安全設(shè)備介紹

網(wǎng)絡(luò)設(shè)備、安全設(shè)備知識點(diǎn)匯總1防火墻（1防火墻（Firewall）nJ定義:相信大家都知道防火墻是干什么用的，我覺得需要特別提醒一下，防火墻抵御的是外部的攻擊，并不能對內(nèi)部的病毒（如ARP病毒）或攻擊沒什么太大作用。功能:防火墻的功能主要是兩個網(wǎng)絡(luò)之間做邊界防護(hù)，企業(yè)中更多使用的是企業(yè)內(nèi)網(wǎng)與互聯(lián)網(wǎng)的NAT、包過濾規(guī)則、端口映射等功能。生產(chǎn)網(wǎng)與辦公網(wǎng)中做邏輯隔離使用，主要功能是包過濾規(guī)則的使用。部署方式:網(wǎng)關(guān)模式、透明模式:網(wǎng)關(guān)模式是現(xiàn)在用的最多的模式，可以替代路由器并提供更多的功能，適用于各種類型企業(yè)透明部署是在不改變現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)的情況下，將防火墻以透明網(wǎng)橋的模式串聯(lián)到企業(yè)的網(wǎng)絡(luò)中間，通過包過濾規(guī)則進(jìn)行訪問控制，做安全域的劃分。至于什么時候使用網(wǎng)關(guān)模式或者使用透明模式，需要根據(jù)自身需要決定，沒有絕對的部署方式。需不需要將服務(wù)器部署在DMZ區(qū)，取決于服務(wù)器的數(shù)量、重要性。總之怎么部署都是用戶自己的選擇！高可用性:為了保證網(wǎng)絡(luò)可靠性，現(xiàn)在設(shè)備都支持主-主、主-備，等各種部署。2防毒墻2防毒墻II]定義:相對于防毒墻來說，一般都具有防火墻的功能，防御的對象更具有針對性，那就是病毒。功能:同防火墻，并增加病毒特征庫，對數(shù)據(jù)進(jìn)行與病毒特征庫進(jìn)行比對，進(jìn)行查殺病毒。部署方式:同防火墻，大多數(shù)時候使用透明模式部署在防火墻或路由器后或部署在服務(wù)器之前，進(jìn)行病毒防范與查殺。3入侵防御（IPS）定義:相對于防火墻來說，一般都具有防火墻的功能，防御的對象更具有針對性，那就是攻擊。防火墻是通過對五元組進(jìn)行控制，達(dá)到包過濾的效果，而入侵防御IPS，則是將數(shù)據(jù)包進(jìn)行檢測（深度包檢測DPI）對蠕蟲、病毒、木馬、拒絕服務(wù)等攻擊進(jìn)行查殺。功能:同防火墻，并增加IPS特征庫，對攻擊行為進(jìn)行防御。部署方式:同防毒墻。特別說明一下:防火墻允許符合規(guī)則的數(shù)據(jù)包進(jìn)行傳輸，對數(shù)據(jù)包中是否有病毒代碼或攻擊代碼并不進(jìn)行檢查，而防毒墻和入侵防御則通過更深的對數(shù)據(jù)包的檢查彌補(bǔ)了這一點(diǎn)。4統(tǒng)一威脅安全網(wǎng)關(guān)（UTM）定義:簡單的理解，把威脅都統(tǒng)一了，其實(shí)就是把上面三個設(shè)備整合到一起了。功能:同時具備防火墻、防毒墻入侵防護(hù)三個設(shè)備的功能。部署方式:因?yàn)榭梢源娣阑饓δ?，所以部署方式同防火墻現(xiàn)在大多數(shù)廠商，防病毒和入侵防護(hù)已經(jīng)作為防火墻的模塊來用，在不考慮硬件性能以及費(fèi)用的情況下，開啟了防病毒模塊和入侵防護(hù)模塊的防火墻，和UTM其實(shí)是一樣的。至于為什么網(wǎng)絡(luò)中同時會出現(xiàn)UTM和防火墻、防病毒、入侵檢測同時出現(xiàn)。第一，實(shí)際需要，在服務(wù)器區(qū)前部署防毒墻，防護(hù)外網(wǎng)病毒的同時，也可以檢測和防護(hù)內(nèi)網(wǎng)用戶對服務(wù)器的攻擊。第二，花錢，大家都懂的?？