网站和网页的关系,网站中常用的英文字体,网站不接入备案,怎么研发软件app下面给出了应对企业内网安全挑战的10种策略。这10种策略即是内网的防御策略#xff0c;同时也是一个提高大型企业网络安全的策略。
1、注意内网安全与网络边界安全的不同
内网安全的威胁不同于网络边界的威胁。网络边界安全技术防范来自Internet上的攻击#xff0c;主要是防… 下面给出了应对企业内网安全挑战的10种策略。这10种策略即是内网的防御策略同时也是一个提高大型企业网络安全的策略。
1、注意内网安全与网络边界安全的不同
内网安全的威胁不同于网络边界的威胁。网络边界安全技术防范来自Internet上的攻击主要是防范来自公共的网络服务器如 HTTP或SMTP的攻击。网络边界防范(如边界防火墙系统等)减小了资深黑客仅仅只需接入互联网、写程序就可访问企业网的几率。内网安全威胁主要源于企业内部。恶性的黑客攻击事件一般都会先控制局域网络内部的一台Server然后以此为基地对Internet上其他主机发起恶性攻击。因此应在边界展开黑客防护措施同时建立并加强内网防范策略。
2、限制VPN的访问
虚拟专用网(VPN)用户的访问对内网的安全造成了巨大的威胁。因为它们将弱化的桌面操作系统置于企业防火墙的防护之外。很明显VPN用户是可以访问企业内网的。因此要避免给每一位VPN用户访问内网的全部权限。这样可以利用登录控制权限列表来限制VPN用户的登录权限的级别即只需赋予他们所需要的访问权限级别即可如访问邮件服务器或其他可选择的网络资源的权限。
3、为合作企业网建立内网型的边界防护
合作企业网也是造成内网安全问题的一大原因。例如安全管理员虽然知道怎样利用实际技术来完固防火墙保护MS-SQL但是Slammer蠕虫仍能侵入内网这就是因为企业给了他们的合作伙伴进入内部资源的访问权限。由此既然不能控制合作者的网络安全策略和活动那么就应该为每一个合作企业创建一个 DMZ非军事化管理区并将他们所需要访问的资源放置在相应的DMZ中不允许他们对内网其他资源的访问。
4、自动跟踪的安全策略
智能的自动执行实时跟踪的安全策略是有效地实现网络安全实践的关键。它带来了商业活动中一大改革极大的超过了手动安全策略的功效。商业活动的现状需要企业利用一种自动检测方法来探测商业活动中的各种变更因此安全策略也必须与相适应。例如实时跟踪企业员工的雇佣和解雇、实时跟踪网络利用情况并记录与该计算机对话的文件服务器。总之要做到确保每天的所有的活动都遵循安全策略。
5、关掉无用的网络服务器
大型企业网可能同时支持四到五个服务器传送e-mail有的企业网还会出现几十个其他服务器监视SMTP端口的情况。这些主机中很可能有潜在的邮 件服务器的攻击点。因此要逐个中断网络服务器来进行审查。若一个程序(或程序中的逻辑单元)作为一个window文件服务器在运行但是又不具有文件服务器 作用的关掉该文件的共享协议。
6、首先保护重要资源
若一个内网上连了千万台(例如30000台)机子那么要期望保持每一台主机都处于锁定状态和补丁状态是非常不现实的。大型企业网的安全考虑一般都 有择优问题。这样首先要对服务器做效益分析评估然后对内网的每一台网络服务器进行检查、分类、修补和强化工作。必定找出重要的网络服务器(例如实时跟 踪客户的服务器)并对他们进行限制管理。这样就能迅速准确地确定企业最重要的资产并做好在内网的定位和权限限制工作。
7、建立可靠的无线访问
审查网络为实现无线访问建立基础。排除无意义的无线访问点确保无线网络访问的强制性和可利用性并提供安全的无线访问接口。将访问点置于边界防火墙之外并允许用户通过VPN技术进行访问。
8、建立安全过客访问
对于过客不必给予其公开访问内网的权限。许多安全技术人员执行的“内部无Internet访问”的策略使得员工给客户一些非法的访问权限导致了内网实时跟踪的困难。因此须在边界防火墙之外建立过客访问网络块。
9、创建虚拟边界防护
主机是被攻击的主要对象。与其努力使所有主机不遭攻击(这是不可能的)还不如在如何使攻击者无法通过受攻击的主机来攻击内网方面努力。于是必须解 决企业网络的使用和在企业经营范围建立虚拟边界防护这个问题。这样如果一个市场用户的客户机被侵入了攻击者也不会由此而进入到公司的RD。 因此要实现公司RD【科学研究与试验发展 [1] research and developmentRD】与市场之间的访问权限控制。大家都知道怎样建立互联网与内网之间的边界防火墙防护现在也应该意识到建立网上不同商业用户群 之间的边界防护。
10、可靠的安全决策
网络用户也存在着安全隐患。有的用户或许对网络安全知识非常欠缺例如不知道RADIUS和TACACS之间的不同或不知道代理网关和分组过滤防火墙之间的不同等等但是他们作为公司的合作者也是网络的使用者。因此企业网就要让这些用户也容易使用这样才能引导他们自动的响应网络安全策略。
另外在技术上采用安全交换机、重要数据的备份、使用代理网关、确保操作系统的安全、使用主机防护系统和入侵检测系统等等措施也不可缺少。 ps:
RADIUS:
RADIUSRemote Authentication Dial In User Service远程用户拨号认证系统由RFC2865RFC2866定义是目前应用最广泛的AAA协议。AAA是一种管理框架因此它可以用多种协议来实现。在实践中人们最常使用远程访问拨号用户服务Remote Authentication Dial In User ServiceRADIUS来实现AAA。
TACACS:
TACACS终端访问控制器访问控制系统对于Unix网络来说是一个比较老的认证协议它允许远程访问服务器传送用户登陆密码给认证服务器认证服务器决定该用户是否可以登陆系统。TACACS是一个加密协议.
