网站视频做参考文献,成都网站建设公司,福建企业年报网上申报入口,舜元建设集团官方网站网络已经成为了人类所构建的最丰富多彩的虚拟世界#xff0c;网络的迅速发展#xff0c;给我们的工作和学习生活带来了巨大的改变。我们通过网络获得信息#xff0c;共享资源。如今#xff0c;Internet遍布世界任何一个角落#xff0c;并且欢迎任何一个人加入其中#xf…网络已经成为了人类所构建的最丰富多彩的虚拟世界网络的迅速发展给我们的工作和学习生活带来了巨大的改变。我们通过网络获得信息共享资源。如今Internet遍布世界任何一个角落并且欢迎任何一个人加入其中相互沟通相互交流。随着网络的延伸安全问题受到人们越来越多的关注。在网络日益复杂化多样化的今天如何保护各类网络和应用的安全如何保护信息安全成为了本文探讨的重点。 几乎所有接触网络的人都知道网络中有一些费尽心机闯入他人计算机系统的人他们利用各种网络和系统的漏洞非法获得未授权的访问信息。不幸的是如今攻击网络系统和窃取信息已经不需要什么高深的技巧。网络中有大量的攻击工具和攻击文章等资源可以任意使用和共享。不需要去了解那些攻击程序是如何运行的只需要简单的执行就可以给网络造成巨大的威胁。甚至部分程序不需要人为的参与非常智能化的扫描和破坏整个网络。这种情况使得近几年的攻击频率和密度显著增长给网络安全带来越来越多的安全隐患。 我们可以通过很多网络工具设备和策略来保护不可信任的网络。其中防火墙是运用非常广泛和效果最好的选择。它可以防御网络中的各种威胁并且做出及时的响应将那些危险的连接和攻击行为隔绝在外。从而降低网络的整体风险。 防火墙的基本功能是对网络通信进行筛选屏蔽以防止未授权的访问进出计算机网络简单的概括就是对网络进行访问控制。绝大部分的防火墙都是放置在可信任网络Internal和不可信任网络Internet之间。 防火墙一般有三个特性 A、所有的通信都经过防火墙。 B、防火墙只放行经过授权的网络流量。 C、防火墙能经受的住对其本身的攻击。 我们可以看成防火墙是在可信任网络和不可信任网络之间的一个缓冲防火墙可以是一台有访问控制策略的路由器RouteACL一台多个网络接口的计算机服务器等被配置成保护指定网络使其免受来自于非信任网络区域的某些协议与服务的影响。所以一般情况下防火墙都位于网络的边界例如保护企业网络的防火墙将部署在内部网络到外部网络的核心区域上。 为什么要使用防火墙很多人都会有这个问题也有人提出如果把每个单独的系统配置好其实也能经受住攻击。遗憾的是很多系统在缺省情况下都是脆弱的。最显著的例子就是Windows系统我们不得不承认在Windows 2003以前的时代Windows默认开放了太多不必要的服务和端口共享信息没有合理配置与审核。如果管理员通过安全部署包括删除多余的服务和组件严格执行NTFS权限分配控制系统映射和共享资源的访问以及帐户的加固和审核补丁的修补等。做好了这些我们也可以非常自信的说Windows足够安全。也可以抵挡住网络上肆无忌惮的攻击。但是致命的一点是该服务器系统无法在安全性可用性和功能上进行权衡和妥协。 对于此问题我们的回答是“防火墙只专注做一件事在已授权和未授权通信之间做出决断。” 如果没有防火墙粗略的下个结论就是整个网络的安全将倚仗该网络中所有系统的安全性的平均值。遗憾的是这并不是一个正确的结论真实的情况比这更糟整个网络的安全性将被网络中最脆弱的部分所严格制约。即非常有名的木桶理论也可以应用到网络安全中来。没有人可以保证网络中每个节点每个服务都永远运行在最佳状态。网络越庞大把网络中所有主机维护至同样高的安全水平就越复杂将会耗费大量的人力和时间。整体的安全响应速度将不可忍受最终导致网络安全框架的崩溃。 防火墙成为了与不可信任网络进行联络的唯一纽带我们通过部署防火墙就可以通过关注防火墙的安全来保护其内部的网络安全。并且所有的通信流量都通过防火墙进行审记和保存对于网络安全犯罪的调查取证提供了依据。总之防火墙减轻了网络和系统被用于非法和恶意目的的风险。 对于企业来说防火墙将保护以下三个主要方面的风险 A、机密性的风险。 B、数据完整性的风险。 C、用性的风险。 