中小型企業網安全環境的構建與實現-資料下載頁

　　

【正文】 統資源的攻擊方式。（11） 關掉交換機所有不會使用的接口，并且把它們劃進一個不做日常使用的VLAN里面。（12） 使用端口安全機制來防止MAC洪泛攻擊。（13） 在適當的環境中，運用端口級別的安全特性，比如DHCP Snooping、IP源地址防護、ARP安全。（14） 啟用一些相關的生成樹安全協議。OSPF也是一種路由協議，它是鏈路狀態協議的開放版本。在實際工作中，在一些大型網絡、混合型的網絡中，常常使用OSPF協議。RIP協議存在一定的缺陷。而網絡專家之所以開發OSPF協議，就主要是為了應對RIP協議的缺陷。1. 利用OSPF協議解決RIP路由信息協議的缺陷RIP與RIP2協議都具有15跳的限制。如果網絡跨越超過了15跳限制的話，目的地會被認為不可達。所以，RIP路由信息協議其使用范圍就被定義在小型網絡。而OSPF協議繼承了RIP路由信息協議原有的優點，同時突破了這個15跳的限制。另外，OSPF還可以解決RIP路由信息協議匯聚緩慢等缺陷。OSPF協議也如同RIP協議一樣，是目前中小型企業網絡設計中常用的協議。所以，如何提高這個協議的安全性，對于網絡管理員來說也就顯得尤其的重要。2. 通過思科路由器提高OSPF的安全性那么思科路由器是如何來保障OSPF協議的安全性的呢?在思科網絡產品中，采取了比較完整的解決方案。一是將所有受影響的設備都設置為非廣播模式。在非廣播模式中，OSPF設備需要明確配置才能同有效的OSPF鄰居(即與某個OSPF路由器直接相連的網絡設備)進行通信。在非廣播模式中，提供了一個基本的安全層，可以防止配置錯誤。因為在配置模式下，只有預先配置成可以與這臺OSPF路由器通信的網絡設備才能夠與其進行通信，更新路由信息。而在廣播環境中，任何具有正確配置的OSPF設備都可以參與到OSPF路由中。如在簡單密碼認證模式下，只要知道這個密鑰就能夠參與到路由更新信息中。其實，這跟服務器或者路由器的遠程管理類似。如可以通過訪問控制列表或者防火墻限制只有特定MAC地址或者IP地址的主機才可以遠程連接到路由器上進行遠程管理。如此的話，就可以提高遠程訪問的安全性。而這里采用非廣播模式，其安全思路與此是相同的。在思科的路由器產品中，默認情況是采用廣播模式的。這主要是出于兼容性的考慮，如在不需要額外配置的情況下，就可以直接聯入網絡。不過為了提高OSPF的安全性，我們往往需要把其模式配置為非廣播模式。如需要更換這個模式，需要在路由器的接口配置提示符中執行如下的命令：ip ospf network nonbroadcast。二是為OSPF路由設置合適的認證方案。在OSPF路由協議中，主要支持三種認證方式，分別為NULL認證、簡單密碼認證與消息摘要認證。NULL認證即為空認證，也就是說不需要認證即可以加入到OSPF網絡中。在簡單認證中，密鑰在網絡中是通過明文傳輸的。故只需要攻擊者有監聽器等工具就可以輕而易舉的獲取密鑰，從而就可以輕松的對網絡進行破壞。而消息摘要認證就如同上面所說的，其密鑰不直接在網絡上傳播。到目前為止，其采用了國際上普遍承認的消息摘要算法。可以說，其是現在最安全的OSPF認證模式。故一般情況下，筆者建議網絡管理員采用消息摘要身份認證。因為采用簡單認證方式，跟采用NULL空認證方式差不多，都不能夠有效保障OSPF網絡環境的安全。消息摘要算法的典型應用是對一段信息產生信息摘要，以防止被篡改。比如，舉一個發生在我們身邊的實際例子。