摘要:企业局域网被动式的防御方式主要基于以有的病毒特征而开发出相应的反病毒程序,对于漏洞的防护也是采取补丁方式,这样的防御系统经常受到病毒危害,使用户蒙受损失,而主动防御系统则较好的解决了这一难题。本文力图通过主动防御的实现细节及安全策略等方案解析企业局域网内网安全。
关键词:局域网;主动式;防御
1引言
计算机使用者可能每天都会看到各种黑客的攻击,或是收到各种病毒和蠕虫入侵的消息。不过当你看到这些消息时,也许你的系统已经受到攻击了并在使用上产生了影响。现在,我要给大家介绍一种更具主动性的网络安全模型,通过它,就算再出现其他类型的新病毒,大家也可以对企业的网络系统感到放心。
类似于防火墙或者反XX类软件(如反病毒、反垃圾邮件、反间谍软件等),都是属于被动型或者说是反应型安全措施。在攻击到来时,这类软件都会产生相应的对抗动作,它们可以作为整个安全体系的一部分,但是,还需要建立一种具有主动性的安全模型,防护任何未知的攻击,保护网络安全。另外,虽然在安全方面时刻保持警惕是非常必要的,但是事实上很少有企业有能力24小时不间断的派人守护网络。
在实现一个具有主动性的网络安全架构前,需要对现有的主流网络安全体系有一个大概的了解。防护方法包括四个方面:防火墙、VPN、反病毒软件,以及入侵检测系统(IDS)。防火墙可以检测数据包并试图阻止有问题的数据包,但是它并不能识别入侵,而且有时候会将有用的数据包阻止。VPN则是在两个不安全的计算机间建立起一个受保护的专用通道,但是它并不能保护网络中的资料。反病毒软件是与其自身的规则密不可分的,而且面对黑客攻击,基本没有什么反抗能力。同样,入侵检测系统也是一个纯粹的受激反应系统,在入侵发生后才会有所动作。
虽然以上基本安全措施对企业来说至关重要,但是实际上,一个企业也许花费了上百万购买和建立的防火墙、VPN、反病毒软件以及IDS系统,但是面对黑客所采用的"通用漏洞批露"(CVE)攻击方法却显得无能为力。CVE本质上说是应用程序内部的漏洞,它可以被黑客利用,用来攻击网络、窃取信息,并使网络瘫痪。
2 主动防御的实现细节
为什么这样说呢?从之前的调查中看,95%的攻击是由于系统的漏洞或对系统的错误配置而造成的。在现实生活中也是一样,大家都试图将窃贼拒之门外,而很少考虑到当盗贼已经进入屋子后该怎么防护。正如你不会在外出时让大门敞开,为什么不给网络再加一把锁呢?针对企业网络安全的问题,下面提提我自己的几点建议:
作为一家企业的信息技术人员,你该如何保护企业的网络呢?下面我会介绍几个简单的步骤,帮助你实现一个具有主动性的安全网络。首先你需要开发一套安全策略,并强迫所有企业人员遵守这一规则。同时,你需要屏蔽所有的移动设备,并开启无线网络的加密功能以增强网络的安全级别。为你的无线路由器打好补丁并确保防火墙可以正常工作是非常重要的。之后检查系统漏洞,如果发现漏洞就立即用打补丁或其它方法将其保护起来,这样可以防止黑客利用这些漏洞窃取公司的资料,或者令你的网络瘫痪。以下是各个步骤的实现细节:
2.1 开发一个安全策略
实现良好的网络安全总是以一个能够起到作用的安全策略为开始的。就算这个安全策略只有一页,公司的全体人员包括总经理在内,都必须按照这个策略来执行。基本的规则包括从指导员工如何建立可靠的密码到业务连续计划以及灾难恢复计划(BCP和DRP)。比如,你应该有针对客户的财产和其它保密信息的备份策略,比如一个镜象系统,以便在灾难发生后可以迅速恢复数据。在有些情况,你的BCP和DRP也许需要一个"冷"或"热"的站点,以便当灾难发生或者有攻击时你可以快速将员工的工作重新定向到新的站点。执行一个共同的安全策略也就意味着你向具有主动性安全网络迈出了第一步。
2.2 减少对安全策略的破坏