傊€是那句話，設(shè)備部署還是看用戶。5IPSECVPN把IPSECVPN放到網(wǎng)絡(luò)安全防護(hù)里，其實(shí)是因?yàn)榇蠖鄶?shù)情況下，IPSECVPN的使用都是通過上述設(shè)備來做的，而且通過加密隧道訪問網(wǎng)絡(luò)，本身也是對網(wǎng)絡(luò)的一種安全防護(hù)。定義:采用IPSec協(xié)議來實(shí)現(xiàn)遠(yuǎn)程接入的一種VPN技術(shù)，至于什么是IPSEC什么是VPN，小伙伴們請自行百度吧功能:通過使用IPSECVPN使客戶端或一個網(wǎng)絡(luò)與另外一個網(wǎng)絡(luò)連接起來，多數(shù)用在分支機(jī)構(gòu)與總部連接。部署方式:網(wǎng)關(guān)模式、旁路模式鑒于網(wǎng)關(guān)類設(shè)備基本都具備IPSECVPN功能，所以很多情況下都是直接在網(wǎng)關(guān)設(shè)備上啟用IPSECVPN功能，也有個別情況新購買IPSECVPN設(shè)備，在對現(xiàn)有網(wǎng)絡(luò)沒有影響的情況下進(jìn)行旁路部署，部署后需要對IPSECVPN設(shè)備放通安全規(guī)則，做端口映射等等。也可以使用windowsserver部署VPN，需要的同學(xué)也請自行百度~相比硬件設(shè)備，自己部署沒有什么花費(fèi)，但I(xiàn)PSECVPN受操作系統(tǒng)影響，相比硬件設(shè)備穩(wěn)定性會差一些。6網(wǎng)閘定義:全稱安全隔離網(wǎng)閘。安全隔離網(wǎng)閘是一種由帶有多種控制功能專用硬件在電路上切斷網(wǎng)絡(luò)之間的鏈路層連接，并能夠在網(wǎng)絡(luò)間進(jìn)行安全適度的應(yīng)用數(shù)據(jù)交換的網(wǎng)絡(luò)安全設(shè)備功能:主要是在兩個網(wǎng)絡(luò)之間做隔離并需要數(shù)據(jù)交換，網(wǎng)閘是具有中國特色的產(chǎn)品。部署方式:兩套網(wǎng)絡(luò)之間防火一般在兩套網(wǎng)絡(luò)之間做邏輯隔離，而網(wǎng)閘符合相關(guān)要求，可以做物理隔離，阻斷網(wǎng)絡(luò)中tcp等協(xié)議，使用私有協(xié)議進(jìn)行數(shù)據(jù)交換，一般企業(yè)用的比較少，在對網(wǎng)絡(luò)要求稍微高一些的單位會用到網(wǎng)閘。7SSLVPN定義:采用SSL協(xié)議的一種VPN技術(shù)，相比IPSECVPN使用起來要更加方便，畢竟SSLVPN使用瀏覽器即可使用。功能:隨著移動辦公的快速發(fā)展，SSLVPN的使用也越來越多，除了移動辦公使用，通過瀏覽器登錄SSLVPN連接到其他網(wǎng)絡(luò)也十分方便，IPSECVPN更傾向網(wǎng)絡(luò)接入，而SSLVPN更傾向?qū)?yīng)用發(fā)布部署:SSLVPN的部署一般采用旁路部署方式，在不改變用戶網(wǎng)絡(luò)的狀況下實(shí)現(xiàn)移動辦公等功能。WAF(WebApplicationFirewall)web應(yīng)用防護(hù)系統(tǒng)定義:名稱就可以看出，WAF的防護(hù)方面是web應(yīng)用，說白了防護(hù)的對象是網(wǎng)站及B/S結(jié)構(gòu)的各類系統(tǒng)。功能:針對HTTP/HTTPS協(xié)議進(jìn)行分析，對SQL注入攻擊、XSS攻擊Web攻擊進(jìn)行防護(hù)，并具備基于URL的訪問控制；HTTP協(xié)議合規(guī)；Web敏感信息防護(hù)；文件上傳下載控制；Web表單關(guān)鍵字過濾。