在UNIX下有很多軟件在下載的時候都有一個文件名相同，在這個文件中通常只有一行文本。這就是某個下載文件的數字簽名。MD5將整個文件當作一個大文本信息，通過其不可逆的字符串變換算法，產生了這個唯一的MD5信息摘要。通過這種方式，就可以保障下載文件的合法性。若網絡管理員需要采用消息摘要認證，也是比較簡單的一件事情。現在思科的路由器都支持摘要消息認證的方式。如果要在思科路由器中啟用消息摘要認證的話，則需要在接口配置提示符下進行操作。另外，企業可能不需要對所有的OSPF進程采用這么高的安全認證方法。對于一些安全性需求不高的地方，可以只采用簡單認證或者空認證。畢竟采用摘要消息認證，需要花費一定的系統資源。雖然這個消耗的比例比較少，但是會對網絡性能產生不利的影響。為此，在思科路由器中，可以有選擇的對OSPF協議進程ID設置不同的認證方式，以實現不同的安全需求。通過OSPF支持兩種方式的驗證：明文驗證、MD5驗證來解決ospf的安全性。這樣路由器將驗證經過路由器的每一個數據包，都必須通過驗證才能通過。OSPF支持兩種類型的驗證方式：鏈路驗證和區域驗證。隨著計算機技術和網絡技術的普及，網絡安全問題也越來越得到關注。防火墻作為一種控制兩個網絡之間IP通信的安全機制，已成為網絡安全部署的首要選擇。防火墻的目的就是在信任網絡（區域）和非信任網絡（區域）之間建立一道屏障，并實施相應的安全策略。應該說，在網絡中應用防火墻是一種非常有效的網絡安全手段。防火墻指的是一個由軟件和硬件設備組合而成、在內部網和外部網之間、它是一種計算機硬件和軟件的結合，使Internet與Intranet之間建立起一個安全網關（Security Gateway），從而保護內部網絡免受非法用戶的侵入. 網絡防火墻技術是一種用來加強網絡之間訪問控制，防止外部網絡用戶以非法手段通過外部網絡進入內部網絡，訪問內部網絡資源，保護內部網絡操作環境的特殊網絡互聯設備。它對兩個或多個網絡之間傳輸的數據包如鏈接方式按照一定的安全策略來實施檢查，以決定網絡之間的通信是否被允許，、驗證工具、包過濾和應用網關4個部分組成，內網與外網的通信,也即計算機流入流出的所有網絡通信均要經過此防火墻。防火墻處于5層網絡安全體系中的最底層，屬于網絡層安全技術范疇。在這一層上，企業對安全系統提出的問題是:所有的IP是否都能訪問到企業的內部網絡系統?如果答案是是，則說明企業內部網還沒有在網絡層采取相應的防范措施。作為內部網絡與外部公共網絡之間的第一道屏障，防火墻是最先受到人們重視的網絡安全產品之一。雖然從理論上看，防火墻處于網絡安全的最底層，負責網絡間的安全認證與傳輸，但隨著網絡安全技術的整體發展和網絡應用的不斷變化，現代防火墻技術已經逐步走向網絡層之外的其他安全層次，不僅要完成傳統防火墻的過濾任務，同時還能為各種網絡應用提供相應的安全服務。另外還有多種防火墻產品正朝著數據安全與用戶認證，防止病毒與黑客侵入等方向發展。 防火墻的特性與意義防火墻具有很好的保護作用。入侵者必須首先穿越防火墻的安全防線，才能接觸目標計算機。你可以將防火墻配置成許多不同保護級別。高級別的保護可能會禁止一些服務，如視頻流等，但至少這是你自己的保護選擇。防火墻具有如下特性以及意義：1．火墻特性（1）內部網絡和外部網絡之間的所有網絡數據流都必須經過防火墻 這是防火墻所處網絡位置特性，同時也是一個前提。因為只有當防火墻是內、外部網絡之間通信的唯一通道，才可以全面、有效地保護企業網部網絡不受侵害。