計算機內(nèi)網(wǎng)安全相關(guān)知識

1、第 PAGE4 頁 共 NUMPAGES4 頁計算機內(nèi)網(wǎng)平安相關(guān)知識1、注意內(nèi)網(wǎng)平安與網(wǎng)絡邊界平安的不同 內(nèi)網(wǎng)平安的威脅不同于網(wǎng)絡邊界的威脅。網(wǎng)絡邊界平安技術(shù)防范來自Inter上的攻擊，主要是防范來自公共的網(wǎng)絡效勞器如或SMTP的攻擊。網(wǎng)絡邊界防范如邊界防火墻系統(tǒng)等減小了資深黑客僅僅只需接入互聯(lián)網(wǎng)、寫程序就可訪問企業(yè)網(wǎng)的幾率。內(nèi)網(wǎng)平安威脅主要于企業(yè)內(nèi)部。惡性的黑客攻擊事件一般都會先控制局域網(wǎng)絡內(nèi)部的一臺Server，然后以此為基地，對Inter上其他主機發(fā)起惡性攻擊。因此，應在邊界展開黑客防護措施，同時建立并加強內(nèi)網(wǎng)防范策略。2、限制的訪問 虛擬專用網(wǎng)用戶的訪問對內(nèi)網(wǎng)的平安造成了宏大的威脅。因

2、為它們將弱化的桌面操作系統(tǒng)置于企業(yè)防火墻的防護之外。很明顯用戶是可以訪問企業(yè)內(nèi)網(wǎng)的。因此要防止給每一位用戶訪問內(nèi)網(wǎng)的全部權(quán)限。這樣可以利用登錄控制權(quán)限列表來限制用戶的登錄權(quán)限的級別，即只需賦予他們所需要的訪問權(quán)限級別即可，如訪問郵件效勞器或其他可選擇的網(wǎng)絡資的權(quán)限。3、為合作企業(yè)網(wǎng)建立內(nèi)網(wǎng)型的邊界防護 合作企業(yè)網(wǎng)也是造成內(nèi)網(wǎng)平安問題的一大原因。例如平安管理員雖然知道怎樣利用實際技術(shù)來完固防火墻，保護MS-SQL，但是Slammer蠕蟲仍能侵入內(nèi)網(wǎng)，這就是因為企業(yè)給了他們的合作伙伴進入內(nèi)部資的訪問權(quán)限。由此，既然不能控制合作者的網(wǎng)絡平安策略和活動，那么就應該為每一個合作企業(yè)創(chuàng)立一個DMZ，并將他

3、們所需要訪問的資放置在相應的DMZ中，不允許他們對內(nèi)網(wǎng)其他資的訪問。4、自動跟蹤的平安策略 智能的自動執(zhí)行實時跟蹤的平安策略是有效地實現(xiàn)網(wǎng)絡平安理論的關(guān)鍵。它帶來了商業(yè)活動中一大改革，極大的超過了手動平安策略的成效。商業(yè)活動的現(xiàn)狀需要企業(yè)利用一種自動檢測方法來探測商業(yè)活動中的各種變更，因此，平安策略也必須與相適應。例如實時跟蹤企業(yè)員工的雇傭和辭退、實時跟蹤網(wǎng)絡利用情況并記錄與該計算機對話的文件效勞器。總之，要做到確保每天的所有的活動都遵循平安策略。5、關(guān)掉無用的網(wǎng)絡效勞器 大型企業(yè)網(wǎng)可能同時支持四到五個效勞器傳送email，有的企業(yè)網(wǎng)還會出現(xiàn)幾十個其他效勞器監(jiān)視SMTP端口的情況。這些主機中很

4、可能有潛在的郵件效勞器的攻擊點。因此要逐個中斷網(wǎng)絡效勞器來進展審查。假設一個程序或程序中的邏輯單元作為一個window文件效勞器在運行但是又不具有文件效勞器作用的，關(guān)掉該文件的共享協(xié)議。 6、首先保護重要資 假設一個內(nèi)網(wǎng)上連了千萬臺例如30000臺機子，那么要期望保持每一臺主機都處于鎖定狀態(tài)和補丁狀態(tài)是非常不現(xiàn)實的。大型企業(yè)網(wǎng)的平安考慮一般都有擇優(yōu)問題。這樣，首先要對效勞器做效益分析p 評估，然后對內(nèi)網(wǎng)的每一臺網(wǎng)絡效勞器進展檢查、分類、修補和強化工作。必定找出重要的網(wǎng)絡效勞器例如實時跟蹤客戶的效勞器并對他們進展限制管理。這樣就能迅速準確地確定企業(yè)最重要的資產(chǎn)，并做好在內(nèi)網(wǎng)的定位和權(quán)限限制工作。

5、6、建立可靠的無線訪問 審查網(wǎng)絡，為實現(xiàn)無線訪問建立根底。排除無意義的無線訪問點，確保無線網(wǎng)絡訪問的強迫性和可利用性，并提供平安的無線訪問接口。將訪問點置于邊界防火墻之外，并允許用戶通過技術(shù)進展訪問。7、建立平安過客訪問 對于過客不必給予其公開訪問內(nèi)網(wǎng)的權(quán)限。許多平安技術(shù)人員執(zhí)行的“內(nèi)部無Inter訪問”的策略，使得員工給客戶一些非法的訪問權(quán)限，導致了內(nèi)網(wǎng)實時跟蹤的困難。因此，須在邊界防火墻之外建立過客訪問網(wǎng)絡塊。8、創(chuàng)立虛擬邊界防護 主機是被攻擊的主要對象。與其努力使所有主機不遭攻擊這是不可能的，還不如在如何使攻擊者無法通過受攻擊的主機來攻擊內(nèi)網(wǎng)方面努力。于是必須解決企業(yè)網(wǎng)絡的使用和在企業(yè)經(jīng)營范圍建立虛擬邊界防護這個問題。這樣，假如一個市場用戶的客戶機被侵入了，攻擊者也不會由此而進入到公司的RD。因此要實現(xiàn)公司RD與市場之間的訪問權(quán)限控制。大家都知道怎樣建立互聯(lián)網(wǎng)與內(nèi)網(wǎng)之間的邊界防火墻防護，如今也應該意識到建立網(wǎng)上不同商業(yè)用戶群之間的邊界防護。9、可靠的平安決策 網(wǎng)絡用戶也存在著平安隱患。有的用戶或許對網(wǎng)絡平安知識非常欠缺，例如不知道RADIUS和TACACS之間