移動企業(yè)網(wǎng)絡安全整體項目解決方案1-閱讀頁
2025-05-18 07:17本頁面
【正文】 ingin session)Countermeasure(C) Box(., store contentsof connectiondisk)PatternMatchingSignatureAnalysisStorage (D) BoxPassiveProtocolAnalysis (, TCP Stream reconstruction) Ethernet圖21 入侵檢測系統(tǒng)的基本模型 上述模型由四個部分組成： (1) Passive protocol Analyzer網(wǎng)絡數(shù)據(jù)包的協(xié)議分析器、將結(jié)果送給模式匹配部分并根據(jù)需要保存。 (3) countermeasure執(zhí)行規(guī)定的動作。 基于主機的安全監(jiān)控系統(tǒng)具備如下特點： (1) 精確，可以精確地判斷入侵事件。 (3) 對入侵時間立即進行反應?！ ? (5) 占用主機寶貴資源。 (2) 實時網(wǎng)絡監(jiān)視。 (4) 精確度較差。 (6) 交換網(wǎng)絡環(huán)境難于配置。 (2) 在需要監(jiān)視的網(wǎng)絡路徑上，放置監(jiān)視模塊(sensor),分別向管理服務器報告及上傳證據(jù)，提供跨網(wǎng)絡的入侵監(jiān)視解決方案。 (2) 解碼效率(速度)。 (4) 精確度及完整度，防欺騙能力。五. 安全掃描技術(shù) 網(wǎng)絡安全技術(shù)中，另一類重要技術(shù)為安全掃描技術(shù)。 安全掃描工具源于Hacker在入侵網(wǎng)絡系統(tǒng)時采用的工具。 安全掃描工具通常也分為基于服務器和基于網(wǎng)絡的掃描器。通常與相應的服務器操作系統(tǒng)緊密相關(guān)。通常該類掃描器限制使用范圍(IP地址或路由器跳數(shù))。在網(wǎng)絡內(nèi)進行安全掃描非常耗時。通過GUI的圖形界面，可迭擇一步或某些區(qū)域的設備。 (4) 是否支持可定制的攻擊方法。因為網(wǎng)絡內(nèi)服務器及其它設備對相同協(xié)議的實現(xiàn)存在差別，所以預制的掃描方法肯定不能滿足客戶的需求。 (6) 更新周期。 安全掃描器不能實時監(jiān)視網(wǎng)絡上的入侵，但是能夠測試和評價系統(tǒng)的安全性，并及時發(fā)現(xiàn)安全漏洞。 認證技術(shù)將應用到企業(yè)網(wǎng)絡中的以下方面： (1) 路由器認證，路由器和交換機之間的認證。操作系統(tǒng)對用戶的認證。 (4) VPN網(wǎng)關(guān)設備之間的認證。 (6) 應用服務器(如Web Server)與客戶的認證。 數(shù)字簽名技術(shù)主要用于： (1) 基于PKI認證體系的認證過程。 認證過程通常涉及到加密和密鑰交換。 UserName/Password認證 該種認證方式是最常用的一種認證方式，用于操作系統(tǒng)登錄、telnet、rlogin等，但由于此種認證方式過程不加密，即password容易被監(jiān)聽和解密。市場上主要采用的摘要算法有MD5和SHA1。該種方法安全程度較高，綜合采用了摘要算法、不對稱加密、對稱加密、數(shù)字簽名等技術(shù)，很好地將安全性和高效率結(jié)合起來。這種認證方法目前應用在電子郵件、應用服務器訪問、客戶認證、防火墻驗證等領(lǐng)域。七. VPN技術(shù) 企業(yè)對VPN 技術(shù)的需求 企業(yè)總部和各分支機構(gòu)之間采用internet網(wǎng)絡進行連接，由于internet是公用網(wǎng)絡，因此，必須保證其安全性。 因為VPN利用了公共網(wǎng)絡，所以其最大的弱點在于缺乏足夠的安全性。