根據美國國家安全局制定的《信息保障技術框架》，防火墻適用于用戶網絡系統的邊界，屬于用戶網絡邊界的安全保護設備。所謂網絡邊界即是采用不同安全策略的兩個網絡連接處，比如用戶網絡和互聯網之間連接、和其它業務往來單位的網絡連接、用戶內部網絡不同部門之間的連接等。防火墻的目的就是在網絡連接之間建立一個安全控制點，通過允許、拒絕或重新定向經過防火墻的數據流，實現對進、出內部網絡的服務和訪問的審計和控制。（2） 只有符合安全策略的數據流才能通過防火墻 防火墻最基本的功能是確保網絡流量的合法性，并在此前提下將網絡的流量快速的從一條鏈路轉發到另外的鏈路上去。從最早的防火墻模型開始談起，原始的防火墻是一臺“雙穴主機”，即具備兩個網絡接口，同時擁有兩個網絡層地址。防火墻將網絡上的流量通過相應的網絡接口接收上來，按照OSI協議棧的七層結構順序上傳，在適當的協議層進行訪問規則和安全審查，然后將符合通過條件的報文從相應的網絡接口送出，而對于那些不符合通過條件的報文則予以阻斷。因此，從這個角度上來說，防火墻是一個類似于橋接或路由器的、多端口的（網絡接口=2）轉發設備，它跨接于多個分離的物理網段之間，并在報文轉發過程之中完成對報文的審查工作。 （3） 防火墻自身應具有非常強的抗攻擊免疫力 這是防火墻之所以能擔當企業內部網絡安全防護重任的先決條件。防火墻處于網絡邊緣，它就像一個邊界衛士一樣，每時每刻都要面對黑客的入侵，這樣就要求防火墻自身要具有非常強的抗擊入侵本領。它之所以具有這么強的本領，防火墻操作系統本身是關鍵，只有自身具有完整信任關系的操作系統才可以談論系統的安全性。其次就是防火墻自身具有非常低的服務功能，除了專門的防火墻嵌入系統外，再沒有其它應用程序在防火墻上運行。當然這些安全性也只能說是相對的。 目前國內的防火墻幾乎被國外的品牌占據了一半的市場，國外品牌的優勢主要是在技術和知名度上比國內產品高。而國內防火墻廠商對國內用戶了解更加透徹，價格上也更具有優勢。防火墻產品中，國外主流廠商為思科（Cisco）、CheckPoint、NetScreen等，國內主流廠商為東軟、天融信、山石網科、網御神州、聯想、方正等，它們都提供不同級別的防火墻產品。 2．防火墻的意義防火墻對于公司的安全來講這意味著是安全的第一道防線,只有在第一道防線加強了鞏固,防火墻必須做到以下功能:（1） 保護脆弱的服務 通過過濾不安全的服務，防火墻可以極大地提高網絡安全和減少子網中主機的風險。例如，防火墻可以禁止NIS、NFS服務通過，防火墻同時可以拒絕源路由和ICMP重定向封包。 （2） 控制對系統的訪問 防火墻可以提供對系統的訪問控制。如允許從外部訪問某些主機，同時禁止訪問另外的主機。例如，防火墻允許外部訪問特定的Mail Server和Web Server。 （3） 集中的安全管理 防火墻對企業內部網實現集中的安全管理，在防火墻定義的安全規則可以運用于整個內部網絡系統，而無須在內部網每臺機器上分別設立安全策略。如在防火墻可以定義不同的認證方法，而不需在每臺機器上分別安裝特定的認證軟件。外部用戶也只需要經過—次認證即可訪問內部網。 （4） 增強的保密性 使用防火墻可以阻止攻擊者獲取攻擊網絡系統的有用信息，如Finger和DNS。 （5） 記錄和統計網絡利用數據以及非法使用數據 。防火墻可以記錄和統計通過防火墻的網絡通訊，提供關于網絡使用的統計數據，并且，防火墻可以提供統計數據，來判斷可能的攻擊和探測。 （6） 策略執行 防火墻提供了制定和執行網絡安全策略的手段。