Internet訪問某些內(nèi)部主機(jī)和服務(wù)；允許內(nèi)部用戶訪問指定的Internet主機(jī)和服務(wù)。通常有兩種基本的設(shè)計(jì)策略：允許任何服務(wù)除非被明確禁止；禁止任何服務(wù)除非被明確允許。 Firewall的基本分類包過濾 IP包過濾： √ 源IP地址； √ 目的IP地址； √ TCP/UDP源端口； √ TCP/UDP目的端口。一些包過濾路由器不提供任何日志能力，直到闖入發(fā)生后，危險(xiǎn)的封包才可能檢測出來。但是，規(guī)則例外使包過濾規(guī)則過于復(fù)雜而難以管理。 √ 某些包過濾路由器不支持TCP/UDP源端口過濾，可能使過濾規(guī)則集更加復(fù)雜，并在過濾模式中打開了安全漏洞。此時(shí)用戶通過重新映射端口，可以繞過過濾路由器。由于RPC的Listen口是在主機(jī)啟動后隨機(jī)地分配的，要禁止RPC服務(wù)，通常需要禁止所有的UDP(絕大多數(shù)RPC使用UDP)，如此可能需要允許的DNS連接就會被禁止。這樣的應(yīng)用稱為代理服務(wù)，運(yùn)行代理服務(wù)的主機(jī)被稱為應(yīng)用網(wǎng)關(guān)。
應(yīng)用網(wǎng)關(guān)的優(yōu)點(diǎn)是： √ 比包過濾路由器更高的安全件。 √ 信息隱藏，應(yīng)用網(wǎng)關(guān)為外部連接提供代理。 √ 節(jié)省費(fèi)用，第三方的認(rèn)證設(shè)備(軟件或硬件)只需安裝在應(yīng)用網(wǎng)關(guān)上。 應(yīng)用網(wǎng)關(guān)的缺點(diǎn)在于： √ 新的服務(wù)需要安裝新的代理服務(wù)器。 √ 可能會降低網(wǎng)絡(luò)性能。線路級網(wǎng)關(guān)線路級網(wǎng)關(guān)提供內(nèi)部網(wǎng)和外部網(wǎng)連接的中繼，但不提供額外的處理和過濾能力。能夠提供比應(yīng)用網(wǎng)關(guān)更多的連接特性，但是安全性比較應(yīng)用網(wǎng)關(guān)差。 √ 增加的需要，如加密或拔號接入支持。 √ 提供網(wǎng)絡(luò)安全控制的同時(shí)，對系統(tǒng)應(yīng)用服務(wù)犧牲的代價(jià)。新的協(xié)議和服務(wù)大量涌現(xiàn)帶來新的安全問題，安全策略必須能反應(yīng)和處理這些問題。 遠(yuǎn)程用戶認(rèn)證策略 √ 遠(yuǎn)程用戶不能通過放置于Firewall后的未經(jīng)認(rèn)證的Modem訪問系統(tǒng)。 √ 對遠(yuǎn)程用戶進(jìn)行認(rèn)證方法培訓(xùn)。 √ 外部撥入用戶必須通過Firewall的認(rèn)證。 √ 必須對公共信息服務(wù)器進(jìn)行嚴(yán)格的安全控制，否則將成為系統(tǒng)安全的缺口。 √ 對公共信息服務(wù)和商業(yè)信息(如)講行安全策略區(qū)分。 √ Firewall必須支持實(shí)際的安全政策，而非改變安全策略適應(yīng)Firewall。 √ Firewall必須支持增強(qiáng)的認(rèn)證機(jī)制。 √ IP過濾描述語言應(yīng)該靈活，界面友好，并支持源IP和目的IP，協(xié)議類型，源和目的TCP/UDP口，以及到達(dá)和離開界面。如果提供其它的服務(wù)(如NNTP，等)也必須通過代理服務(wù)器。 √ Firewall應(yīng)該支持對公共Information server的訪問，支持對公共Information server的保護(hù)，并且將Information server同內(nèi)部網(wǎng)隔離。 √ Firewall應(yīng)支持對交通、可疑活動的日志記錄。 √ Firewall的設(shè)計(jì)應(yīng)該是可理解和管理的。選擇防火墻的要點(diǎn) (1) 安全性：即是否通過了嚴(yán)格的入侵測試。由于網(wǎng)絡(luò)的廣泛互聯(lián)，病毒的傳播途徑和速度大大加快。 (2) 通過軟盤、光盤、磁帶傳播。 (4) 通過群件系統(tǒng)傳播。 在防火墻、代理服務(wù)器、SMTP服務(wù)器、網(wǎng)絡(luò)服務(wù)器、群件服務(wù)器上安裝病毒過濾軟件。 (2) 檢查和清除病毒。 (3) 病毒數(shù)據(jù)庫的升級。 (4) 在防火墻、代理服務(wù)器及PC上安裝Java及ActiveX控制掃描軟件，禁止未經(jīng)許可的控件下載和安裝。但是，僅僅使用防火墻、網(wǎng)絡(luò)安全還遠(yuǎn)遠(yuǎn)不夠： (1) 入侵者可尋找防火墻背后可能敞開的后門。 (3) 由于性能的限制，防火焰通常不能提供實(shí)時(shí)的入侵檢測能力。 實(shí)時(shí)入侵檢測能力之所以重要首先它能夠?qū)Ω秮碜詢?nèi)部網(wǎng)絡(luò)的攻擊，其次它能夠縮短hacker入侵的時(shí)間?；诰W(wǎng)絡(luò)的入侵檢測系統(tǒng)用于實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)關(guān)鍵路徑的信息，其基本模型如下圖示：(., close connection)(.,detection of“phf”str
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1