當企業(yè)通過INTERNET進行通訊時，信息可能受到竊聽和非法修改。 企業(yè)網(wǎng)絡的全面安全要求保證：保密通訊過程不被竊聽。數(shù)字簽名 數(shù)字簽名作為驗證發(fā)送者身份和消息完整性的根據(jù)。CA使用私有密鑰計算其數(shù)字簽名，利用CA提供的公共密鑰，任何人均可驗證簽名的真實性。 并且，如果消息隨數(shù)字簽名一同發(fā)送，對消息的任何修改在驗證數(shù)字簽名時都將會被發(fā)現(xiàn)。DiffieHellman密鑰由CA進行驗證。而其它的加密模式需要管理的密鑰數(shù)目與通訊者數(shù)目的平方成正比。 IPSec主要提供IP網(wǎng)絡層上的加密通訊能力。IPsec使用ISAKMP/Oakley及SKIP進行密鑰交換、管理及加密通訊協(xié)商(Security Association)。 (2) ISAKMP/Oakley，負責加密通訊協(xié)商。提供Ipsecgateway之間的通訊。 Ipsec Tunnel不要求修改已配備好的設備和應用，網(wǎng)絡黑客戶不能看到實際的的通訊源地址和目的地址，并且能夠提供專用網(wǎng)絡通過Internet加密傳輸?shù)耐ǖ?，因此，絕大多數(shù)均使用該模式。(易于管理)。 由于Ipsec即將成為Internet標準，因此不同廠家提供的防火墻(VPN)產(chǎn)品可以實現(xiàn)互通。下面的幾個部分列出了在Internet/Intranet中主要的應用平臺服務的安全問題及相關(guān)技術(shù)。幾乎所有的網(wǎng)絡應用均利用域名服務。同時，新發(fā)現(xiàn)的針對BINDNDS實現(xiàn)的安全漏洞也開始發(fā)現(xiàn)，而絕大多數(shù)的域名系統(tǒng)均存在類似的問題。 因此，在利用域名服務時，應該注意到以上的安全問題。 (2) 域名服務器及域名查找應用安裝相應的安全補丁。Web Server應用安全 Web Server是企業(yè)對外宣傳、開展業(yè)務的重要基地。 Web Server經(jīng)常成為Internet用戶訪問公司內(nèi)部資源的通道之一，如Web server通過中間件訪問主機系統(tǒng)，通過數(shù)據(jù)庫連接部件訪問數(shù)據(jù)庫，利用CGI訪問本地文件系統(tǒng)或網(wǎng)絡系統(tǒng)中其它資源。為了防止Web服務器成為攻擊的犧牲品或成為進入內(nèi)部網(wǎng)絡的跳板，我們需要給予更多的關(guān)心： (1) Web服務器置于防火墻保護之下。 (3) 在通往Web服務器的網(wǎng)絡路徑上安裝基于網(wǎng)絡的實時入侵監(jiān)控系統(tǒng)。 (5) 運行新的應用前，先進行安全測試。 (6) 。 電子郵件系統(tǒng)安全 電子郵件系統(tǒng)也是網(wǎng)絡與外部必須開放的服務系統(tǒng)。 加強電子郵件系統(tǒng)的安全性，通常有如下辦法： (1) 設置一臺位于?；饏^(qū)的電子郵件服務器作為內(nèi)外電子郵件通訊的中轉(zhuǎn)站(或利用防火墻的電子郵件中轉(zhuǎn)功能)。 (2) 同樣為該服務器安裝實施監(jiān)控系統(tǒng)。 (4) 升級到最新的安全版本。對操作系統(tǒng)的安全，除了不斷地增加安全補丁外，還需要： (1) 檢查系統(tǒng)設置(敏感數(shù)據(jù)的存放方式，訪問控制，口令選擇/更新)。寧可累死在路上，也不能閑死在家里！寧可去碰壁，也不能面壁。什么是奮斗？奮斗就是每天很難，可一年一年卻越來越容易。能干的人，不在情緒上計較，只在做事上認真；無能的人！不在做事上認真，只在情緒上
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1