未設置防火墻時，網絡安全取決于每臺主機的用戶。3．防火墻的分類防火墻的實現技術分為兩類：包過濾技術和應用層報文過濾技術。根據防火墻的服務層面的不同，可以分為以下幾類：包過濾防火墻、狀態防火墻、應用網關防火墻、NAT防火墻、檢測型防火墻、基于主機的防火墻、混合防火墻等。每種防火墻有各自的優缺點，都有著各自的應用場景。詳細特點請參見附錄D。 防火墻數據處理流程防火墻的作用就是對流經該設備的流量進行檢查，然后按照預定的流程進行轉發。其處理過程如下所示：圖 410 防火墻處理數據流程 防火墻的位置部署一般是以下這兩種： 基于主機的防火墻——網絡中所有設備都要啟用防火墻功能(分布式），其優點：簡單。缺點：管理困難。 基于網絡的防火墻——使用單一的設備限制進出網絡的流量（集中式），其優點：方便管理、降低成本。 但是很多情況下，這兩種部署方法共存，以達到想要的安全效果。為了合理的部署防火墻以及更好的提高中小型企業網絡的安全特性，作為一名網絡工程師或者網絡管理人員，我們首先要做的就是分析安全和服務需求，以下問題有助于分析安全和服務需求： 計劃使用哪些Internet服務(如，ftp)，從何處使用Internet服務(本地網，撥號，遠程辦公室)。增加的需要，如加密或拔號接入支持；提供以上服務和訪問的風險；提供網絡安全控制的同時，對系統應用服務犧牲的代價。 然后就是考慮到策略的靈活性，Internet相關的網絡安全策略總的來說，應該保持一定的靈活性，主要有以下原因：Internet自身發展非常快，機構可能需要不斷使用Internet提供的新業務開展業務。新的協議和服務大量涌現帶來新的安全問題，安全策略必須能反應和處理這些問題；機構面臨的風險并非是靜態的，機構職能轉變、網絡設置改變都有可能改變風險。 接著就是確保遠程用戶認證的策略:遠程用戶不能通過放置于Firewall后的未經認證的Modem訪問系統；PPP/SLIP連接必須通過Firewall認證。；對遠程用戶進行認證方法的一個培訓。 接下來就是要部署撥入/撥出策略: 撥入/撥出能力必須在設計Firewall時進行考慮和集成，外部撥入用戶必須通過Firewall的認證.最后就要注意到Information Server策略:公共信息服務器的安全必須集成到Firewall中；必須對公共信息服務器進行嚴格的安全控制，否則將成為系統安全的缺口；必須為Information server定義折中的安全策略允許提供公共服務；要對公共信息服務和商業信息(如)進行安全策略區分。因此我們在部署和選擇防火墻的時候要注意一下幾個方面:是否通過了嚴格的入侵測試；對典型攻擊的防御能力；是否能夠提供足夠的網絡吞吐能力；自身的安全性；是否支持SNMP網管；是否支持VPN；認證和加密特性；服務的類型和原理；網絡地址轉換能力等。一般的防火墻會放在網絡的邊界，而上海艾泰科技有限公司網絡的防火墻是放置在如下圖所示的位置(簡略圖，也即是作為出口路由器的)：圖 411 防火墻的部署示意圖上圖中是將上海總部的局域網進行了縮影，總而言之，上面的拓撲是艾泰科技有限公司的一個縮小版。VPN 即虛擬專用網絡是通過一個公用網絡（通常是因特網）建立一個臨時的、安全的連接，是一條穿過混亂的公用網絡的安全、穩定的隧道。通常，VPN 是對企業內部網的擴展，通過它可以幫助遠程用戶、公司分支機構、商業伙伴及供應商同公司的內部網建立可信的安全連接，并保證數據的安全傳輸。VPN 可用于不斷增長的移動用戶的全球因