我们讨论的防火墙主要是部署在网络的边界Network Perimeter这个概念主要是指一个本地网络的整个边界表面看起来似乎边界的定义很简单但是随着虚拟专用网络VPN的出现边界这个概念在通过VPN拓展的网络中变的非常模糊了。在这种情况下我们需要考虑的不仅仅是来自外部网络和内部网络的威胁也包含了远程VPN客户端的安全。因为远程VPN客户端的安全将直接影响到整个防御体系的安全。 防火墙的主要优点如下 A、防火墙可以通过执行访问控制策略而保护整个网络的安全并且可以将通信约束在一个可管理和可靠性高的范围之内。 B、防火墙可以用于限制对某些特殊服务的访问。 C、防火墙功能单一不需要在安全性可用性和功能上做取舍。 D、防火墙有审记和报警功能有足够的日志空间和记录功能可以延长安全响应的周期。 同样的防火墙也有许多弱点 A、不能防御已经授权的访问以及存在于网络内部系统间的攻击。 B、不能防御合法用户恶意的攻击.以及社交攻击等非预期的威胁。 C、不能修复脆弱的管理措施和存在问题的安全策略。 D、不能防御不经过防火墙的攻击和威胁。 现代企业对网络依赖主要来自于运行在网络上的各种应用同样的网络的范围也覆盖到整个企业的运营区域。我们将分析一个典型的企业网络从结构应用管理以及安全这几个层次来探讨一下对企业来说如何去实现真正的网络安全。 在开始之前我们首先必须面对一个事实绝对的安全是没有的。我们所能做的是减少企业所面临的安全风险延长安全的稳定周期缩短消除威胁的反映时间。网管与安全人员需要解决的是来自内部和外部的混合威胁是蓄意或无意的攻击和破坏是需要提高整体安全防范意识与科学的协调和管理。客观的去分析现今的企业网络我们不难发现在经历了普及终端和网络互联的时代后我们面对的问题还有很多如客户端的非法操作对网络的不合法的访问与利用网络结构的设计缺陷与混杂的部署环境网络边界与关键应用的区域缺乏必要的防御措施和审记系统等等。下面我们来逐一分析并提供相应的产品解决方案与安全建议。 首先是网络内部即面向企业内部员工的工作站我们不能保证用户每一次操作都是正确与安全的绝大情况下他们仅知道如何去使用面前的计算机来完成属于自己的本职工作。而对于其他比如病毒木马间谍程序恶意脚本往往通过内部网络中某一台工作站的误操作而进入到网络并且迅速的蔓延。如访问非法网站下载或运行不可信程序使用移动设备复制带有病毒的文件等看似平常的操作。由于如今流行的操作系统存在大量的漏洞与缺陷并且新的漏洞与利用各种漏洞的蠕虫变种层出不穷网络的迅速发展也给这类威胁提供高速繁殖的媒介。特别是企业内部拥有高速的网络环境给各种威胁的扩散与转移提供了可能。现在人们都通过安装防病毒软件来防御病毒的威胁但是面对蠕虫和木马程序后门程序等防病毒并不能起到很显著的效果例如蠕虫病毒一般都是利用操作系统中存在的缺陷和漏洞来攻击与传播的即使安装了防病毒软件也没有修补操作系统本身的漏洞安全威胁从根本上没有被消除。并且随着蠕虫的不断攻击防病毒系统将会调用大量的系统资源来修复和防御蠕虫攻击后修改的系统文件频繁的对文件系统进行扫描与恢复。这样也无形的增加了系统的不稳定性影响了系统的可用性最关键的是蠕虫攻击在仍然在网络中传播给交换机路由器带来持续的压力和威胁。另外客户端感染威胁的途径是多种多样的比如Internet Explorer浏览器漏洞可以利用VBS恶意脚本BMP图片木马ActiveX控件后门程序等通过各类嵌入攻击代码的网页在浏览者毫不知情的情况下后台进驻到操作系统中修改注册表和系统设置种植后门程序收集用户信息和资料。这一切都会给工作站造成无法估量的安全风险。一旦工作站遭到攻击与控制就很可能威胁到整个内部网络和核心区域所以我们说保护好工作站的安全是企业网络安全的一个重要部分。 通过上面简单的分析和举例工作站的安全工作主要包含如下几个方面桌面防病毒桌面防火墙系统补丁管理系统授权与审核软件使用许可监控和网络访问控制。从如今市场上流行的解决桌面安全的产品中从保护用户系统的稳定性与可用性以及综合安全的角度我们选择Symantec公司的Symantec Client Security 2.0 作为桌面防病毒和防火墙的集成安全解决方案。该产品最大的优势是不存在互操作性问题SCS 2.0将防病毒防火墙与桌面入侵检测完美结合提供如今防御混合性威胁最佳组合。