不论是有限网络,还是笔记本或者无线设备,都很有可能出现破坏安全策略的情况。很多系统没有装防病毒软件、防火墙软件,同时却安装了很多点对点的传输程序(如Kazaa、Napster、Gnutella、BT、eMule等)以及即时消息软件等,它们都是网络安全漏洞的根源。因此,你必须强制所有的终端安装反病毒软件,并开启Windows XP内建的防火墙,或者安装商业级的桌面防火墙软件,同时卸载点对点共享程序以及乱七八糟的聊天软件。
2.3 封锁移动设备
对于企业的网络来说,最大的威胁可能就是来自那些随处移动的笔记本或其它移动终端,它们具有网络的接入权限,可以随时接入公司的网络。但是正因为它们具有移动特性,可以随着员工迁移到其它不安全的网络并暴露在黑客的攻击之下,当这些笔记本电脑再次回到公司的网络环境时,就成了最大的安全隐患。其它无线终端也和笔记本有类似的情况。通过安全策略,你可以让网络针对无线终端具有更多的审核,比如快速检测到无线终端的接入,然后验证这些终端是否符合你的安全策略,是否是经过认证的用户,是否有明显的系统漏洞等。
2.4 开启无线网络加密功能
在无线网络系统中,无线网络加密 (Wireless Encryption,WEP)应该处于开启状态,并应该设置为最高安全级别。而且管理者的用户名和密码需要经常及时更换。但是这些措施也并不能够完全防止黑客通过你的无线路由器入侵企业内部网络。这是由于在大多数无线路由器中,都包含有目前尚未被修补的CVE,黑客可以利用这些CVE进行攻击。一些高级的黑客会下载免费的工具对这些漏洞进行更高级的利用,以此完全攻破你的安全系统。
2.5 为无线路由器打补丁,并使用其自带的防火墙功能
我强烈建议用户在使用无线路由器时及时更新产品的固件,而且如果无线路由器有内置防火墙功能,一定学习如何使用并配置它,开启这个防火墙。你也可以限制同时接入无线路由器的用户数量,如果企业员工数量不是很多,完全没有必要让路由器设置为可以接纳无限多的用户。比如企业只有十五个员工,那么就设置无线路由器只能同时接入十五个连接好了。
2.6 设置你的防火墙
虽然防火墙并没有特别强的安全主动性,但是它可以很好的完成自己该做的那份工作。你应该为防火墙设置智能化的规则,以便关闭那些可能成为黑客入侵途径的端口。比如1045端口就是SASSER蠕虫的攻击端口,因此你需要为防火墙建立规则,屏蔽所有系统上的1045端口。另外,当笔记本或其它无线设备连接到网络中时,防火墙也应该具有动态的规则来屏蔽这些移动终端的危险端口。
2.7 下载安装商业级的安全工具
目前与安全有关的商业软件相当丰富,你可以从网上下载相应的产品来帮助你保护企业网络。这类产品从安全策略模板到反病毒、反垃圾邮件程序等,应有尽有。微软也针对系统的漏洞不断给出升级补丁。所有这些工具都可以有效地提升网络的安全等级,因此你应该充分利用它们。
2.8 弥补已知的漏洞
系统上已知的漏洞被称为"通用漏洞批露"(CVEs),它是由MITRE组织汇编整理的漏洞信息。通过打补丁或其它措施,你可以将网络中所有系统的CVE漏洞弥补好。目前通过工具软件,你可以快速检测系统的CVE漏洞并将其修补好。有关这方面更多的信息,你可以查阅cve.mitre.org网站。
3 总结
总的来说,一个具有主动性的网络安全模型是以一个良好的安全策略为起点的。之后你需要确保这个安全策略可以被彻底贯彻执行。最后,由于移动办公用户的存在,你的企业和网络经常处在变化中,你需要时刻比那些黑客、蠕虫、恶意员工以及各种互联网罪犯提前行动。要做到先行一步,你应该时刻具有主动性的眼光并在第一时刻更新的你安全策略,同时你要确保系统已经安装了足够的防护产品,来阻止黑客的各种进攻尝试。虽然安全性永远都不是百分之百的,但这样做足可以使你处于优势地位。
参考文献
[1]王达 《网管员必读-网络安全》 电子工业出版社 2007.6
[2]肖松岭 《网络安全技术内幕》科学出版社 2008.5.