網(wǎng)頁掛馬防護(hù)，Webshell防護(hù)以及web應(yīng)用交付等功能。部署:通常部署在web應(yīng)用服務(wù)器前進(jìn)行防護(hù)IPS也能檢測出部分web攻擊，但沒有WAF針對性強(qiáng)，所以根據(jù)防護(hù)對象不同選用不同設(shè)備，效果更好。9網(wǎng)絡(luò)安全審計定義:審計網(wǎng)絡(luò)方面的相關(guān)內(nèi)容功能:針對互聯(lián)網(wǎng)行為提供有效的行為審計、內(nèi)容審計、行為報警、行為控制及相關(guān)審計功能。滿足用戶對互聯(lián)網(wǎng)行為審計備案及安全保護(hù)措施的要求，提供完整的上網(wǎng)記錄，便于信息追蹤、系統(tǒng)安全管理和風(fēng)險防范。部署:采用旁路部署模式，通過在核心交換機(jī)上設(shè)置鏡像口，將鏡像數(shù)據(jù)發(fā)送到審計設(shè)備。10數(shù)據(jù)庫安全審計定義:數(shù)據(jù)庫安全審計系統(tǒng)主要用于監(jiān)視并記錄對數(shù)據(jù)庫服務(wù)器的各類操作行為。功能:審計對數(shù)據(jù)庫的各類操作，精確到每一條SQL命令，并有強(qiáng)大的報表功能。部署:采用旁路部署模式，通過在核心交換機(jī)上設(shè)置鏡像口，將鏡像數(shù)據(jù)發(fā)送到審計設(shè)備。11日志審計定義:集中采集信息系統(tǒng)中的系統(tǒng)安全事件、用戶訪問記錄、系統(tǒng)運(yùn)行日志、系統(tǒng)運(yùn)行狀態(tài)等各類信息，經(jīng)過規(guī)范化、過濾、歸并和告警分析等處理后，以統(tǒng)一格式的日志形式進(jìn)行集中存儲和管理，結(jié)合豐富的日志統(tǒng)計匯總及關(guān)聯(lián)分析功能，實(shí)現(xiàn)對信息系統(tǒng)日志的全面審計。功能:通過對網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機(jī)和應(yīng)用系統(tǒng)日志進(jìn)行全面的標(biāo)準(zhǔn)化處理，及時發(fā)現(xiàn)各種安全威脅、異常行為事件，為管理人員提供全局的視角，確?？蛻魳I(yè)務(wù)的不間斷運(yùn)營安全部署:旁路模式部署。通常由設(shè)備發(fā)送日志到審計設(shè)備，或在服務(wù)器中安裝代理，由代理發(fā)送日志到審計設(shè)備。12運(yùn)維安全審計（堡壘機(jī)）定義:在一個特定的網(wǎng)絡(luò)環(huán)境下，為了保障網(wǎng)絡(luò)和數(shù)據(jù)不受來自內(nèi)部合法用戶的不合規(guī)操作帶來的系統(tǒng)損壞和數(shù)據(jù)泄露，而運(yùn)用各種技術(shù)手段實(shí)時收集和監(jiān)控網(wǎng)絡(luò)環(huán)境中每一個組成部分的系統(tǒng)狀態(tài)、安全事件、網(wǎng)絡(luò)活動，以便集中報警、記錄、分析、處理的一種技術(shù)手段。功能:主要是針對運(yùn)維人員維護(hù)過程的全面跟蹤、控制、記錄、回放，以幫助內(nèi)控工作事前規(guī)劃預(yù)防、事中實(shí)時監(jiān)控、違規(guī)行為響應(yīng)、事后合規(guī)報告、事故追蹤回放。部署:旁路模式部署。使用防火墻對服務(wù)器訪問權(quán)限進(jìn)行限制，只能通過堡壘機(jī)對網(wǎng)絡(luò)設(shè)備/服務(wù)器/數(shù)據(jù)庫等系統(tǒng)操作。