采用来自不同厂商的多种单点产品使得全面防护变为一项极为复杂甚至根本不可能的任务因为跨厂商的互操作性问题往往会存在漏洞从而使威胁乘虚而入危及安全性。此外当病毒发作时必须针对各种不同的技术对每个厂商提供的修复方案进行测试和验证。这样就降低了对攻击的反应速度并潜在地增加了成本。 网络的核心区域包括核心交换机核心路由器等重要设备它们负担整个网络的核心数据的转发并且连接着DMZ区的各个关键应用如OA系统ERP系统CRM系统对内或对外的Web服务器数据库服务器等。从安全的角度来说这个区域是最关键的也是风险最集中的区域。我们遇到的矛盾是既要不影响DMZ区应用的可用性和友好性又要保证其访问的安全性与审核。很多情况下我们不但要在网络的边界部署防火墙也要在这个区域部署为保护DMZ等类似的关键区域的防火墙。 存在的矛盾如果部署安全策略在提高安全性的同时势必会影响其可用性。这个矛盾是不可调和的。 与边界防火墙不同的是关键区域的防火墙主要是面对内部用户保护重要服务和资源的访问控制与完善安全日志的收集。边界防火墙不仅仅要防御来自外部的各种威胁比如扫描渗透入侵拒绝服务攻击等攻击也要提供诸如NAT服务出站控制远程VPN用户和移动用户访问的授权等。我们可以将各种防御的职能根据网络的结构和提供的应用来分派到两类防火墙上来。即内部防火墙重点保护DMZ区域提供深层次的检测与告警。因为一旦涉及到数据包深入检测将会大大影响设备的性能。而这是对边界防火墙要求高性能数据过滤和转发不成为出口瓶颈所不能容忍的。管理人员应该先充分了解网络的特点与用途结合设备与现有的网络环境灵活部署才能达到较高可用性与安全性的平衡。 如今的防火墙的功能越来越强大这里我们选择业界一流的防火墙CheckPoint的Stateful Inspection状态检测技术和Web IntelligenceWeb智能技术来简单介绍下对于防火墙的智能防御与Web安全保护。 简单来说状态检测技术工作在OSI参考模型的Data Link与Network层之间数据包在操作系统内核中在数据链路层和网络层时间被检查。防火墙会生成一个会话的状态表Inspect Engine检测引擎依照RFC标准维护和检查数据包的上下文关系。该技术是CheckPoint发明的专利技术。对状态和上下文信息的收集使得CheckPoint防火墙不仅能跟踪TCP会话也能智能处理无连接协议如UDP或RPC。这样就保证了在任何来自服务器的数据被接受前必须有内部网络的某一台客户端发出了请求而且如果没有受到响应端口也不会处于开放的状态。状态检测对流量的控制效率是很高的同时对于防火墙的负载和网络数据流增加的延迟也是非常小。可以保证整个防火墙快速有效的控制数据的进出和做出控制决策。 在Web环境中威胁来自于多个方面从端点到传输到边界最后到达Web服务器和后台数据库。这一系列的数据交换将会引发大量的安全问题。传统的防火墙的功能对于Web的保护相当有限比如无法深入检测HTTP的内容不能理解Web应用的上下文性能低下无法提前部署与防御等等。CheckPoint的Web Intelligence有一种名为Malicious Code Protector可疑代码防护器来提供对应用层的保护。比如Web会话是否符合RFC的标准不能包含二进制数据协议使用是否为预期或典型的应用是否引入了有害的数据或命令应用是否执行了未授权的操作或引入了有害的可执行代码等。如何去判断上述的一些威胁呢MCP使用了通过分拆及分析嵌入在网络传输中的可执行代码模拟行来判断攻击将可执行代码放置到一个虚拟的仿真服务器中运行检测是否对虚拟系统造成威胁最终来决定是否定义为攻击行为。该技术最大的优势是可以非常精确的阻止已知和未知攻击并且误报率相当低。 通过多种技术的协同防护可以保证在网络边界对访问进行控制但是随着VPN网络和远程移动办公用户的接入增多网络边界的概念在如今已经非常模糊了。很明显的网络的边界已经拓展到实际用户的桌面端。所以还是回到了我们文章一开始谈到的网络安全是需要综合的部署和完善的策略来做保证的。企业的网络安全是一项综合性很强的工作并且持续的时间将随着整个拓扑和应用的周期而扩展。