可以看出審計產(chǎn)品最終的目的都是審計，只不過是審計的內(nèi)容不同而已，根據(jù)不同需求選擇不同的審計產(chǎn)品，一旦出現(xiàn)攻擊、非法操作、違規(guī)操作、誤操作等行為，對事后處理提供有利證據(jù)。13入侵檢測（IDS）定義:對入侵攻擊行為進(jìn)行檢測功能:通過對計算機(jī)網(wǎng)絡(luò)或計算機(jī)系統(tǒng)中若干關(guān)鍵點(diǎn)收集信息并對其進(jìn)行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和被攻擊的跡象部署:采用旁路部署模式，通過在核心交換機(jī)上設(shè)置鏡像口，將鏡像數(shù)據(jù)發(fā)送到入侵檢測設(shè)備。入侵檢測雖然是入侵攻擊行為檢測，但監(jiān)控的同時也對攻擊和異常數(shù)據(jù)進(jìn)行了審計，所以把入侵檢測系統(tǒng)也放到了審計里一起介紹。入侵檢測系統(tǒng)是等保三級中必配設(shè)備。14上網(wǎng)行為管理定義:顧名思義，就是對上網(wǎng)行為進(jìn)行管理功能:對上網(wǎng)用戶進(jìn)行流量管理、上網(wǎng)行為日志進(jìn)行審計、對應(yīng)用軟件或站點(diǎn)進(jìn)行阻止或流量限制、關(guān)鍵字過濾等部署:網(wǎng)關(guān)部署、透明部署、旁路部署網(wǎng)關(guān)部署:中小型企業(yè)網(wǎng)絡(luò)較為簡單，可使用上網(wǎng)行為管理作為網(wǎng)關(guān)，代替路由器或防火墻并同時具備上網(wǎng)行為管理功能透明部署:大多數(shù)情況下，企業(yè)會選擇透明部署模式，將設(shè)備部署在網(wǎng)關(guān)與核心交換之間，對上網(wǎng)數(shù)據(jù)進(jìn)行管理旁路部署:僅需要上網(wǎng)行為管理審計功能時，也可選擇旁路部署模式，在核心交換機(jī)上配置鏡像口將數(shù)據(jù)發(fā)送給上網(wǎng)行為管理個人覺得上網(wǎng)行為管理應(yīng)該屬于網(wǎng)絡(luò)優(yōu)化類產(chǎn)品，流控功能是最重要的功能，隨著技術(shù)的發(fā)展，微信認(rèn)證、防便攜式wifi等功能不斷完善使之成為了網(wǎng)絡(luò)管理員的最愛~15負(fù)載均衡定義:將網(wǎng)絡(luò)或應(yīng)用多個工作分?jǐn)傔M(jìn)行并同時完成，一般分為鏈路負(fù)載和應(yīng)用負(fù)載（服務(wù)器負(fù)載）功能:確保用戶的業(yè)務(wù)應(yīng)用能夠快速、安全、可靠地交付給內(nèi)部員工和外部服務(wù)群，擴(kuò)展網(wǎng)絡(luò)設(shè)備和服務(wù)器的帶寬、增加吞吐量、加強(qiáng)網(wǎng)絡(luò)數(shù)據(jù)處理能力、提高網(wǎng)絡(luò)的靈活性和可用性部署:旁路模式、網(wǎng)關(guān)模式、代理模式旁路模式:通常使用負(fù)載均衡進(jìn)行應(yīng)用負(fù)載時，旁路部署在相關(guān)應(yīng)用服務(wù)器交換機(jī)上，進(jìn)行應(yīng)用負(fù)載網(wǎng)關(guān)模式:通常使用鏈路負(fù)載時，使用網(wǎng)關(guān)模式部署隨著各種業(yè)務(wù)的增加，負(fù)載均衡的使用也變得廣泛，web應(yīng)用負(fù)載，數(shù)據(jù)庫負(fù)載都是比較常見的服務(wù)器負(fù)載。鑒于國內(nèi)運(yùn)營商比較惡心，互聯(lián)互通問題較為嚴(yán)重，使用鏈路負(fù)載的用戶也比越來越多。16漏洞掃描定義:漏洞掃描是指基于漏洞數(shù)據(jù)庫，通過掃描等手段對指定的遠(yuǎn)程或者本地計算機(jī)系統(tǒng)的安全脆